PKI Trust Chain.

[Droid86]

Hey Medetweakers,

Ik heb vraag. Op dit moment ben ik bezig met het opzetten van een PKI testopstelling voor mijzelf om hier mee kunnen spelen.

Nu heb ik besloten om gebruik te maken van een offline Root CA met daaronder twee Offline Policy CA's met daaronder weer Enterprise Issuing CA's. Het gaat hier dus om een Tier 3 hierachy.

Nu loop ik echter tegen het probleem aan bij de validatie van Policy CA certificaat op mijn eerst policyca server.
Wanneer ik namelijk de cert request heb verwerkt op mijn Root CA en de certificaat importeer + de Root CA cert plaats onder de Trusted Root CA's. Krijg ik bij het opstarten van de PolicyCa1 de volgende melding:

Cannot verify certificate chain. Do you wish to ignore the error and continue? The revocation function was unable to check the revocation for the certificate.

Nu heb ik hier op gegoogled maar is het antwoord die ik zo'n beetje ben tegenkomen van schakel revocation checking uit. Het lijkt me niet de bedoeling dat dit zo wordt opgelost?

Bij deze dus mijn vraag of iemand misschien weet wat ik verkeerd heb gedaan. Zover ik weet heb ik namelijk alles zoals in de handleiding van het microsoft boek voor pki win2008 uitgevoerd. Op de Root CA cert heb ik ook de cdp&aia locaties verwijderd zoals aangegeven.

[DukeBox]

Kloppen alle DNS-en, is alles resolvable ?

[Droid86]

Alle dns-en zijn op dit moment idd resolvable. Alleen is het zo dat het offline Root CA wordt en een Offline Policy CA. Nu is dus meer de vraag hoe zorg ik er voor dat ik geen error krijg bi het opstarten van mijn policy CA.
Maakt die error uberhaupt wel uit wanneer het gaat om een offline policy ca?
Ik dacht dat het moment dat ik de certificaten had geimporteerd in de local store de certificate gewoon geaccepteerd zou worden. Als ik de certificaat namelijk controleer staat er ook gewoon certificate status Ok en zie je de chain van de PolicyCA naar de RootCA cert.

Ik heb mogelijk het probleem al gevonden. Volgens mij ben ik vergeten de CRL's te importeren.


Ah ik heb het probleem gevonden. Ik had namelijk geen geldige CRL van de RootCA geimporteerd op de PolicyCA waardoor hij niet kon valideren of het certificaat daadwerkelijk nog geldig was.Stom stom stom...
Toch bedankt voor de hulp.

[ Voor 23% gewijzigd door Droid86 op 02-07-2013 15:36 ]

[DukeBox]

Klinkt idd als de logische oorzaak.