《完全卸载CA证书服务》由会员分享,可在线阅读,更多相关《完全卸载CA证书服务(5页珍藏版)》请在金锄头文库上搜索。
1、完全卸载 CA 证书服务问题:DC 上的 CA 证书服务因为某些原因出现了问题,于是在 添加/删除组件”中将证书服务卸载了,然后再 重新安装证书服务,建立与原来同名的企业根CA 原来的问题是解决了,但又出现了新的问题:现在客户端CA申请的用户证书在 中级证书办法机构”和 受信任的证书颁发机构”中都会有两个同名的 CA 这说明原来的那 个 CA 并没有卸载干净,请问怎样才能卸载干净,使客户端申请证书只出现一个新安装的需要使用 ntdsutil 进行 AD 的清理才可以步骤 1:吊销所有由企业a.CA 颁发的活动证书单击 开始”,指向 管理工具”,然后单击 征书颁发机构”。b.展开 CA,然后单击
2、 颁发的证书”文件夹。c.在右窗格中,单击某个颁发的证书,然后按 Ctrl+A 以选中所有颁发的证书。d.右键单击选定的证书,单击所有任务”,然后单击 吊销证书”。停止操作”作为吊销原因,然后单击确定”。e.在 征书吊销”对话框中,单击以选择步骤 2:增大 CRL 发布间隔a.在证书颁发机构 Microsoft 管理控制台(MMC)管理单元中,右键单击吊销的证书”文件夹,然后单击属 性”。在“CR发布间隔”框中,键入一个适当确定”。b.长一些的间隔值,然后单击注意:证书吊销列表(CRL)的有效期应长于已吊销证书的剩余有效时间。步骤 3:发布新的 CRLa.在证书颁发机构 MMC 管理单元中,右
3、键单击 吊销的证书”文件夹。b.单击所有任务”,然后单击发布”。c.在 发布 CRL对话框中,单击 新的 CRL,然后单击 确定”。步骤 4:拒绝任何挂起的申请默认情况下,企业 CA 不存储证书申请。不过,管理员可以更改此默认行为。要拒绝任何挂起的证书申请,请按照下列步骤操作:a.在证书颁发机构 MMC 管理单元中,单击 挂起的申请”文件夹。b.在右窗格中,单击某个挂起的申请,然后按 Ctrl+A 以选中所有挂起的证书。c.右键单击选择的申请,单击步骤 5:从服务器中卸载证书服务所有任务”,然后单击 拒绝申请”。a.要停止证书服务,请单击 开始”,单击运行”,键入 cmd,然后单击 确定”。b
4、.在命令提示符处键入certutil -shutdown,然后按 Enteroc.要列出本地计算机的所有密钥存储,请在命令提示符处键入certutil-key。此命令将显示所有已安装的加密服务提供程序(CSP)的名称,以及与每个提供程序相关的密钥存储。在列出的密钥存储中,将看到您的 CA 名称列出了多次,如以下示例所示。您d.e.f.g.h.i.j.j.k.l.m.o.n.o.p.q.r.s.v.t.u.v.(l)Microsoft Base Cryptographic Provider :1a3b2f44-2540-408b-8867-51bd6b6ed413MS IIS DCOMClien
5、tSYSTEMS-1-5-18MS IIS DCOMServerWindows2000Enterprise Root CAMS IIS DCOMClientAdministratorS-069-8395228-500afd1bc0a-a93c-4a31-8056-c0b9ca632896Microsoft Internet Information ServerNetMonMS IIS DCOM ClientAdministratorS-246-9522115-500(5)Microsoft Enhanced Cryptographic Provider :1a3b2f44-2540-408b-
6、8867-51bd6b6ed413MS IIS DCOMClientSYSTEMS-1-5-18MS IIS DCOMServerWindows2000Enterprise Root CAMS IIS DCOMClientAdministratorS-069-8395228-500afd1bc0a-a93c-4a31-8056-c0b9ca632896Microsoft Internet Information ServerNetMonMS IIS DCOM ClientAdministratorS-246-9522115-500乙 删除与该 CA 相关的私钥。为此,请在命令提示符处键入以下命
7、令:certutil -delkey CertificateAuthorityName注意:如果您的 CA 名称包含空格,请将名称用引号括起来。在此示例中,CertificateAuthorityName 是 Windows2000 Enterprise Root CA。因此,此示例中的命令行 如下所示:certutil -delkey Windows2000 Enterprise Root CA”aa.再次列出密钥存储以验证是否已删除您的CA 的私钥。bb.删除您 CA 的私钥后,卸载证书服务。为此,请按照下列步骤操作:a. 如果证书颁发机构MMC 管理单元仍处于打开状态,请将其关闭。b.
