Ao instalar uma CA secundária do Windows a partir de uma raiz off-line, como posso recriá-la sem reinstalar?

Question

Eu tenho uma raiz off-line e estou tentando restringi-la usando os EKUs para que ela não tenha todas as políticas de aplicativos.

A maioria disso é tentativa e erro e eu gostaria de tornar isso mais eficiente em vez de desinstalar a reinstalação do subCA apenas para obter um novo certificado para ser assinado pela raiz.

Como posso (usando a linha de comando) reinstalar a CA para gerar adequadamente um novo arquivo de solicitação (a ser processado pela raiz ca) e ler o CaPolicy.inf e o Policy.inf apropriadamente?

    

Answer 1

Instale a CA

Note que esta é uma linha e o CRLF deve ser removido

Install-AdcsCertificationAuthority -Force -CAType "EnterpriseSubordinateCA" -CryptoProviderName "RSA#Microsoft Software Key Storage Provider" 
 -HashAlgorithmName "SHA1" -KeyLength "2048"
 -CADistinguishedNameSuffix "DC=FreeSMIME,DC=com" -CACommonName "Signing Policy1" 
 -OutputCertRequestFile "C:\SMIMEPOL01.ad.FreeSMIME.com_ad-SMIMEPOL01-CA-1.req" 
 -DatabaseDirectory "C:\Windows\system32\CertLog"
 -LogDirectory "C:\Windows\system32\CertLog"

Remover a CA

Uninstall-AdcsCertificationAuthority -Force

Fonte: o log de eventos em Microsoft-Windows-CertificateServices-Deployment/Operational