目录

简介

前提条件

要求

使用的组件

配置

在CA上创建并配置文件夹以容纳CRL文件

在IIS中创建站点以公开新的CRL分发点

配置Microsoft CA服务器以将CRL文件发布到分发点

验证CRL文件存在且可通过IIS访问

配置ISE以使用新的CRL分发点

验证

故障排除

简介

本文档介绍运行Internet Information Services(IIS)以发布证书吊销列表(CRL)更新的Microsoft证书颁发机构(CA)服务器的配置。它还说明如何配置思科身份服务引擎(ISE)（3.0版及更高版本）以检索更新以用于证书验证。ISE可以配置为检索它在证书验证中使用的各种CA根证书的CRL。

前提条件

要求

本文档没有任何特定的要求。

使用的组件

本文档中的信息基于以下软件和硬件版本：

- 思科身份服务引擎版本3.0

- Microsoft Windows Server 2008 R2

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

配置

本部分提供有关如何配置本文档所述功能的信息。

在CA上创建并配置文件夹以容纳CRL文件

第一项任务是配置CA服务器上的位置以存储CRL文件。默认情况下，Microsoft CA服务器将文件发布到 C:\Windows\system32\CertSrv\CertEnroll\

请为这些文件创建一个新文件夹，而不是使用此系统文件夹。

1. 在IIS服务器上，选择文件系统上的位置并创建新文件夹。在本示例中，创建了C:\CRLDistribution文件夹。

2. 要使CA将CRL文件写入新文件夹，必须启用共享。右键单击新文件夹，选择Properties并单击选Sharing项卡，然后单击Advanced Sharing它。

3. 要共享文件夹，请选中此复选框，然后在“共享名称”字段中的共享名称末尾添加一个美元符号($)以隐藏共享Share this folder。

4. 单Permissions击(1)，单Add击(2)，单Object Types击(3)，然后选中Computers复选框(4)。

5. 要返回“选择用户”、“计算机”、“服务帐户”或“组”窗口，请单OK击。在Enter the object names to select（输入要选择的对象名称）字段中，输入CA服务器的计算机名称（本例中为WIN0231PNBS4IPH），然后单Check Names击。如果输入的名称有效，该名称将刷新并显示下划线。单击。OK

6. 在“组或用户名”字段中，选择CA计算机。检查AllowFull Control以授予对CA的完全访问权限。
单击。OK再次OK单击以关闭“高级共享”窗口并返回到“属性”窗口。

7. 要允许CA将CRL文件写入新文件夹，请配置相应的安全权限。单击Security(1)选项卡，单击(Edit2)，单击(Add3)，单击Object Types(4)，然后选中Computers复选框(5)。

8. 在“输入要选择的对象名称”字段中，输入CA服务器的计算机名称，然后单Check Names击。如果输入的名称有效，该名称将刷新并显示下划线。单击。OK

9. 在Group or user names字段中选择CA计算机，然后选中AllowFull control以授予对CA的完全访问权限。单击OK，然后单击Close以完成任务。

在IIS中创建站点以公开新的CRL分发点

要使ISE访问CRL文件，请使包含CRL文件的目录可通过IIS访问。

1. 在IIS服务器任务栏上，单击Start。选择 。Administrative Tools > Internet Information Services (IIS) Manager

2. 在左侧窗格（称为控制台树）中，展开IIS服务器名称，然后展开Sites。

3. 右键单Default Web Site击并选Add Virtual Directory择，如下图所示。

4. 在“别名”字段中，输入CRL分发点的站点名称。在本示例中，输入CRLD。

5. 单击省略号(. ..)在Physical path（物理路径）字段右侧并浏览到第1部分中创建的文件夹。选择文件夹并单击OK。点击OK以关闭“添加虚拟目录”窗口。

6. 在步骤4中输入的站点名称必须在左窗格中突出显示。否则，请立即选择它。在中心窗格中，双击Directory Browsing。

7. 在右侧窗格中，Enable单击以启用目录浏览。

8. 在左侧窗格中，再次选择站点名称。在中心窗格中，双击Configuration Editor。

9. 在Section下拉列表中，选择system.webServer/security/requestFiltering。在下allowDoubleEscaping拉列表中，选择True。在右侧窗格中，点Apply击，如下图所示。

现在必须通过IIS访问该文件夹。

配置Microsoft CA服务器以将CRL文件发布到分发点

现在已配置新文件夹来容纳CRL文件，并且该文件夹已在IIS中公开，请将Microsoft CA服务器配置为将CRL文件发布到新位置。

1. 在CA服务器任务栏上，单Start击。选择 。Administrative Tools > Certificate Authority

2. 在左窗格中，右键单击CA名称。选择Properties并点击该选项Extensions卡。要添加新的CRL分发点，请点击Add。

3. 在Location字段中，输入在第1部分创建和共享的文件夹的路径。在第1部分的示例中，路径为：
\\WIN-231PNBS4IPH\CRLDISTRIBUTION$

4. 填写Location字段后，从

Variable下拉列表中选择，然后点击 Insert.

