单个ADCS实例能“持有”多个PKI名称空间吗？

我想节省操作系统许可证，简化CRL更新并在给定服务器上拥有多个证书实例。

对我来说，这从安全的angular度来看是有道理的，因为我有：

• 一个充当根的CA，需要发布和更新策略服务器的CRL（下一个要点）

• 有许多策略服务器（第二层）受到名称约束或EKU用法的限制。 同样，这些也需要发布许多CRL和AIAlogging。

  • ASA Certifiate与服务器名称不匹配
  • 如何找出证书请求的来源
  • 使用AD集成的企业CA颁发Exchange 2010证书
  • PKI在域控制器上颁发CA.
  • 删除过期的CA证书

• 我们目前估计需要10,000到50,000个策略服务器。 每个策略服务器将在Azure blob存储中存储一个CRL，并为每个服务器提供一个专用容器以实现IO可伸缩性。

根据certutil -ping（即config参数）的输出，看起来每个ADCS实例可以有多个configuration。

另外，Certutil的其他几个参数（以及相应的API）允许我指定要连接的“实例”。

/// --- NOTE: The ability to specify an individual config seems to indicate multiple PKIs are possible per box: PS C:\Windows\system32\CertSrv\en-US> certutil -ping -config "a.Issue01.bitclear.us\Secure Issuer 01a-001" Connecting to a.Issue01.bitclear.us\Secure Issuer 01a-001 ... Server "Secure Issuer 01a-001" ICertRequest2 interface is alive (0ms) CertUtil: -ping command completed successfully. /// --- NOTE "Entry 0" implies that more entries are possible PS C:\Windows\system32\CertSrv\en-US> certutil -v Entry 0: (Local) Name: `Secure Issuer 01a-001' Organizational Unit: `Email Privacy' Organization: `Bitclear LLC' Locality: `' State: `' Country/region: `us' Config: `a.Issue01.bitclear.us\Secure Issuer 01a-001' Exchange Certificate: `' Signature Certificate: `a.Issue01.bitclear.us_Secure Issuer 01a-001.crt' Description: `' Server: `a.Issue01.bitclear.us' Authority: `Secure Issuer 01a-001' Sanitized Name: `Secure Issuer 01a-001' Short Name: `Secure Issuer 01a-001' Sanitized Short Name: `Secure Issuer 01a-001' Flags: `13' Web Enrollment Servers: 1 4 0 https://a.issue01.bitclear.us/Secure%20Issuer%2001a-001_CES_UsernamePassword/service.svc/CES 0 CertUtil: -dump command completed successfully. 

每个ADCS主机是否可以托pipe多个PKI？ 这将如何完成？

除此之外：我记得过去有可能进行讨论，但是我不确定它是否被执行。

去做：

当我运行命令时，我将用一个自定义的CertFile和一个新的名字来testing这个理论：

 certutil -installcert [-f] [-gmt] [-seconds] [-v] [-config CAMachineName\CAName] [CACertFile] 

这也可能与“PolicyServers”和“EnrollmentServers”可以连接到这个命令。 从核心的ADCS实例中分离出来的能力是非常有趣的，并且真正logging下来。