求助：Windows Server 2012子CA因Linux根CA吊销离线启动失败

就你碰到的这个跨平台PKI架构问题，我帮你拆解成信任链修复和吊销配置排查两个核心部分来解决：

1. 先搞定「无法验证根CA」的警告 #

这个问题本质是Windows服务器的系统信任链里没收录你的Debian根CA证书，导致它不认从属证书的签发源头：

• 先从Debian根CA导出不带私钥的根证书（转成Windows能识别的DER格式）：

  openssl x509 -in /etc/ssl/certs/rootCA.crt -outform DER -out rootCA.der
  

• 把导出的rootCA.der传到Windows Server上，按以下步骤导入信任存储：
  1. 按下Win+R输入mmc，添加「证书」管理单元，选择「计算机账户」→「本地计算机」。
  2. 展开「受信任的根证书颁发机构」→「证书」，右键选「所有任务」→「导入」，跟着向导完成证书导入。

2. 修复「吊销函数无法...」的ADCS启动错误 #

这个报错90%是因为Windows从属CA找不到根CA的吊销列表（CRL），或者根CA压根没配置正确的CRL分发点：

步骤A：确保Debian根CA配置好CRL分发路径 #

打开根CA的配置文件（通常是/etc/ssl/openssl.cnf），检查[ v3_ca ]段是否有类似配置：

authorityInfoAccess = caIssuers;URI:http://你的根CA服务器地址/rootCA.crt
crlDistributionPoints = URI:http://你的根CA服务器地址/crl/rootCA.crl

然后重新生成CRL并发布到HTTP可访问的目录：

openssl ca -gencrl -out /var/www/html/crl/rootCA.crl -config /etc/ssl/openssl.cnf
# 确保Windows服务器能通过浏览器访问http://你的根CA地址/crl/rootCA.crl

步骤B：让Windows从属CA信任根CA的CRL #

1. 把根CA的rootCA.crl传到Windows Server，导入到「受信任的根证书颁发机构」→「证书吊销列表」里。
2. 打开ADCS控制台调整配置：
   • 右键你的从属CA，选「属性」→「扩展」选项卡。
   • 确认「CRL分发点(CDP)」和「权威信息访问(AIA)」里包含根CA的CRL和证书URL，且Windows能正常访问这些地址。

步骤C：强制ADCS重新校验信任链 #

• 打开「服务」控制台，找到「Active Directory Certificate Services」，右键重启服务。
• 如果还是报错，清空Windows的证书缓存试试：

  certutil -urlcache * delete
  

3. 重新安装从属证书 #

完成上面的配置后，重新导入从属证书到ADCS：

1. 在ADCS控制台右键从属CA，选「所有任务」→「安装证书」，跟着向导完成操作。
2. 再次启动ADCS服务，应该就能正常运行了。

小提醒：跨平台PKI一定要注意时间同步！Debian根CA和Windows从属CA的系统时间差不能超过5分钟，不然也会触发证书验证或吊销检查失败的问题。

内容的提问来源于stack exchange，提问作者0B51D14N