如何从 Windows 2000/2003 域手动删除企业 Windows 证书颁发机构

  • 项目

本文由 Microsoft MVP Yuval Sinay 撰写。

适用于： Windows Server 2003
原始 KB 编号： 555151

症状

在某些组织中，企业 Windows 证书颁发机构有定期备份过程。 如果软件/硬件) (服务器问题，则可能需要重新安装企业 Windows 证书颁发机构。 在重新安装企业 Windows 证书颁发机构之前，可能需要手动删除属于原始企业 Windows 并驻留在 Windows Active Directory 中的对象和数据。

原因

企业 Windows 证书颁发机构将配置设置和数据保存在 Windows Active Directory 中。

解决方案

A. 备份：

建议在遵循此过程 之前 和 之后 备份包含 Active Directory 相关数据的所有节点，包括：

  • Windows 域控制器
  • Exchange Servers
  • Active Directory 连接器
  • Windows Server with Services for Unix
  • ISA Server Enterprise
  • 企业 Windows 证书颁发机构

使用以下过程作为最后手段。 它可能会影响生产环境，并可能需要重启某些节点/服务。

B. Active Directory Clean：

注意

使用具有以下权限的帐户登录到系统：

  1. 企业管理员
  2. 域管理员
  3. 证书颁发机构管理员
  4. 架构管理员 (充当架构主 FSMO 的服务器应在) 过程中联机。

若要从 Active Directory 中删除所有认证服务对象，请执行以下操作：

  1. 启动“Active Directory 站点和服务”。

  2. 选择“查看”菜单选项，然后选择“显示服务”节点。

  3. 展开“服务”，然后展开“公钥服务”。

  4. 选择“AIA”节点。

  5. 在右侧窗格中，找到证书颁发机构的“certificateAuthority”对象。 删除 对象。

  6. 选择“CDP”节点。

  7. 在右侧窗格中，找到安装认证服务的服务器的 Container 对象。 删除容器及其包含的对象。

  8. 选择“证书颁发机构”节点。

  9. 在右侧窗格中，找到证书颁发机构的“certificateAuthority”对象。 删除 对象。

  10. 选择“注册服务”节点。

  11. 在右侧窗格中，验证证书颁发机构的“pKIEnrollmentService”对象是否删除。

  12. 选择“证书模板”节点。

  13. 在右侧窗格中，删除所有证书模板。

    注意

    仅当林中未安装其他企业 CA 时，才删除所有证书模板。 如果无意中删除了模板，请从备份还原模板。

  14. 选择“公钥服务”节点并找到“NTAuthCertificates”对象。

  15. 如果林中没有安装其他企业版或独立 CA，请删除该对象，否则将其保留。

  16. 使用 Windows 资源工具包中的“Active Directory 站点和服务”或“Repadmin”命令强制复制到域/林中的其他域控制器。

域控制器清理

删除 CA 后，需要删除已颁发给所有域控制器的证书。 可以使用资源工具包中的 DSSTORE.EXE 轻松完成此操作：

还可以使用 certutil 命令删除旧的域控制器证书：

  1. 在域控制器上的命令提示符处，键入： certutil -dcinfo deleteBad。

  2. Certutil.exe 将尝试验证颁发给域控制器的所有 DC 证书。 将删除无法验证的证书。 此时，可以重新安装证书服务。 安装完成后，新的根证书将发布到 Active Directory。 域时
    客户端会刷新其安全策略，它们会自动将新的根证书下载到其受信任的根存储中。 o 强制应用安全策略。

  3. 在命令提示符下，键入 gpupdate /target: computer。

    注意

    如果企业 Windows 证书颁发机构发布的计算机/用户证书或其他类型的证书 (Web Server 证书等) ，建议在重新安装企业 Windows 证书之前删除旧证书。

更多信息

社区解决方案内容声明

Microsoft 公司和/或其供应商不对在这里所发布的信息和图片的适用性、可靠性或准确性负责。 所有此类信息和相关图形均按“原样”提供，不作任何形式的保证。 Microsoft 和/或其相应的供应商特此声明，不对本信息和相关图形提供任何保证和条件，包括所有暗示的保证和适销性条件、特定用途的适用性、工作人员的工作、所有权和非侵权。 你明确同意，在任何情况下，Microsoft 和/或其供应商都不对任何直接、间接、惩罚性、附带、特殊、后果性损害或任何损害负责，包括但不限于因以下原因或以任何方式造成的使用、数据或利润损失的损害负责：即使微软或其任何供应商已被告知有可能受到损害，但由于使用或无法使用本文所含信息和相关图形，无论是基于合同、侵权、疏忽、严格责任还是其他原因。