Migrar para PKI de duas camadas (Microsoft)

Question

Atualmente, tenho um ca-raiz on-line corporativo (e a emissão de certificados - modelos padrão) instalados no DC (sim, sim, eu sei - o pior cenário possível). Eu defini outro off-line não associado a um servidor de domínio, 2 servidores IIS em LB e 2 servidores de emissão corporativa e preciso de algumas respostas antes de prosseguir:

NOTA: O objetivo final é SUBSTITUIR e não migrar os conjuntos / certificados atuais.

1) O nome comum da CA atual (não o nome do servidor) é example-root-ca. Posso atribuir à nova raiz de autoridade de certificação do servidor offline o mesmo nome comum ao instalar a função da autoridade de certificação? Isso afetará de alguma forma os certificados atuais? Devo usar o novo nome e por quê?

2) Instalando vários servidores emissores subordinados, novamente enquanto você configura a função de autoridade de certificação, ele também solicita o nome comum - portanto, dois servidores devem usar o mesmo nome comum? ou sua multa eles têm nomes comuns diferentes (ou até onde eu me lembro deve ser único)? - Nesse caso, estou pensando em como o cliente receberá o certificado? alguns receberão do servidor um e outros do servidor 2? O que acontecerá quando eles tentarem renovar?

    

Answer 1

can I give to the new offline server CA root same common name while installing the CA role? Will it affect somehow the current certificates?

Você pode reutilizar o mesmo nome para a CA raiz, se desejar. Como a chave pública / privada será diferente, o certificado será efetivamente diferente, independentemente de o nome ser o mesmo ou não. Como esta é uma CA raiz offline, não haverá conflitos com nada no AD (o que poderia ser o caso se este também fosse associado ao domínio). Além disso, o gerenciamento de dois certificados de CA raiz com nomes de assunto idênticos será um pouco mais desafiador, simplesmente porque será mais difícil diferenciar entre os dois sem considerar válidos de / para datas.

so 2 servers should use the same common name?

Os nomes da CA emissora devem ser exclusivos. Observe que ter duas CAs emissoras não fornecerá nenhuma forma de balanceamento de carga. Você simplesmente terminará com duas CAs emissoras. Pode-se argumentar que você terá alguma forma de failover no sentido de que, se um estiver abaixo do outro, ainda poderá atender as solicitações.

In such case, I am thinking of how the client will get the certificate? some will get from server one and some from server 2?

Se você tiver várias CAs emissoras, o usuário terá a escolha de para qual CA deseja enviar a solicitação. A lista será do AD e não será alterada se uma das CAs estiver inativa. Portanto, se o usuário escolher uma CA que esteja offline, a solicitação simplesmente falhará.

Certificados automaticamente inscritos escolherão qualquer uma das CAs para as quais o modelo está habilitado. Não tenho certeza do processo para decidir qual CA deve ser usada se mais de um tiver o modelo ativado; no entanto, pareço lembrar que o que tinha o modelo ativado mais tarde pareceu receber a solicitação, mas eu não testei o suficiente para ter certeza.