8、单击 开始”,指向 控制面板”,然后单击 添加或删除程序”。c. 单击 添加/删除 Windows 组件”。d. 在 组件”框中,单击以清除 征书服务”复选框,单击 下一步”,然后按照“Windows 组件向导中的说明来完成删除证书服务。步骤 6:从 Active Directory 中删除 CA 对象将 Microsoft 证书服务安装在属于域成员的服务器上后,将在 Active Directory 中的配置容器中创建多个对 象。这些对象如下所示:certificateAuthority 对象o位于 CN=AIA,CN=Public Key Services,CN=Services,CN=C
9、onfiguration,DC=ForestRootDomain 中。o包含该 CA 的 CA 证书。o已发布的颁发机构信息访问(AIA)位置。crlDistributionPoint 对象o位于 CN=ServerName,CN=CDP,CN=Public KeyService,CN=Services,CN=Configuration,DC=ForestRootDomain 中。o包含由 CA 定期发布的 CRLo已发布的 CRL 分发点(CDP)位置。certificationAuthority 对象o位于 CN=Certification Authorities,CN=Public Ke
10、yServices,CN=Services,CN=Configuration,DC=ForestRootDomain 中。o包含该 CA 的 CA 证书。pKIEnrollmentService 对象o位于CN=EnrollmentServices,CN=PublicKeyServices,CN=Services,CN=Configuration,DC=ForestRootDomain 中。o由企业 CA 创建。o包含有关 CA 配置中指定要发布的证书类型的信息。此对象的权限可以控制哪些安全主体可 以向此 CA 注册。卸载 CA 时,将只删除 pKIEnrollmentService 对象。这
11、就可以防止客户端试图向已停用的颁发的活动证书”一节所介绍的过程进行吊销。为了使公钥基础结构(PKI)客户端计算机成功处理这些未卸载的证书,Directory 中发布 CRL 如果多种不同的 PKI 客户端在处理未卸载的证书,书。如果在 Active Directory 中不优先维护 CRL 分发点和 AIA,则可以删除这些对象。如果希望处理以前处于活 动状态的一个或多个数字证书,请不要删除这些对象。要从 Active Directory 中删除所有证书服务对象,请按照下列步骤操作:a.单击 开始,指向 管理工具,然后单击Active Directory 站点和服务。b.单击 查看”菜单选项,然
12、后单击显示服务节点”。c.依次展开 服务”、公钥服务”,然后单击“AI 位件夹。d.在右窗格中,右键单击f.CA 的 CertificationAuthority 对象,单击 删除,然后单击 是。“CDP:件夹。右键单击该容器,单击删除”,然后单击 是”证书颁发机构节点。注册服务”节点。e.在 Active Directory 站点和服务 MMC 管理单元的左窗格中,单击在右窗格中,找到安装了证书服务的服务器的容器对象。两次。g.在 Active Directory 站点和服务 MMC 管理单元的左窗格中,单击h.在右窗格中,右键单击i.j.在 Active Directory 站点和服务 M
13、MC 管理单元的左窗格中,单击在右窗格中,验证卸载证书服务后是否已删除则右键单击该对象,单击 删除”,然后单击 是”。k.在 Active Directory 站点和服务 MMC 管理单元的左窗格中,单击 证书模板文件夹。l.在右窗格中,单击一个证书模板,然后按 Ctrl+A 以选择所有模板。右键单击所选模板,单击 删除”, 然后单击是”。CA 的 CertificationAuthority 对象,单击 删除,然后单击 是。CA 的 pKIEnrollmentService 对象。如果未删除该对象,计算机必须在 Active Directory 中找到验证将失败,因而将不使用这些证CA 进行
