AD CS：联机证书状态协议支持
在AD中配置CA、SSL,证书绑定keystore
配置AD、CA、SSL，绑定keystore在这就简单的介绍一下配置过程，未提到的设置基本就都采用默认即可。
1）安装AD:开始 -> 运行 -> dcpromote域名: NT域名: ldap即 Fully Qualified Domain Name (FQDN) 为 注意，一定要先安装 IIS , 再安装 CA.2）安装 IIS:开始-> 程序 -> 管理工具 -> 配置您的服务器向导 -> 应用服务器 (IIS, )进入 http:// /iisstart.htm 表示安装成功.3）安装CA:开始-> 设置 -> 控制面板-> 添加或删除程序 ->添加/删除Windows组件 -> 证书服务选择企业根CA共用名称 CA: testca进入 http:// /CertSrv 表示安装成功.4）生成证书请求:开始->程序->管理工具-> Internet 信息服务 (IIS) 管理器 -> Internet信息服务-> (本地计算机) -> 网站-> 右键点选默认网站 -> 属性 ->选择 "目录安全性" -> 服务器证书->新建证书 -> 准备证书，但稍后发送公共名称最好设置为 , 这是给使用者连ssl 的站点. 最后产生证书请求文件 , 默认为c:\certreq.txt5）在CA上请求证书:进入 http:// /CertSrv按申请一个证书 -> 高级证书申请-> 使用 base64 编码的 CMC 或 PKCS #10 文件提交一个证书申请，或使用base64 编码的 PKCS #7 文件续订证书申请。
使用记事本打开 c:\certreq.txt , copy c:\certreq.txt 内容贴至保存的申请:证书模板选择 Web 服务器, 按提交然后点选下载证书 , 将 certnew.cer 储存至 c:\certnew.cer6）安装证书:开始->程序->管理工具-> Internet 信息服务 (IIS) 管理器 -> Internet信息服务-> (本地计算机) -> 网站-> 右键点选默认网站->属性 -> 选择 "目录安全性" ->服务器证书->处理挂起的请求，安装证书 -> 路径和文件名: c:\certnew.cer网站SSL 端口: 4437）将 CA 证书加入至keystore 里:进入 http:// /CertSrv点选下载一个 CA 证书，证书链或 CRL点选下载 CA 证书, 然后下载并改名为 c:\ca_cert.cer安装CA后LDAP服务器C盘根目录会生成一文件_testca.crt然后执行命令:keytool -import -keystore "c:/testca.keystore" -file"_testca.crt" -storepass "changeit"keytool -import -keystore "c:/testca.keystore" -alias mkey -file "c:/ca_cert.cer" -storepass "changeit"出现 Trusted this certificate? 按 "y" 即新增成功.但经过个人的测试，其实只需使用_testca.crt这个证书就可以连接上SSL AD 636。
面向AdHoc网络的无证书认证组密钥协商协议
面向AdHoc网络的无证书认证组密钥协商协议在AdHoc网络中，无证书认证组密钥协商协议被广泛应用于节点之间安全通信的密钥协商过程。
与传统的公钥基础设施（PKI）系统相比，无证书认证组密钥协商协议无需依赖第三方认证机构，可以在无信任环境下完成节点间的密钥协商，因此在AdHoc网络中有着较好的适用性。
本文将重点探讨面向AdHoc网络的无证书认证组密钥协商协议的相关概念、存在的挑战和解决方法，以期为AdHoc网络的安全通信提供一定的参考。
一、无证书认证组密钥协商协议的基本概念无证书认证组密钥协商协议是指在AdHoc网络中，无需预先共享密钥或证书的情况下，由节点之间通过一定的协商协议达成共享密钥的过程。
