Добрый день.
В свойствах ЦС, в расширениях были настроены точки распространения CDP и AIA (2 сервера по http).
В закладке "Модуль политик" -> "Правила Формирования CDP и AIA" было настроено одно правило "All_cert" без всяких условий, где были выбраны (отмечены) наши точки распространения CDP и AIA.
При формировании пользовательских сертификатов эти точки вставлялись как нам надо, а именно:

---

[1]Точка распространения списка отзыва (CRL)
Имя точки распространения:
Полное имя:
URL=http://www.xxx.ru/ra/cdp/xxx.crl
URL=http://ra.xxx.ru/ra/cdp/xxx.crl

---

[1]Доступ к сведениям центра сертификации
Метод доступа=Поставщик центра сертификации (1.3.6.1.5.5.7.48.2)
Дополнительное имя:
URL=http://www.xxx.ru/ra/aia/ca-xxx.cer
[2]Доступ к сведениям центра сертификации
Метод доступа=Поставщик центра сертификации (1.3.6.1.5.5.7.48.2)
Дополнительное имя:
URL=http://ra.xxx.ru/ra/aia/ca-xxx.cer

---

Но при замене корневого сертификата в него тоже вставились точки распространения CDP, причем как-то странно, в таком вот виде:

---

[1]Точка распределения списка отзыва (CRL)
Имя точки распространения:
Полное имя:
URL=http://ca/CertEnroll/xxx.crl
URL=file://\\CA\CertEnroll\xxx.crl
URL=http://www.xxx.ru/ra/cdp/xxx.crl
URL=http://ra.xxx.ru/ra/cdp/xxx.crl

---

Точки AIA не вставились.

Вопрос:
1) Почему в новый корневой сертификат вставились "точки распространения CDP" в таком "кривом" виде?
2) Почему попутно не вставились AIA?
3) Как сделать так, чтобы в будущем ни CDP ни AIA не вставлялись в корневой сертификат?
4) Есть ли потенциальная проблема в этих «кривых» точках распространения CDP (ссылки на не существующие точки распространения CDP или на списки CDP подписанные предыдущим корневым сертификатом)?

И попутный вопрос:
1) Можно ли автоматизировать имя CDP, так, чтобы при замене корневого сертификата, в пользовательские сертификаты подписанные им, в точки распространения CDP вставлялся именно его идентификатор? Или это невозможно и сразу после замены корневого сертификата надо править точки распространения CDP?

Заранее благодарен
С уважением
Алексей

Василий, большое спасибо за ответ.

Win Serv 2003 со вторым сервиспаком.

CAPolicy.inf
[Version]
Signature="$Windows NT$"

[CRLDistributionPoint]
URL=""

Реестр
CACertPublicationURLs:
1:C:\WINDOWS\system32\CertSrv\CertEnroll\%1_%3%4.crt
0:ldap:///CN=%7,CN=AIA,CN=Public Key Services,CN=Services,%6%11
2:http://%1/CertEnroll/%1_%3%4.crt
2:file://\\%1\CertEnroll\%1_%3%4.crt
2:http://www.xxx.ru/ra/aia/ca-xxx.cer
2:http://ra.xxx.ru/ra/aia/ca-xxx.cer


CRLPublicationURLs:
65:C:\WINDOWS\system32\CertSrv\CertEnroll\%3%8%9.crl
0:ldap:///CN=%7%8,CN=%2,CN=CDP,CN=Public Key Services,CN=Services,%6%10
6:http://%1/CertEnroll/%3%8%9.crl
6:file://\\%1\CertEnroll\%3%8%9.crl
0:http://www.xxx.ru/ra/cdp/xx1.crl
0:http://ra.xxx.ru/ra/cdp/xx1.crl
6:http://www.xxx.ru/ra/cdp/xx2.crl
6:http://ra.xxx.ru/ra/cdp/xx2.crl

Похоже вставилось те строчки где указана цифра 6 (видимо это одна из галочек в закладке "Расширения").

Пришлите пожалуйста упомянутую утилиту на адрес из профайла, будем делать " красиво".
С уважением
Алексей

Василий, спасибо за утилиту.
Запустил, она нормально проработала, точки CDP из сертификата исчезли.
Сертификат переустановил, в корневые его занес, сертификат с CDP вроде как отовсюду почистил
Но при запуске службы возникает ошибка:Цепочка сертификатов обработана, но обработка прервана на корневом cepтификaтe, у которого отсутствует отношение доверия с поставщиком доверия. 0х800b0109 (-2146762487)
При этом в ветке: Промежуточные центры сертификации -> Сертификаты появляется "старый" сертификат с CDP (с отметкой что к нему нет доверия), откуда он там берется не пойму. После его удаления и повторного пуска службы он сновая появляется.

Подскажите, что не так сделал?
С уважением
Алексе

Василий,
спасибо, все получилось и на тестовом и на боевом сервере, правда новые сертификаты пока не выпускали, но надеюсь проблем не возникнет.
Проконсультируйте, пожалуйста, еще по одному вопросу, что правильнее писать в AIA:
1) ссылку на каталог где выложены корневые сертификаты за несколько лет;
2) ссылку на файл с корневым сертификатом с уникальным именем (в имени идентификатор как и CDP);
3) или просто ссылку на текущий корневой сертификат (для прошлогодних сертификатов ссылка уже будет не верна)
С уважением
Алексей

... или вообще ничего не писать.
Как правило, сертификат ЦС должен распространяться через какой-то доверенный источник или доверенный канал.
Например, пользователю лично в руки на съёмном носителе.
Даже если это невозможно, то лучше, чтобы пользователь сам скачивал сертификат ЦС (по ссылке, приведённой на сайте УЦ) и сам его устанавливал (и брал на себя ответсвенность за это действие).