企业CA环境下CRL自动更新及OCSP部署相关技术咨询

我来逐个解答你的问题，都是企业CA环境里常见的配置点：

1. 如何设置让证书吊销后CRL自动更新到用户机器？ #

首先，你的CA设置了8天的CRL发布间隔，这意味着完整CRL只会每8天生成一次，客户端默认会缓存CRL直到过期，所以吊销的证书不会立刻被客户端识别。要解决这个问题可以从几个方向入手：

• 配置增量CRL：在CA服务器上开启增量CRL发布，把增量CRL的发布间隔设得短一些（比如1小时），客户端可以只下载增量CRL来获取最新的吊销信息，不用等完整CRL更新，这是最有效的方式。
• 缩短客户端CRL缓存有效期：通过GPO或者本地组策略调整客户端的CRL缓存超时，让客户端更频繁地检查并下载新的CRL。
• 确保证书内置正确的CRL分发点（CDP）：在证书模板里配置好CA的CRL发布地址（比如HTTP、LDAP地址），确保客户端能正常访问这个地址，这样客户端才能自动下载更新的CRL。

2. 能不能用GPO更新CRL？ #

当然可以，GPO是Windows环境下批量管理客户端CRL策略的最佳方式：

• 打开组策略编辑器，找到计算机配置>策略>Windows设置>安全设置>公钥策略>证书路径验证设置，双击后在“缓存”选项卡调整CRL的缓存时间，比如把“CRL缓存超时”设为较短的时间（比如1小时），让客户端更频繁地刷新CRL。
• 还可以通过GPO推送登录脚本或者定时任务，执行命令certutil -urlcache crl delete清除客户端的CRL缓存，然后触发客户端重新下载最新CRL，这样能强制更新。

3. 客户端机器的CRL缓存位置？ #

不同系统的缓存位置不一样：

• Windows系统：CRL缓存主要存放在%windir%\system32\catroot2\CRL目录下，这个目录里的文件是加密存储的。你可以在命令行执行certutil -urlcache crl来查看当前缓存的所有CRL条目，包括它们的缓存位置和过期时间。
• Linux系统：没有统一的缓存位置，取决于使用的应用和工具：
  • OpenSSL默认会根据配置文件（比如/etc/ssl/openssl.cnf）里的设置缓存CRL，常见的缓存目录有/etc/pki/tls/crls或者应用自己的临时目录。
  • 浏览器（比如Firefox）会有自己的证书缓存，需要在浏览器设置里查看或清除；Apache、Nginx这类服务如果配置了CRL验证，会根据各自的配置存储缓存的CRL。

4. 能不能在同一个企业CA服务器上部署OCSP？ #

完全可以，尤其是Windows AD CS环境，部署起来很方便：

• 在你的企业CA服务器上，添加在线证书状态协议(OCSP)响应程序角色服务，按照向导关联到现有的企业CA，配置OCSP的签名证书（一般由CA颁发一个专门的OCSP响应者证书）。
• 配置证书模板，把OCSP的地址添加到证书的**权威信息访问(AIA)**扩展里，这样客户端在验证证书时会优先查询OCSP服务器，获取实时的证书吊销状态，比CRL的时效性高得多。
• 注意：如果是生产环境，建议给OCSP服务配置高可用性（比如负载均衡），但单CA服务器上部署OCSP是完全可行的，能满足基础的实时吊销验证需求。

备注：内容来源于stack exchange，提问作者boxi