通常情况下，无证书认证组密钥协商协议需要满足以下基本要求：1. 节点认证：参与协商的节点需要能够验证对方的身份，确保通信对象的合法性。
2. 私密性：协商过程中产生的共享密钥不能被窃取或破解。
3. 完整性：协商过程中的信息不能被篡改，确保协商结果的可靠性。
4. 鲁棒性：协商协议应当具有一定的抵抗攻击的能力，比如抵抗重放攻击、中间人攻击等。
目前，常见的无证书认证组密钥协商协议包括基于身份的协议（ID-based protocol）、基于密码学的协议等，它们通过不同的方式实现节点间的身份认证和密钥协商，具有各自的特点和适用场景。
在AdHoc网络中，由于网络拓扑结构的动态变化和节点的移动性，无证书认证组密钥协商面临着一系列的挑战与问题。
1. 节点认证问题：在无信任环境下，如何确保协商对方的身份合法性成为了一个难以解决的挑战。
一方面，节点可能受到伪装攻击或中间人攻击，导致无法正确验证对方身份；由于节点的移动性，节点的身份信息难以及时更新和验证。
2. 密钥协商的可靠性：AdHoc网络中，由于网络拓扑结构的不确定性，密钥协商可能受到重放攻击、消息篡改等问题的影响，导致协商结果的可靠性受到威胁。
3. 鲁棒性和效率：AdHoc网络中，由于节点数量众多、拓扑结构复杂，无证书认证组密钥协商协议需要具有较好的鲁棒性和高效率，否则将影响整个网络的通信质量和性能。
cs双协议
CS双协议1. 引言随着信息技术的发展，计算机网络在现代社会中扮演着至关重要的角色。
而在计算机网络中，协议是网络通信的基石，它规定了信息传输的方式和规则。
CS双协议是一种通过客户端-服务器模型实现通信的协议，本文将对CS双协议进行详细介绍。
2. CS双协议的定义CS双协议是指客户端-服务器（Client-Server）双方通过一定的规则和方式进行通信的协议。
简单来说，CS双协议是一种模式，通过该模式，客户端和服务器可以进行双向的信息传递和交互。
3. CS双协议的特点3.1 分工明确在CS双协议中，客户端和服务器各自承担不同的角色和任务。
客户端负责发起请求、发送数据等操作，而服务器则负责接收请求、处理数据并返回结果给客户端。
这种明确的分工使得通信过程更加高效和有序。
3.2 高度可靠性CS双协议采用了可靠的数据传输机制，确保数据的完整性和准确性。
通过建立连接、数据校验等方式，可以有效防止数据丢失或损坏，保证通信的可靠性。
3.3 灵活性和扩展性CS双协议具有较高的灵活性和扩展性，可以根据不同的需求和场景进行定制化的开发。
通过添加新的功能模块或调整现有模块，可以满足不同系统和应用的需求。
4. CS双协议的应用场景CS双协议广泛应用于各种网络通信场景，包括但不限于以下几个方面：4.1 网络游戏在网络游戏中，玩家通常需要与服务器进行大量的数据交互，如获取场景信息、发送指令等。
通过CS双协议，游戏客户端和游戏服务器可以实现实时的数据传输和交互，保证游戏的流畅性和稳定性。
4.2 在线聊天在线聊天程序是另一个常见的应用场景。
通过CS双协议，用户可以与聊天服务器进行实时的文字或语音交流。
这种方式不仅提供了快速、稳定的聊天体验，还可以支持多人同时在线聊天的功能。
4.3 远程桌面控制CS双协议还被广泛应用于远程桌面控制领域。
通过CS双协议，可以实现远程桌面的显示、命令的传输等功能。
这种方式使得用户可以通过网络远程访问并控制其他计算机，提高了工作效率和便捷性。
AD域的安装和ssl证书站点的架设
一、安装条件∙∙安装者必须具有本地管理员权限∙操作系统版本必须满足条件（windows server 2003 除WEB版外都满足）∙本地磁盘至少有一个NTFS文件系统∙有TCP/IP设置（IP地址、子网掩码等）∙有相应的DNS服务器支持∙有足够的可用空间二、安装安装活动目录：1、插入系统光盘。
2、打开【开始】菜单，单击【运行】命令，键入“Dcpromo”后单击【确定】按钮。
3、在出现的AD安装向导窗口中，单击【下一步】按钮。
4、出现操作系统兼容窗口，单击【下一步】按钮。
5、出现域控制器类型窗口，选中【新域的域控制器】，单击【下一步】按钮。
6、出现选择创建域的类型窗口，选中【在新林中的域】，单击【下一步】按钮。
