Qual è il modo migliore per riemettere i certificati utente dopo la modifica della configurazione in un modello?

Question

Qual è il modo migliore per riemettere i certificati utente dopo la modifica della configurazione in un modello?

#1 da (4 voti)
#2 da (1 voti)
#3 da (1 voti)

4

Ho installato il mio ambiente MS-ADCS nella mia azienda e configurato l'auto-registrazione. Ho tutto funzionante, ma ho scoperto che voglio che il mio "Subject Name Format" abbia un valore diverso. Non stiamo ancora utilizzando i certificati in alcun servizio, quindi non ci sono problemi a rimuoverli e riemetterne di nuovi. La mia domanda è: quale sia il metodo migliore o giusto per rimuovere tutti i certificati emessi (~ 200) con il valore soggetto errato e distribuire i nuovi certificati con il nuovo ( e giusto) valore soggetto? Tutti gli utenti sono in AD e posso utilizzare script o criteri di gruppo, se necessario.

Grazie.

EDIT: solo per chiarire il mio intento - preferisco rimuovere / eliminare i certificati emessi con il formato soggetto sbagliato e non mi interessa a questo punto la lista di revoche (nota - ne sono consapevole delle conseguenze).

public-key-infrastructure certificates

posta DaveIce 17.12.2018 - 09:56

fonte

3 risposte

Leggi altre domande sui tag public-key-infrastructure certificates

Windows: chi è questa persona a nome casuale che ha creato il * mio * documento di LibreOffice? Gli utenti amministratori devono confermare la propria password prima di modificare una password utente?

score 4 · Answer 1

ADCS ha una funzione per questo.

Supponendo di aver configurato il criterio di gruppo Certificate Services Client - Auto-Enrollment , è sufficiente creare un nuovo modello in MMC con la configurazione SAN corretta e aggiungere il nome del modello originale alla scheda Superseded Templates . I criteri di gruppo si registreranno per un nuovo certificato con questo modello e verranno eliminati automaticamente.

Non è necessario revocare nulla poiché nulla è stato compromesso.

score 1 · Answer 2

Se non si utilizzano i certificati in alcun servizio e non si dispone di un'autentica funzione, suppongo che sarebbe meglio revocare la CA intermedia emittente e crearne una nuova emettendo i certificati giusti.
Questo sarebbe il modo più gestibile per revocare tutti i certificati e il CRL non si gonfierà prima ancora di iniziare a utilizzare i certificati.

score 1 · Answer 3

Penso di aver trovato la risposta: facendo clic con il pulsante destro sul modello con la nuova modifica, è disponibile un'opzione per "Reenroll All Certificate Holders". Dopo averlo scelto, la versione del modello aumenta, quindi la prossima volta che il client verifica la versione del certificato rispetto alla versione del modello sulla CA, il client verrà reiscritto. L'ho provato con un riavvio di uno dei laptop e il risultato era solo 1 certificato utente con il giusto formato soggetto. nota: penso che per mostrare questa opzione, la registrazione automatica deve essere configurata per il modello.