![将颁发 CA 添加到在线根 CA windows 2008 r2](https://linux22.com/image/643050/%E5%B0%86%E9%A2%81%E5%8F%91%20CA%20%E6%B7%BB%E5%8A%A0%E5%88%B0%E5%9C%A8%E7%BA%BF%E6%A0%B9%20CA%20windows%202008%20r2.png)
我们有一个现有的内部根 CA 独立机构,它为我们的域名 mycompany.com 颁发证书。我们在整个公司安装了来自此 CA 的多个证书。我们面临的问题是,我们有一个思科 VPN,需要信任此 CA 的移动设备 VPN,但由于根 CA 的到期日期超过了 2038 年,因此返回错误,并且不接受它。现在的问题是如何解决这个问题?如果我使用相同的私钥/公钥和 2038 年之前的到期日期续订根 CA,我是否需要续订此 CA 已颁发的证书?我们正在考虑的第二个选项是安装一个下属颁发 CA,在这种情况下,问题是这个 CA 是否能够为域名 mycompany.com 颁发证书?如果 PKI 专家能就如何摆脱这种困境提出任何建议,我们将不胜感激。
答案1
关于你的第一个回答,我自己也一直在想这个问题。我会在你的实验室里测试这个非常具体的场景!我认为应该可以用相同的密钥但另一个到期日期来续订证书。
关于颁发 (在线) CA。您的思科 VPN 应验证直至根 CA 的信任链,然后再次投诉根 CA 的有效期。
因此,您要么需要使用相同的密钥和更短的有效期来更新根 CA,要么需要设置第二个 CA。