7、出现新建域名窗口，键入要创建的域的域名，单击【下一步】按钮。
8、出现域NetBIOS名窗口，键入域的NetBIOS名，单击【下一步】按钮，向导会自动创建。
9、出现数据库和日志文件窗口，保持默认位置即可，单击【下一步】按钮。
10、出现共享的系统卷窗口，注意，文件夹所在分区必须是NTFS分区，保持默认位置即可，单击【下一步】按钮。
11、如果当前设置的DNS无法解析的话，会出现一个DNS注册诊断的窗口，可以选择第二项，把本机装成DNS服务器，单击【下一步】按钮。
12、在弹出的权限窗口中，保持默认选项即可，单击【下一步】按钮。
13、出现要输入目录还原模式的管理员密码，此密码用于【目录服务还原模式】下，单击【下一步】按钮。
14、向导会显示摘要，单击【下一步】按钮。
15、向导开始安装活动目录。
16、出现安装完成窗口，单击【完成】按钮，重新启动计算机即可。
卸载活动目录：1、打开【开始】菜单，单击【运行】命令，键入“Dcpromo”后单击【确定】按钮。
2、在出现的AD安装向导窗口中，单击【下一步】按钮。
3、向导会询问此服务器是否是域中最后一个域控制器。
如果域中没有其他的域控制器，选中它，单击【下一步】按钮。
CA认证的流程和原理概述
CA认证的流程和原理AD CS(活动目录证书服务)是微软的公钥基础结构（PKI）的实现。
PKI处理颁发并管理用于加密和身份验证的的数字证书的组件及过程。
AD CS颁发的数字证书可以用于加密文件系统、电子邮件加密、安全套接字层SSL和身份验证。
安装了AD CS的服务器成为证书颁发机构CA。
1.数字证书数字证书是一种电子凭据用于验证个人，组织和计算机。
证书颁发机构颁发和认证证书。
数字证书提供了一种方法来验证证书持有者的身份。
证书使用加密技术来解决两个实体之间的问题。
数字证书都用于非对称加密，它需要两个密钥，第一个密钥是私钥，它由被颁发了数字证书的用户或计算机安全地存储，第二个密钥是分发到其它用户和计算机的公钥。
由一个密钥加密的数据只能由另一个密钥解密。
这种关系确保对加密数据的保护。
一张证书包含下面的数据：1. 公用密钥证书主题的公钥和私钥对。
这样可以使用证书来验证拥有私钥的个人或计算机的标识。
例如，一台web服务器的数字证书包括web服务器的主机名和IP地址2. 有关申请证书的使用者的信息3. 有关CA颁发证书的详细信息，包括证书有效性的信息，包括如何使用证书以及它的有效期。
例如，可能限制一个证书只用于加密文件系统，证书只在特定时间期有效，通常是两年或更短，证书过期之后就不能再使用它了。
Enhanced Key Usage是证书的一个可选的扩展属性，这个属性包含一个目标标识符（OID），用于应用程序或者服务。
每个OID是一个独特的数字序列。
Key Usage: 证书允许主体执行特定任务。
为了帮助控制证书在其预定的目的以外的使用，限制自动放置在证书。
密钥用法（Key Usage）就是一个限制方法来决定一个证书可以被用来干什么。
它允许管理员颁发证书，它只能用于特定任务或用于更广泛的功能。
如果没有指定密钥用法，证书可以用于任何目的。
对于签名, key usage可以有下列一个或者多个用途：1. 数字签名2. 签名一种起源的证据3. 证书签名4. CRL签名2.CA证书颁发机构CA是向用户和计算机颁发数字证书的PKI组件，当组织实现数字证书时，他们必须考虑是使用AD CS还是一个外部CA来实现。
View利用AD组件生成SSL证书 替换VCS证书
