憑證授權單位單位更新

憑證服務 支援更新 憑證授權單位單位 (CA) 。 更新是發行新憑證給 CA，以將 CA 生命週期延長到其原始憑證的結束日期。 您可以使用 -renewCert 命令) ，將 CA 更新為憑證授權單位單位 MMC 嵌入式管理單元內的工作，或使用 Certutil.exe 工具 (。

每個更新都會產生新的 CA 憑證;不過，系統管理員可以產生新的公開/私密金鑰組，或重複使用 CA 憑證的現有公開/私密金鑰組。 為了一致性和完整性，CA 憑證和 憑證撤銷清單 (CA 發行的 CRL) ，在 CA 更新之後才能使用。 若要提供這些憑證，憑證服務會維護 CA 憑證、CRL 和金鑰的索引。

在各種 CA 更新作業期間，CA 憑證和 CRL 的索引和尾碼名稱如下。

作業	CA 憑證索引	CA 憑證檔案名尾碼	CRL 和索引鍵索引	CRL 和金鑰容器名稱尾碼
原始 CA 安裝	0	""	0	""
使用新金鑰更新	1	「 (1) 」	1	「 (1) 」
更新重複使用金鑰	2	「 (2) 」	1	「 (1) 」
更新重複使用金鑰	3	「 (3) 」	1	「 (1) 」
使用新金鑰更新	4	「 (4) 」	4	「 (4) 」
更新重複使用金鑰	5	「 (5) 」	4	「 (4) 」
使用新金鑰更新	6	「 (6) 」	6	「 (6) 」
更新重複使用金鑰	7	「 (7) 」	6	「 (6) 」

 

安裝 CA 時，憑證索引為零，且憑證尾碼為 「」 (空字串) 。 每次更新憑證時， (是否重複使用金鑰) ，憑證索引會遞增一個，而憑證檔案名尾碼會變成 「 (n) 」 格式的字串，其中 n 代表 CA 憑證已更新的次數。 第一次更新之後，憑證索引為 1，憑證檔案名尾碼為 「 (1) 」。 第二次更新之後，憑證索引為 2，憑證檔案名尾碼為 「 (2) 」，依此類傳。

雖然每次更新 CA 時，CA 憑證索引和尾碼都會遞增一個，但只有在更新程式封裝含新的公開/私密金鑰組時，CRL 和金鑰索引和檔案名尾碼才會設定為 CA 憑證索引。 如果沒有，這些索引和尾碼的值會維持與上一個索引的值相同。 在更新期間，系統管理員會指定是否產生新的金鑰組，還是使用現有的金鑰組。 (在憑證授權單位單位 MMC 嵌入式管理單元中，使用者介面中的選項會指定新的或現有的金鑰組;在 Certutil.exe 工具中， certutil -renewCert 命令會以新的金鑰組更新 CA，而 certutil -renewCert ReuseKeys 命令會以現有的金鑰組更新 CA。)

CRL 索引會直接系結至索引鍵索引，只有在新金鑰組用於更新時，才會設定為 CA 憑證索引。 第一次更新 (使用新金鑰組) 之後，CRL 和索引鍵的索引會設定為 1，而 CRL 和金鑰容器名稱尾碼為 「 (1) 」。 不過，第二次更新之後，CRL 和索引鍵的索引會維持 1，而 CRL 和金鑰容器名稱尾碼也會維持 「 (1) 」 ;這是因為第二次更新使用現有的金鑰組，而且每個 CA 金鑰組只會發出一個 CRL。

您可以在ICertServerExit和ICertServerPolicy) 介面中呼叫GetCertificateProperty方法 (，以擷取索引的 CA 憑證和 CRL。 當您擷取與 CA 憑證或 CRL 相關的特定屬性時，您可以將 CA 憑證的以零起始的索引附加至屬性名稱。 例如，若要擷取對應至 CA 第三個憑證的 CRL 索引，請將屬性 「CRLIndex.2」 傳遞至 ICertServerPolicy：：GetCertificateProperty;針對資料表，擷取的 「CRLIndex.2」 屬性值會是 1。 稱為 「CertCount」 的屬性可用來判斷 CA 已發行 CA 憑證的次數。

CA 憑證和 CRL 包含一個延伸模組，可提供憑證和金鑰索引的相關資訊。 此延伸模組在 Wincrypt.h 中定義為 szOID_CERTSRV_CA_VERSION，其值為 「1.3.6.1.4.1.311.21.1」。 延伸模組資料是 DWORD 值， (編碼為延伸模組) 中的X509_INTEGER;低 16 位是憑證索引，高 16 位是索引鍵索引。

CA 的初始安裝會產生零的憑證索引，以及零的索引鍵索引。 CA 憑證的更新會導致憑證索引遞增。 如果在更新中重複使用索引鍵，索引鍵索引會與前一個索引鍵索引相同。 如果未重複使用金鑰，索引鍵索引會符合新的憑證索引。

相關主題

ICertServerPolicy：：GetCertificateProperty

ICertServerExit：：GetCertificateProperty