Поднимаю CA под Windows Server 2008 R2 SP1 (для тестов-всё будет на одном сервере, т.е. выключенного из сети корневика не будет).
На клиентах хотят видеть КриптоПро (российскую криптографию).
Перед инсталляцией осталось несколько неясностей. Буду благодарен за ответы на вопросы:
1) Что ставить первым на сервер Windows Server 2008 R2: КриптоПро CSP 3.6 R3, а потом роль Certificate Service (где генериться Root-sertificat для Enterprise-типа CA) или наоборот? Вопрос возник потому, что я не понимаю с каким криптопровайдером генерится ROOT сертификат CA при его первичной установке если стоит и не стоит в это время на сервере Крипто-Про CSP+TLS ?
2) Если в этот момент не будет стоять Крипто-Про CSP 3.6 R3 и TLS, а мне нужны сертификаты для клиентов (логинов в домене) с российской криптографией, то наверное, и корневой сертификат CA тоже должен быть изначально сгенерён по российскому криптопровайдеру?
3) Или это необязательно или даже вредно, если этот CA будет использоваться и для других целей (SSL для серверов, например, с американским криптопровайдером RSA)?
4) Вообще, после установки на сервер Крипто-Про CSP 3.6 R3 в окне генерации сертификата корневого CA (при установки роли) будет российская криптография или она на этом этапе не нужна?
5) Правильно ли я понимаю, что установка на сервер Крипто-Про CSP 3.6 R3+TLS просто добавляет российский криптопровайдер в окне генерации сертификата из шаблона для клиентов (он называется Crypto-Pro GOST R34.10.2011 CSP)? В том числе и для CA (или подчинённых CA)
6) Нужно ли мне на клиенте (и сервере) при установке КриптоПро CSP 3.6 R3 выбирать компонент Revocation Provider (OCSP) если в домене на CA будет служба OCSP из состава Certificates Service W8K R2 SP1. Этот компонент из КриптоПро CSP 3.6 R3 про КиптоПро-шный сервис OCSP или про виндовый OCSP?\
7) Серверные лицензии Крипто-Про CSP 3.6 R3+TLS мне теперь нужно ставить на все сервера для которых мне нужен Web-сертификат или он там не нужен, или нужна не серверная лицензия?

Отредактировано пользователем 22 августа 2011 г. 15:25:04(UTC)  | Причина: Не указана

Огромное спасибо за пояснения!

Посмотрите что есть права для запроса (компьютеры домена), в свойствах шаблона длинна ключа 512-бит, наличие что он разрешен, не стоит галочки примерно звучащей так - "разрешить экспортировать закрытый ключ".

Должно быть так:

Шаблоны сертификатов - Управление, далее копируете необходимый шаблон и после этого можете его изменять как хотите.
После изменения добавляете его, на шаблоны сертификатов Создать - Выдаваемый шаблон сертификатов, или что-то подобное там имеется, на 2008 R2 отличий по настройке шаблонов от 2003 нету.