利用AD组件生成SSL证书 替换VCS证书2015年12月27日22:55∙利用OpenSSL生成证书后，为环境提供证书服务；∙利用View Connection Server里的keytool来生成并替换证书；∙利用微软的AD 组件来生成证书服务器，为环境提供证书服务；1.准备一台windows server 2008 R2作为CA服务器，先加域（可由AD服务器）添加AD证书服务2.下一步3.默认“证书颁发机构Web注册”是不选的，也可以选择，下一步4.默认企业，下一步5.选择根CA，下一步6.下一步7.默认，下一步8.命名，下一步9.修改时间，下一步10.下一步11.下一步12.下一步13.下一步14.开始安装15.打开 管理工具=》证书颁发机构，右键点击证书模板，管理16.选择"Web服务器"，右键复制模板17.兼容windows 2003,下一步18.命名：V iew Connection Server19.切换到扩展，选择应用程序策略，点击编辑20.添加21.选择客户端身份验证22.点击确定23.切换到：请求处理，勾选允许导出私钥24.完成以后，就可以看到25.然后回到证书模板，新建26.选择View Connection Server27.完成以后，回到connection server设置28.回到view connection server主机，打开mmc29.添加删除30.选择证书，点击添加31.选择计算机账户32.默认，下一步33.点击确定，完成34.如图所示，申请新证书35.下一步36.选择AD，下一步37.如图操作38.友好名称：vdm39.按如下图，添加40.切换到私钥，勾选如图41.点击注册，完成42.选中刚刚创建的证书，导出43.下一步44.下一步45.下一步46.选择路径，导出文件47.下一步48.如图，导入49.下一步50.选择刚刚导出的证书51.下一步52.完成53.完成以后，如图54.将connection 服务重启55.重新登陆VCS查看状态56.将keys.p12拷贝到客户端，导入到本地计算机57.下一步58.输入之前的密码：password59.下一步60.完成61.打开view客户端，使用域名访问62.WEB页面访问，也不再提示证书错误了。
ad域证书详解-概述说明以及解释
ad域证书详解-概述说明以及解释1.引言1.1 概述概述部分的内容如下：在当今网络安全环境日趋复杂的背景下，AD域证书作为一种关键的安全技术，发挥着至关重要的作用。
随着企业规模的不断扩大和网络拓扑结构的不断复杂化，传统的身份验证方式已经无法满足对安全性和可管理性的需求。
AD域证书作为一种基于公钥基础设施(PKI)的安全解决方案，通过数字签名和加密技术，确保了用户身份、数据传输和通信的安全性。
本文将深入探讨AD域证书的定义、作用、生成和管理等方面，帮助读者全面了解这一重要的安全技术。
1.2 文章结构文章结构部分的内容如下：文章结构部分旨在介绍本文的结构安排，包括各个章节的主要内容和逻辑关系，为读者提供一个整体概览。
本文按照引言、正文和结论三个部分组织。
在引言部分，将介绍AD域证书的概述、文章结构和目的。
在正文部分，将详细介绍什么是AD域证书、AD域证书的作用以及AD域证书的生成和管理。
最后在结论部分，将总结AD域证书的重要性，探讨未来AD域证书的发展趋势，并进行结束语的总结。
整体结构清晰明了，有助于读者快速了解本文内容。
1.3 目的本文的目的是深入探讨AD域证书的概念、作用以及生成和管理方法，以帮助读者全面了解AD域证书的重要性和实际应用。
通过对AD域证书的详细解释和分析，读者可以更好地理解如何有效地配置和管理公司的域环境，增强网络安全性和管理效率。
此外，本文旨在对AD域证书的发展趋势进行展望，帮助读者了解未来AD域证书技术的变化和发展方向，为读者的职业发展和技术选型提供参考依据。
通过本文的阐述，读者可以更深入地了解AD域证书的重要性，并为未来的技术规划和决策提供帮助和指导。
2.正文2.1 什么是AD域证书AD域证书是用于在Microsoft Active Directory（AD）环境下进行身份验证和加密通信的数字证书。
在AD域中，证书被用来验证用户、计算机或服务的身份，并确保在网络上的通信是安全的和私密的。
AD端口详解及RPC动态端口限定
AD端口详解及RPC动态端口限定DC之间正常通信复制及加入域建议开放以下端口：用户登录与验证身份时会用到的连接端口用户登录时会用到以下的服务，因此如果用户的计算机与域控制器之间被防火墙隔开，就必须在防火墙开放这些服务的连接端口。
