将证书自动注册设置从已不存在的 CA 更改为新的 CA

Question

我们开始从域控制器获取事件 ID 13：

本地系统的证书注册无法从 OLDSERVER.domain.local\oldserver 注册请求 ID 为 N/A 的 DomainController 证书（RPC 服务器不可用。0x800706ba（WIN32：1722））。

OLDSERVER 是一台 2003 域控制器和证书服务服务器，至少在几年前就从域中移除了。我们目前所有的 DC 都是 2008 R2，功能级别也提升到了这个级别。

我从哪里可以开始更改为此自动注册注册的 CA？

Answer 1

首先，删除 AD 中注册的旧 CA - 使用企业 PKI 管理单元从 AD 容器中删除旧 CA 的所有痕迹，看这里。

接下来，确保您拥有一个配置为颁发该证书模板的企业 CA（或者将自动注册设置移动到适合您​​的 DC 的更现代的模板，如 Kerberos 身份验证）。

然后，强制重新注册证书模板，这样您的 DC 将注册新证书，而不是尝试针对早已失效的 CA 进行续订。在执行此操作之前，请确保连接到 DC 的所有内容都信任新的 CA。