Доброго времени суток!
Коллеги кто уже сталкивался с вопросом смены корневого сертификата ЦС. В «Руководстве по эксплуатации ЦС» всего несколько пунктов из которых не ясно потребуется ли перевыпуск сертификатов ЦР(клиентский WEB-сервера), а также сертификаты служб OCSP и TSP, ключевой носитель использовать можно старый или нужен новый носитель.

Тогда еще вопросик если следовать "Руководству по эксплуатации ЦС" раздел 13 смена ключей ЦС, для обновления коневого сертификата требуется остановить службу ЦС и запустить задачу "Обновить сертификат ЦС" в процессе возникает сообщение "Службы сертификации Active Directory" что "Закрытый ключ УЦ уже существует. Хотите перезаписать его, заменив новым ключом?". Как сформировать новый закрытый ключ сохранив при этом старый(и должен ли он вообще быть сохранен или перезаписан)?

Анатолий, странная ситуация. Вот Вы говорите, что предыдущий ключ уничтожили. А как же Вы будете выпускать весь следующий год списки отзыва?

Ладно.. может не в свое дело лезу.

По делу: есть в документации инструкция по выводу из эксплуатации сертификатов ЦС. поможет Вам, думаю

Да какое там восстановление без ключа?

вот смотрите пример: выпускаете вы клиенту сер-т 30.04.14. Действовать он будет до 30.04.15. Все это время (год) Вам нужно выпускать актуальные списки отзыва сертификатов (СОС), чтобы клиентский сер-т можно было как-то проверять.
СОС выпускается на том же корневом, что и клиентский сер-т.

А Вы взяли и 1.05.2014 удалили этот корневой. Как только закончится СОС, клиентский сер-т можно смело "выбросить"

По поводу портов: есть такая клевая штука в CSP - служба хранения ключей. Вообще говоря токены и не должны бы торчать в сервере постоянно. Запустили ЦС (хоть с 20-ти токенов), убрали токены в сейф и все

Отредактировано пользователем 5 мая 2014 г. 16:55:04(UTC)  | Причина: Не указана