Microsoft-DS traffic: 445/TCP、445/UDPKerberos: 88/TCP、 88/UDPLDAP ping: 389/UDPDNS: 53/TCP、53/UDP计算机登录与验证身份时会用到的连接端口计算机登录到域控制器时会用到以下的服务，因此如果域的成员计算机与域控制之间被防火墙隔开，就必须在防火墙开放这些服务的连接端口。
Microsoft-DS traffic: 445/TCP、445/UDPKerberos: 88/TCP、 88/UDPLDAP ping: 389/UDPDNS: 53/TCP、53/UDP建立域信任时会用到的连接端口位于不同林的域在建立“显性信任（explicit trust）”关系时，会用到以下的服务，因此如果这两个域的域控制器之间被防火墙隔开，就必须在防火墙开放这些服务的连接端口。
Microsoft-DS traffic: 445/TCP、445/UDPKerberos: 88/TCP、 88/UDPLDAP：389/TCPAK 636/TCP（如果使用SSL）LDAP ping: 389/UDPDNS: 53/TCP、53/UDP验证域信任时会用到的连接端口两个域内的域控制器在验证信任关系时会用到以下的服务，因此如果这两台域控制器之间被防火墙隔开，就必须在防火墙开放这些服务的连接端口。
Microsoft-DS traffic: 445/TCP、445/UDPKerberos: 88/TCP、 88/UDPLDAP：389/TCPAK 636/TCP（如果使用SSL）LDAP ping: 389/UDPDNS: 53/TCP、53/UDPNet Logon service 无法被锁定在固定的一个RPC连接端口，也就是它是使用动态的RPC 连接端口，可以使RPC连接端口被限制在一个范围内。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
AD CS：联机证书状态协议支持更新日期：2007 年00 月21 日证书吊销是管理证书颁发机构(CA) 所颁发证书这一过程的必要部分。
交流证书状态的最常见方式是分发证书吊销列表(CRL)。
在Windows Server® 2008 中，使用传统CRL 的公钥基础结构(PKI) 不是最佳解决方案，可以使用基于联机证书状态协议(OCSP) 的联机响应程序来管理和分发吊销状态信息。
OCSP 支持有什么作用？使用分发OCSP 响应的联机响应程序以及使用CRL 是传达有关证书有效性信息的两种常用方法之一。
与定期分发并且包含有关已吊销或暂停的所有证书信息的CRL 不同，联机响应程序只接收和响应客户端的单个证书状态信息请求。
每个请求检索的数据量将保持不变，与存在的已吊销证书数无关。
在许多情况下，联机响应程序处理证书状态请求的效率要高于使用CRL。
例如：•远程连接到网络的客户端既不需要也不具有下载大型 CRL 所需的高速连接。
•网络需要在吊销检查活动中处理较大的峰值，例如在大量用户同时登录或发送已签名的电子邮件时。
•组织需要利用有效的方式分发非 Microsoft CA 颁发的证书的吊销数据。
•组织希望只提供验证个别证书状态请求所需的吊销检查数据，而不希望提供有关所有已吊销或暂停的证书的信息。
谁会对该功能感兴趣？该功能适用于拥有PKI 的组织，这些PKI 具有一个或多个基于Windows 的CA。
添加一个或多个联机响应程序可以明显提高组织PKI 的灵活性和可伸缩性；因此PKI 架构师、计划者和管理员应该对该功能感兴趣。
若要安装联机响应程序，您必须是将安装联机响应程序的计算机上的管理员。
是否有其他特殊注意事项？Windows Server 2008 中的联机响应程序包含以下功能：•Web 代理缓存。
联机响应程序 Web 代理缓存是联机响应程序的服务接口。
它作为由 Internet Information Services (IIS) 托管的 Internet 服务器 API (ISAPI) 扩展实现。
•对 NONCE 和 NO-NONCE 请求的支持。
可以使用 NONCE 和 NO-NONCE 请求的配置选项来防止联机响应程序响应的重播攻击。
•Windows 安装程序集成。
可以使用服务器管理器来安装联机响应程序。
