Windows 2008之PKI实战4:吊销

核心提示： 我们将选择AIA扩展然后增加一个用户能够从那里获得该CA的证书的位置，如图32所示，Windows 2008之PKI实战4:吊销(2)，该位置可以是任何有效的URL或路径，它能够是一个HTTP、LDAP、文件地址、UNC或本地路径，它的版本号为3，对模板或CA来说，我们将输入在线响应程序的

我们将选择AIA扩展然后增加一个用户能够从那里获得该CA的证书的位置。如图32所示。

该位置可以是任何有效的URL或路径。它能够是一个HTTP、LDAP、文件地址、UNC或本地路径。我们将输入在线响应程序的完整URL。如图33所示。当安装在线响应程序的时候，IIS中使用的缺省虚拟目录是OCSP。我们将在在线证书状态协议（OCSP）扩展中包含这个位置。为了让该更改生效活动目录证书服务必须被重新启动。如图34所示。在线响应程序能够使用颁发的CA密钥或委派的签名密钥来签名OCSP的响应。委派的签名证书是：短期的，建议的有效期为两个星期。它包含了Id-pkix-ocsp-nocheck扩展，没有CRL分发点或AIA扩展，并且包含id-kp-OCSPSigning扩展密钥使用（EKU）。在 Windows Server 2003 和Windows Server 2008中，配置OCSP签名模板是不同的。在Windows Server 2008中，引入了版本号为3的模板。新的模板版本允许高级加密支持，除了其他的增强以外。同样在Windows Server 2008中，一个新的证书模板也被添加到活动目录中可用的模板中。该模板名称为OCSP Response Signing，它预配置有必须的扩展和前面列出的属性，它的版本号为3。对模板或CA来说，不需要做任何修改。