14、注册。其他对象则会保留下来,因为由 CA 发布的证书可能仍未卸载。这些证书必须按步骤 1:吊销所有由企业 CA颁发机构信息访问(AIA)和 CRL 分发点路径。最好吊销所有未卸载的证书、延长 CRL 的有效期并在 Activem.m.重要说明:如果意外删除了模板,请确保以企业管理员的身份登录到运行证书服务的服务器。在命令提示符处,键入 cd %windir%system32,按 Enter,键入 regsvr32 /i:i /n /s ,然后按 Entero 这将在 ActiveDirectory 中重新创建证书模板。n.在 Active Directory 站点和服务 MMC 管理单元的左窗
15、格中,单击 公钥服务”文件夹,右键单击NTAuthCertificates 对象,单击 删除,然后单击 是。P.q.重要说明:如果林中安装有其他企业或独立步骤 7:删除 CA 数据库卸载证书服务后,CA 数据库将保留原样,以防需要在另一台服务器上重新创建该CA。CA,请不要删除此对象。要删除 CA 数据库,请删除 %systemroot%System32Certlog 文件夹。步骤 8:清理域控制器卸载 CA 后,必须删除已发布给所有域控制器的证书。要删除发布给域控制器的证书,请使用Windows 2000 Resource Kit 中的 实用工具。要删除旧的域控制器证书,请按照下列步骤操作:
16、a.单击 开始,单击 运行,键入 cmd,然后按 Enterob.在域控制器上,在命令提示符处键入d.d.注意”:实用工具将尝试验证向每个域控制器颁发的域控制器证书。未验证的证书将从相关的域控 制器中删除。这时,您可以重新安装证书服务。完成安装后,将为 Active Directory 发布新的根证书。当域客户端计算机更 新它们的安全策略时,计算机会自动将新的根证书下载到其受信任的根存储中。要强制应用安全策略,请按照下列步骤操作:a.单击 开始,单击 运行,键入 cmd,然后按 Enterob.在命令提示符处,键入以下命令:c.Windows 2000secedit /refreshpolic
17、y machine_policy /enforcedsstore -dcmon,然后按 Enteroc.键入 3,然后按 Entero 此选择将删除所有域控制器上的所有证书。MicrosoftWindows Server 2003 gpupdate /force帮助您删除 CA 对象的实用工具 Windows Server 2003 Resource Kit 工具包含可帮助您从域中删除的实用工具。Certu.CA 对象帮助您删除 CA 对象的实用工具Windows Server 2003 Resource Kit 工具包含可帮助您从域中删除CA 对象的实用工具。实用工具Windows Serv
18、er 2003 版的 实用工具可用于从 Active Directory 中删除 Windows Server 2003 和 Windows 2000 CA。要从 Active Directory 中删除 CA,请在命令提示符处键入以下命令: certutil -dsdel CA Name在此示例中,CA 名称是 Windows2000 Enterprise Root CA。因此,此示例中的命令行如下所示:certutil -dsdel Windows2000 Enterprise Root CA注意:如果 CA 名称包含空格,则名称必须用引号括起来。实用工具此图形 MMC 管理单元可用于查看
19、、添加以及从请按照下列步骤操作:Active Directory 中删除证书和对象。要使用实用工具,1.单击开始”,单击运行”,键入 MMC,然后单击 确定”。2.依次单击文件”、打开”,然后找到安装有3.右键单击根节点4.单击每个选项卡,然后删除对已停用的注意:这些实用工具既可用于Windows Server 2003 独立 CA有关如何获取 Windows Server 2003 Resource Kit 工具的其他信息,请访问下面的 Microsoft 网站: &displaylang=en&displaylang=en)实用工具的文件夹。CA 的所有引用。(Enterprise PKI),然后单击 管理 AD 容器”。Windows 2000 和 Windows Server 2003 企业 CA,也可用于 Windows 2000 和