•高级加密支持。
可以将联机响应程序配置为使用椭圆曲线加密 (ECC) 和 SHA-256 加密对操作进行加密。
•预配置的 OCSP 响应签名证书模板。
使用 Windows Server 2008 中的 OCSP 响应签名证书模板可以简化联机响应程序的部署。
•Kerberos 协议集成。
可以随着在登录时提示验证服务器证书而进行 Kerberos 密码身份验证，一起处理联机响应程序请求和响应。
Microsoft(R) 联机响应程序基于并符合针对OCSP 的RFC 2560。
因此，来自联机响应程序的证书状态响应通常称为OCSP 响应。
有关RFC 2560 的详细信息，请访问Internet 工程任务组网站(/fwlink/?LinkId=67082 )（可能为英文网页）。
联机响应程序提供了哪些新功能？可以从联机响应程序服务派生出以下两个重要的新功能集：•联机响应程序。
由安装了联机响应程序服务的单台计算机提供的联机响应程序基本功能。
•响应程序数组。
多个承载联机响应程序和处理证书状态请求的链接的计算机。
联机响应程序联机响应程序是运行联机响应程序服务的计算机。
托管CA 的计算机也可以配置为联机响应程序，但是，建议您在不同的计算机上维护CA 和联机响应程序。
一个联机响应程序可以为一个或多个CA 颁发的证书提供吊销状态信息。
可以使用多个联机响应程序分发CA 吊销信息。
为什么此功能非常重要？依赖于X.509 证书[如安全/多用途Internet 邮件扩展(S/MIME)、安全套接字层(SSL)、加密文件系统(EFS)] 的应用程序和智能卡需要验证证书的状态，只要这些证书用来执行身份验证、签名或加密操作就都如此。
证书状态和吊销检查基于以下内容验证证书的有效性：•时间。
颁发的证书只能在固定的时间段内使用，并且只要没有达到证书的截止日期且证书在该日期之前尚未吊销，即认为该证书有效。
•吊销状态。
可以因各种原因（如密钥泄漏或暂停）在证书的截止日期之前吊销证书。
CRL 包含由CA 颁发的已经吊销的所有证书的序列号。
若要使客户端能够检查证书的吊销状态，它需要下载包含有关已由CA 吊销的所有证书的信息的CRL。
一段时间之后CRL 可能会变得非常大，这会使CA 和信赖方需要大量的网络资源和存储。
这可能会导致在更加频繁地分发更新的CRL 和分发它们所需的时间和网络带宽之间进行权衡。
如果发布CRL 不太频繁，则客户端必须依赖不太准确的吊销信息。
为了解决CRL 大小问题，已经通过引入分区的CRL、增量CRL 以及间接CRL 进行了大量尝试。
所有这些方法都增加了系统的复杂性和成本，而没有提供一个解决方案。
工作方式有何不同？当使用联机响应程序时，联机响应程序（而不是信赖方）会接收所有证书吊销数据。
信赖方向联机响应程序提交一个有关单个证书的状态请求，联机响应程序返回一个已经过数字签名的确定响应，仅指示所请求证书的状态。
无论CA 上的证书数据库中存在多少吊销的证书，每个请求检索的数据量都不变。
对此更改应做哪些准备工作？可以在运行Windows Server 2008 的计算机上安装联机响应程序。
应该在CA 之后且颁发任何客户端证书之前安装联机响应程序。
证书吊销数据可以从发布的CRL 获得，该CRL 可以来自运行WindowsServer 2008 的计算机上的CA、运行Windows Server 2003 的计算机上的CA 或非Microsoft CA。
将CA 配置为支持联机响应程序服务之前，必须满足以下条件：•在安装联机响应程序之前，必须在计算机上安装 IIS。
当安装联机响应程序时，会自动安装用于联机响应程序的 IIS 的正确配置。
•必须在 CA 上配置 OCSP 响应签名证书模板，并且使用自动注册来向将安装联机响应程序的计算机颁发OCSP 响应签名证书。
•联机响应程序的 URL 必须包含在由 CA 颁发的证书的颁发机构信息访问 (AIA) 扩展中。
联机响应程序客户端使用此 URL 验证证书状态。
安装联机响应程序之后，还需要为每个CA 和联机响应程序所服务的CA 证书创建一个吊销配置。
