29、证书服务全解析：从撤销列表到管理工具

证书服务全解析：从撤销列表到管理工具

1. 证书撤销列表（CRL）

证书撤销列表（CRL）是 CA 已颁发但不再有效的证书列表。增量 CRL（delta CRL）则是自上次 CRL 发布以来被撤销的所有证书的列表。默认情况下，CA 每周发布一次新的 CRL，每天发布一次增量 CRL。CRL 和增量 CRL 都存储在 CRL 分发点（CDP）上。

1.1 CRL 分发点配置

CA 可以有多个 CDP。在颁发证书时，证书中会包含 CRL 和 CDP 信息。客户端每次遇到新证书时都会检查其有效性，并根据 CRL 和增量 CRL 的发布间隔进行额外检查。客户端还会按照 CA 上配置的顺序检查 CDP 位置。
配置 CRL 分发点的步骤如下：
1. 打开 CA 属性的“扩展”选项卡。
2. 若要发布供组织外部人员使用的证书，需确保有一个 CRL 托管在公共可用位置，如边界网络上的 Web 服务器或 Microsoft Azure 中。
3. 注意，对 CDP 设置所做的任何更改仅适用于更改后颁发的证书。如果更改后删除现有 CDP，客户端在遇到现有证书时将无法执行撤销检查，这些证书将被视为无效。

1.2 权威信息访问（AIA）

权威信息访问（AIA）点设置指定了客户端可以从何处检索颁发其遇到的证书的 CA 的 CA 证书。与 CRL DP 信息一样，对 AIA 信息的更改仅会出现在更改后颁发的证书中。因此，在当前颁发的证书过期或续订之前，需要保留现有的 AIA 点。
配置 AIA 扩展的步骤如下：
1. 打开 CA 属性的“扩展”选项卡。
2. 将“选择扩展”下拉菜单设置为“