Утверждение, необходимое для продления сертификата при настройке автоматической регистрации сертификата

Предположим, что вы настраиваете автоматическую регистрацию сертификата с утверждением диспетчера сертификатов ЦС и допустимыми параметрами существующих сертификатов. При настройке срока действия и периода продления для автоматической регистрации диспетчера сертификатов центра сертификации требуется только для автоматической регистрации первоначального сертификата. Однако в этом сценарии последующие обновления сертификатов также требуют утверждения диспетчера сертификатов ЦС.

Примечание.

Чтобы определить период действия и период продления, используйте certutil -dstemplate <CertificateTemplateName> командлет и выполните поиск pKIExpirationPeriod (период действия) и pKIOverlapPeriod (период продления).

Автоматическая регистрация сертификата выполняется каждые восемь часов. Если неподдерживаемые значения срока действия и периода продления настроены в шаблоне сертификата, продление сертификата пропускается, а клиент запускает новые запросы регистрации вместо продления, а затем запрашивает утверждение диспетчера сертификатов ЦС.

Рекомендуемые значения срока действия и периода продления

Для продления сертификат должен завершить 80 % срока его действия и быть в течение периода продления. Например, сертификат, действительный в течение одного года, достигает отметки 80 % около 41,5 недель. Если сертификат имеет период продления в течение шести недель, он будет продлен в течение 46-го недельного периода.

Для нормального поведения продления задайте период продления более 8 часов и менее 20 % срока действия.

Примечание.

Выполнение продления сертификата будет пропущено в течение первого 80% срока действия сертификата и активируется за последние 20 %.

Эта проблема может возникать при обновлении любого типа сертификата.