吊销配置包含响应与使用特定CA 密钥颁发的证书有关的状态请求所需的所有设置。
这些配置设置包括：•CA 证书。
此证书可以位于域控制器上、本地证书存储中，也可以从文件中导入。
•联机响应程序的签名证书。
您可以自动选择此证书，也可以手动选择此证书（添加吊销配置之后需要执行另外的导入步骤），还可以使用所选的 CA 证书。
•将提供此配置使用的吊销数据的吊销提供程序。
此信息作为一个或多个 URL 输入，可以从这些 URL 中获得有效的基本 CRL 和增量 CRL。
重要事项：在开始添加新的吊销配置之前，确保您已获得了此列表中的信息。
响应程序数组可以在联机响应程序数组中链接多个联机响应程序。
数组中的联机响应程序称为数组成员。
必须将数组中的一个成员指定为数组控制器。
尽管可以单独配置和管理数组中的每个联机响应程序，但是，如果发生冲突，数组控制器的配置信息将覆盖其他数组成员上设置的配置选项。
为什么此功能非常重要？创建联机响应程序数组并向数组中添加其他联机响应程序的原因有很多，其中包括个别联机响应程序不可用时的容错、地理位置考虑、可伸缩性或者网络设计考虑。
例如，远程分支机构可能和CA 所在的总部连接不一致。
因此，它并不总是能够联系CA 或远程联机响应程序以处理吊销状态请求。
工作方式有何不同？由于联机响应程序数组的成员可以是远程成员并且容易出现不是最优网络的情况，因此可能会单独监视和管理数组中的每个成员。
对此更改应做哪些准备工作？建立联机响应程序数组时要求根据下列情况提前进行规划：•数组所服务的 CA 数量和位置。
•将从 CA 请求证书的客户端的数量及其位置。
•客户端、CA 和潜在的联机响应程序之间的网络连接。
•组织的 PKI 处理的证书注册请求、证书吊销请求和证书状态请求的量。
•个别联机响应程序不可用时的冗余需求。
规划了联机响应程序数组之后，必须协调很多过程来建立数组。
添加了哪些组策略设置以支持OCSP？已经添加了几个组策略设置，目的是改善OCSP 和CRL 数据使用的管理。
例如，CRL 有截止日期，如果在发布更新或者更新变得可访问之前已过截止日期，则证书链验证会失败，即使存在联机响应程序也是如此。
这是因为联机响应程序将依赖于来自过期的CRL 的数据。
在网络条件可能会延迟对更新的CRL 的及时发布和接收的情况下，管理员可以使用这些组策略设置来延长现有CRL 或OCSP 响应的过期时间。
可以使用“证书路径验证设置”（“计算机配置”、“Windows 设置”、“安全设置”和“公钥策略”）中的“吊销”选项卡来延长CRL 和OCSP 响应的生存时间。
若要配置这些选项，您需要：•单击“定义这些策略设置”。
•单击“允许所有 CRL 和 OCSP 响应的有效期超过其生存时间”。
•选择“可以延长有效期的默认时间”，然后输入所需的时间值（以小时为单位）。
“吊销”选项卡上的另一个选项允许您用CRL 中包含的信息覆盖OCSP 响应。
因此，如果客户端具有一个不包含其吊销状态的CRL，则通过将其添加到本地CRL 而吊销的证书仍然可以被验证为有效。
尽管不建议使用该选项，但是在CA 管理员验证更改之前，本地管理员所做的吊销更改不是最后更改的情况下，该选项非常有用。
这两个设置位于“计算机配置”、“Windows 设置”、“安全设置”和“公钥策略”中。
重要事项：修改组策略设置需要管理凭据。
部署此功能应做哪些准备工作？由于联机响应程序设计为服务各个证书状态请求，因此联机响应程序数组通常需要使用多个处于不同地理位置的联机响应程序来平衡负载。
由于已对每个状态响应进行签名，因此必须将每个联机响应程序安装在受信任的服务器上。
可以按照以下数组配置安装Windows Server 2008 联机响应程序：•一个联机响应程序用于多个 CA。
联机响应程序需要每个受支持 CA 的密钥和签名证书。
必须从正在颁发的 CA 为联机响应程序颁发一个签名证书。
联机响应程序无法提供链中比颁发此签名证书的 CA 高的证书状态。
•多个联机响应程序用于一个 CA。
每个联机响应程序都具有来自所支持的 CA 的签名密钥和证书。
可以通过群集来支持此功能。
群集逻辑可以指导客户端向特定联机响应程序发出请求。