29、证书服务管理全解析

证书服务管理全解析

1. 证书撤销列表（CRL）

证书撤销列表（CRL）是 CA 已颁发但不再有效的证书列表。增量 CRL（delta CRL）是自上次 CRL 发布以来所有已撤销证书的列表。默认情况下，CA 每周发布一次新的 CRL，每天发布一次增量 CRL。CRL 和增量 CRL 都存储在 CRL 分发点（CDP）上。

1.1 CRL 分发点配置

CA 可以有多个 CDP。在颁发证书时，证书中会包含 CRL 和 CDP 信息。客户端每次遇到新证书时都会检查其有效性，并根据 CRL 和增量 CRL 的发布间隔进行额外检查。客户端还会按照 CA 上配置的顺序检查 CDP 位置。
配置 CRL 分发点的步骤如下：
1. 在 CA 属性的“扩展”选项卡上进行配置。
2. 如果要发布供组织外部人员使用的证书，请确保在公共可用位置（如边界网络上的 Web 服务器或 Microsoft Azure）托管 CRL。
3. 注意，对 CDP 设置所做的任何更改仅适用于更改后颁发的证书。如果更改后删除现有 CDP，客户端遇到现有证书时将无法执行撤销检查，这些证书将被视为无效。

1.2 权威信息访问（AIA）

AIA 点设置指定客户端可以从何处检索颁发其遇到的证书的 CA 的 CA 证书。与 CRL DP 信息一样，对 AIA 信息的更改仅存在于更改后颁发的证书中。因此，需要保留现有 AIA 点，直到当前颁发的证书过期或续订。可以在 CA 属性的“扩展”选项卡上配置 AIA 扩展。

1.3 撤销证书

撤销证书会使其无效，这涉及几个步骤：
1. 从 CA 管理