5. 从变量(Variable)下拉列表中，选择并

单击“变量”Insert。

6. 在Location字段中，.crl追加到路径末尾。在本示例中，位置为：
\\WIN-231PNBS4IPH\CRLDistribution$\

.crl

7. 点击OK以返回到Extensions（分机）选项卡。选中此复Publish CRLs to this location选框，然后单击关OK闭“属性”窗口。
系统将显示一个提示符，询问是否有权重新启动Active Directory证书服务。单击。Yes

8. 在左窗格中，右键单Revoked Certificates击。选择 。All Tasks > Publish确保选中“New CRL（新建CRL）” ，然后单OK击。

Microsoft CA服务器必须在第1节中创建的文件夹中创建新的.crl文件。如果成功创建新的CRL文件，则单击“确定”(OK)后将不会出现对话框。如果返回有关新分发点文件夹的错误，请仔细重复本节中的步骤。

验证CRL文件存在且可通过IIS访问

在开始本部分之前，验证新的CRL文件是否存在，以及是否可以从其他工作站通过IIS访问这些文件。

1. 在IIS服务器上，打开第1部分中创建的文件夹。必须存在一个.crl文件，其格

.crl

式

为CA服务器的名称。在本示例中，文件名是：
abtomar-WIN-231PNBS4IPH-CA.crl

2. 从网络上的工作站（最好与ISE主管理节点位于同一网络中），打开Web浏览器，浏览到第2部分中配置的IIS服务器的服务器名称http://

/

，以及第2部分中为分发点选择的站点名

。在本示例中，URL为：
http://win-231pnbs4iph/CRLD

系统随即会显示目录索引，其中包括在步骤1中观察到的文件。

配置ISE以使用新的CRL分发点

在将ISE配置为检索CRL之前，请定义发布CRL的时间间隔。确定此间隔的策略不在本文档的讨论范围之内。潜在值（在Microsoft CA中）为1小时到411年（含）。默认值为1周。确定适合您环境的间隔后，请使用以下说明设置间隔：

1. 在CA服务器任务栏上，单Start击。选择 。Administrative Tools > Certificate Authority

2. 在左侧窗格中，展开CA。右键单击该文件Revoked Certificates夹并选择Properties它。

3. 在CRL发布间隔字段中，输入所需的编号并选择时间段。单击OK关闭窗口并应用更改。在本例中，配置七天的发布间隔。

4. 输入命certutil -getreg CA\Clock*令以确认ClockSkew值。默认值为10分钟。
示例输出：

Values:

ClockSkewMinutes        REG_DWORS = a (10)

CertUtil: -getreg command completed successfully.

5. 输入命certutil -getreg CA\CRLov*令以验证是否已手动设置CRLOverlapPeriod。默认情况下，CRLOverlapUnit值为0，表示未设置手动值。如果该值不是0，请记录该值和单位。
示例输出：

Values:

CRLOverlapPeriod      REG_SZ = Hours

CRLOverlapUnits        REG_DWORD = 0

CertUtil: -getreg command completed successfully.

6. 输入命certutil -getreg CA\CRLpe*令以验证在步骤3中设置的CRLPeriod。
示例输出：

Values:

CRLPeriod      REG_SZ = Days

CRLUnits        REG_DWORD = 7

CertUtil: -getreg command completed successfully.

7. 按如下方式计算CRL宽限期：
a.如果在第5步中设置CRLOverlapPeriod:OVERLAP = CRLOverlapPeriod，以分钟为单位；

否则：重叠=(CRLeriod / 10)，以分钟为单位

b.如果重叠超过720，则重叠为720

c.如果重叠<(1.5 * ClockSkewMinutes)，则重叠=(1.5 * ClockSkewMinutes)

d.如果OVERLAP > CRLPeriod，则重叠= CRLPeriod，以分钟为单位

e.宽限期=重叠+时滞Minutes

Example:

As stated above, CRLPeriod was set to 7 days, or 10248 minutes and CRLOverlapPeriod was not set.

a. OVERLAP = (10248 / 10) = 1024.8 minutes

b. 1024.8 minutes is > 720 minutes : OVERLAP = 720 minutes

c. 720 minutes is NOT < 15 minutes : OVERLAP = 720 minutes

d. 720 minutes is NOT > 10248 minutes : OVERLAP = 720 minutes

e. Grace Period = 720 minutes + 10 minutes = 730 minutes

计算出的宽限期是CA发布下一个CRL到当前CRL到期之间的时间量。需要配置ISE以相应地检索CRL。

8. 登录到ISE主管理节点并选择Administration > System > Certificates。在左侧窗格中，选择Trusted Certificate。

9. 选中要为其配置CRL的CA证书旁边的复选框。单击。Edit

10. 在窗口底部附近，选中此Download CRL复选框。

11. 在CRL分发URL字段中，输入CRL分发点的路径，其中包括第2部分中创建的.crl文件。在本示例中，URL为：
http://win-231pnbs4iph/crld/abtomar-WIN-231PNBS4IPH-CA.crl

12. ISE可配置为按固定间隔或基于到期时间（通常也是固定间隔）检索CRL。当CRL发布间隔为静态时，使用后一个选项可获得更及时的CRL更新。单击单Automatically选按钮。

13. 将检索值设置为小于在步骤7中计算的宽限期的值。如果值集大于宽限期，ISE会在CA发布下一个CRL之前检查CRL分发点。在此示例中，宽限期计算为730分钟或12小时10分钟。检索将使用10小时的值。

14. 根据您的环境设置重试间隔。如果ISE无法按上一步中配置的间隔检索CRL，它将按此较短间隔重试。

15. 如果Bypass CRL Verification if CRL is not ReceivedISE在上次下载尝试时无法检索此CA的CRL，请选中此复选框以允许基于证书的身份验证正常进行（并且不选中CRL检查）。如果未选中此复选框，则在无法检索CRL时，使用此CA颁发的证书的所有基于证书的身份验证都将失败。

16. 选中此Ignore that CRL is not yet valid or expired复选框可允许ISE使用已过期（或尚未有效）的CRL文件，就像它们有效一样。如果未选中此复选框，则ISE会将CRL视为在其生效日期之前和下次更新时间之后无效。点击Save以完成配置。

验证

当前没有可用于此配置的验证过程。

故障排除

目前没有针对此配置的故障排除信息。