Por quanto tempo uma CA do Microsoft Server pode estar inativa antes que um certificado falhe?

Question

Estamos usando certificados autoassinados para máquinas de desenvolvimento interno e outra criptografia de conexão interna.

Os certificados foram criados usando o Microsoft Certificate Server.

Eu preciso mover o servidor de certificado de um DC antigo para um novo DC, estou querendo saber quanto tempo o servidor de certificado pode ficar indisponível antes que o certificado não possa ser verificado e as conexões comecem a falhar.

Eu não acredito que seja imediato, mas não me lembro com certeza.

    

Answer 1

Os certificados começarão a falhar na validação quando a Lista de Revogação de Certificados publicada (ou CRL Delta, se estiver em uso) expirar ou estiver inacessível (certifique-se de que nem todos os pontos de distribuição estejam na própria CA). Isso dependerá completamente da sua configuração e poderá ser de menos de uma hora a vários meses.

O snap-in Enterprise PKI ( pkiview.msc ) é um bom recurso para verificar o status e os tempos de expiração de suas CRLs, e você pode verificar as vidas úteis configuradas na autoridade de certificação.

Para a CRL padrão:

certutil -getreg ca\crlperiodunits
certutil -getreg ca\crlperiod

E o delta:

certutil -getreg ca\crldeltaperiodunits
certutil -getreg ca\crldeltaperiod