证书颁发机构续订
证书服务 支持续订 证书颁发机构 (CA) 。 续订是为 CA 颁发新证书，以将 CA 的生存期延长到原始证书的结束日期之后。 可以将 CA 作为证书颁发机构 MMC 管理单元中的任务续订，也可以使用Certutil.exe工具 (和 -renewCert 命令) 。
每次续订都会生成一个新的 CA 证书;但是，管理员可以生成新的公钥/私钥对，也可以为 CA 证书重用现有的公钥/私钥对。 为了保持一致性和完整性，CA 证书和 证书吊销列表 (CA 在续订 CA 后会提供续订之前颁发的 CRL) 。 为了使这些可用，证书服务会维护 CA 证书、CRL 和密钥的索引。
在各种 CA 续订操作期间，CA 证书和 CRL 的索引和后缀名称如下所示。
| Operation | CA 证书索引 | CA 证书文件名后缀 | CRL 和键索引 | CRL 和密钥容器名称后缀 |
|---|---|---|---|---|
| 原始 CA 安装 | 0 | "" | 0 | "" |
| 使用新密钥续订 | 1 | “ (1) ” | 1 | “ (1) ” |
| 续订重用密钥 | 2 | “ (2) ” | 1 | “ (1) ” |
| 续订重用密钥 | 3 | “ (3) ” | 1 | “ (1) ” |
| 使用新密钥续订 | 4 | “ (4) ” | 4 | “ (4) ” |
| 续订重用密钥 | 5 | “ (5) ” | 4 | “ (4) ” |
| 使用新密钥续订 | 6 | “ (6) ” | 6 | “ (6) ” |
| 续订重用密钥 | 7 | “ (7) ” | 6 | “ (6) ” |
安装 CA 时，证书索引为零，证书后缀为“” (空字符串) 。 每次续订证书时， (密钥是否在) 重复使用，证书索引都会递增 1，证书文件名后缀将变为格式为“ (n) ”的字符串，其中 n 表示 CA 证书已续订的次数。 首次续订后，证书索引为 1，证书文件名后缀为“ (1) ”。 第二次续订后，证书索引为 2，证书文件名后缀为“ (2) ”，依此。
尽管每次续订 CA 时，CA 证书索引和后缀都会递增 1，但仅当续订过程包含新的公钥/私钥对时，CRL 和密钥索引以及文件名后缀才会设置为 CA 证书索引。 否则，这些索引和后缀的值与上一个索引的值相同。 在续订期间，管理员指定是生成新的密钥对还是使用现有密钥对。 (在证书颁发机构 MMC 管理单元中，用户界面中的选项指定新的或现有的密钥对;在 Certutil.exe 工具中，命令 certutil -renewCert 使用新的密钥对续订 CA，而 命令 certutil -renewCert ReuseKeys 使用现有密钥对续订 CA。)
CRL 索引直接绑定到密钥索引，仅当使用新密钥对进行续订时，密钥索引才会设置为 CA 证书索引。 使用新密钥对) 的第一个续订 (之后，CRL 和密钥的索引设置为 1，CRL 和密钥容器名称后缀为“ (1) ”。 但是，第二次续订后，CRL 和密钥的索引仍为 1，CRL 和密钥容器名称后缀也保持“ (1) ”：这是因为第二次续订使用了现有密钥对，并且每个 CA 密钥对仅颁发一个 CRL。
可以通过在 ICertServerExit 和 ICertServerPolicy 接口 (调用 GetCertificateProperty 方法) 检索索引的 CA 证书和 CRL。 检索与 CA 证书或 CRL 相关的某些属性时，可以将 CA 证书的从零开始的索引追加到属性名称中。 例如，若要检索与 CA 的第三个证书对应的 CRL 索引，请将属性“CRLIndex.2”传递给 ICertServerPolicy：：GetCertificateProperty;对于表，检索到的“CRLIndex.2”属性值将为 1。 一个名为“CertCount”的属性可用于确定 CA 证书的颁发次数。
CA 证书和 CRL 包含一个扩展，用于提供有关证书和密钥索引的信息。 该扩展在 Wincrypt.h 中定义为值为“1.3.6.1.4.1.311.21.1”的szOID_CERTSRV_CA_VERSION。 扩展数据是一个 DWORD 值， (在扩展) 中编码为X509_INTEGER;低 16 位是证书索引，高 16 位是密钥索引。
CA 的初始安装生成证书索引为零，密钥索引为零。 续订 CA 证书将导致证书索引递增。 如果在续订中重复使用密钥，则密钥索引将与上一个密钥索引相同。 如果密钥未重复使用，则密钥索引将与新的证书索引匹配。
相关主题