証明書サービスインフラストラクチャのクリーンアップ

Question

証明書サービスがインストールされていたものの、有効に活用されておらず、文書化もされていない Active Directory ドメインを継承しました。インフラストラクチャを刷新し、実際に多くのセキュリティ関連アプリケーションでサービスを使用したいのですが、何を期待すべきか、どこから始めればよいかわかりません。基本的に、他に同様の問題が発生した人がいるかどうか、またどのようなプロセスが使用されたか知りたいです。最終的には最初からやり直して正しく行いたいのですが、それが可能かどうか、または壊れる可能性のあるアプリケーションがあるかどうかはわかりません。これまでにわかったことから、このサービスは主に開発サイトに証明書を提供するために使用されていました。ユーザーには証明書が発行されますが、使用されている例に遭遇したことはありません。情報や支援をいただければ幸いです。

ありがとう。

Answer 1

私は「継承」した AD ドメイン (Windows 2003) からエンタープライズ CA を削除し、悪影響なく新しいエンタープライズ CA を開始しました。この記事の指示に従いました。マイクロソフトサポートサイトそして、新たな展開を開始しました。

全体的に、非常にスムーズに進んだと感じました。

(私の顧客もおそらくあなたの顧客と似たような状況だったでしょう。彼らはそれをインストールしたものの、何にも使用せず、エンタープライズ CA ルートを実行しているマシンを破棄する寸前でした。私は WPA2-RADIUS 認証用の証明書が必要でしたが、結局はゴミの山に迷い込んでしまいました。)

Answer 2

証明書が使用されていないことが 100% 確実な場合は、KB 889250 に従って廃止することができます。ただし、まず証明書が使用されていないことを確認する必要があります。最悪のシナリオは、途中で superimportantapp が壊れてしまい、再起動するために壊れたばかりの PKI を修復しなければならない場合です。certutil -delkey CertificateAuthorityName を実行すると、証明書を再び機能させるのが、控えめに言っても興味深いものになります。何よりも、時間をかけてください。