Dúvida sobre renovação de certificado interno da Autoridade Certificadora (AD CS) no Domain Controller Windows Server 2012 R2

Ezequiel Bomfim 40 Pontos de reputação
2025-10-14T19:53:53.2666667+00:00

Olá pessoal, tudo bem?

Tenho uma dúvida sobre o processo de renovação de um certificado interno emitido pela minha Autoridade Certificadora (CA) em ambiente Windows Server 2012 R2.

O servidor que atua como Controlador de Domínio principal também possui instalados os serviços Active Directory (AD DS), DNS Server e Active Directory Certificate Services (AD CS). Ao verificar o console de certificados (certlm.msc), identifiquei um certificado emitido para a própria CA, válido de 30/10/2020 até 30/10/2025 (imagem anexa com informações de domínio ocultadas).

Percebi também que esse mesmo certificado aparece em todas as estações e servidores do domínio, dentro da área de certificados confiáveis (Trusted Root Certification Authorities).

cert4

Minhas dúvidas são:

  1. Esse certificado raiz da CA é renovado automaticamente pelo sistema ou precisa ser renovado manualmente antes da data de expiração (30/10/2025)?
  2. Caso precise de renovação manual, o procedimento correto é feito pelo console Certification Authority (certsrv.msc) ou existe outro método recomendado?
  3. Após a renovação, as estações e servidores recebem o novo certificado automaticamente via Active Directory, ou será necessário instalar manualmente o novo certificado em cada máquina?
  4. Quais são os impactos práticos se o certificado da CA expirar sem renovação? (por exemplo: logon no domínio, autenticação LDAPS, RDP, HTTPS interno, emissão de novos certificados, etc.)
  5. Há alguma boa prática recomendada pela Microsoft para renovar a CA quando ela está no mesmo servidor do AD DS e DNS, evitando riscos ao ambiente de produção?

Informações do ambiente:

  1. Sistema operacional: Windows Server 2012 R2
  2. Funções instaladas: AD DS, DNS, AD CS
  3. Tipo de CA: Enterprise Root CA (única, integrada ao AD)
  4. Nível funcional do domínio/floresta: Windows Server 2012 R2
  5. Certificado da CA válido até: 30/10/2025
  6. Distribuição: Certificado aparece em todas as máquinas do domínio

Agradeço desde já qualquer orientação ou boas práticas para conduzir o processo de renovação com segurança, garantindo que o domínio continue operando normalmente.

Atenciosamente,

Windows para empresas | Windows Server | Serviços de diretório | Certificados e infraestrutura de chave pública (PKI)
0 comentários
Resposta aceita pelo autor da pergunta
VPHAN 47,435 Pontos de reputação Assistente Independente
2025-10-15T11:25:19.0866667+00:00

Oi

Vamos abordar suas perguntas ponto por ponto.

  1. Renovação automática vs. manual?

Não, o certificado CA raiz em si não é renovado automaticamente. Você deve executar uma renovação manual do certificado de autenticação da autoridade de certificação antes que ele expire. É uma prática recomendada da Microsoft iniciar esse processo com bastante antecedência, idealmente 6 meses antes da data de expiração.

  1. Procedimento de renovação correto?

Sim, o método principal é por meio do console da Autoridade de Certificação (certsrv.msc). A chave é renovar o certificado usando a mesma chave, que é uma operação não destrutiva. As etapas são:

Abra o console da Autoridade de Certificação.

Clique com o botão direito do mouse no nome do servidor CA, selecione Todas as Tarefas e clique em Renovar Certificado CA.

Quando solicitado, escolha "Não" para gerar um novo par de chaves. Isso garante que a cadeia de confiança existente seja preservada.

  1. Distribuição automática para clientes?

Sim, absolutamente. Depois de renovar o certificado de autoridade de certificação, o Active Directory publicará automaticamente o novo certificado em todos os computadores ingressados no domínio por meio da Política de Grupo. O novo certificado raiz será preenchido no repositório de Autoridades de Certificação Raiz Confiáveis em todos os clientes e servidores, normalmente dentro de 24 horas. Nenhuma implantação manual é necessária.

  1. Impactos da expiração do certificado CA?

Permitir que o certificado CA expire teria consequências graves, pois qualquer certificado emitido (para autenticação de domínio, servidores Web etc.) se tornaria não confiável. Isso interromperia serviços críticos, incluindo:

Autenticação e consultas LDAPS.

Logons baseados em cartão inteligente ou certificado.

Sites do IIS que usam HTTPS com certificados desta autoridade de certificação.

A capacidade da autoridade de certificação de emitir novos certificados.

Qualquer aplicativo interno que dependa dessa hierarquia de PKI.

  1. Melhores práticas para uma renovação segura?

Dado o seu ambiente integrado, a chave é a preparação:

Faça um backup do estado do sistema: verifique se você tem um backup recente e verificado do controlador de domínio, incluindo o estado do sistema.

Executar durante a janela de manutenção: embora o processo de renovação em si seja rápido e não exija uma reinicialização do servidor, agende-o durante uma janela de manutenção predefinida.

Verificar replicação: após a renovação, force a atualização da Política de Grupo em um cliente de teste (gpupdate /force) e use certlm.msc para confirmar se o novo certificado está presente no repositório raiz confiável.

Planeje sua migração: recomendo fortemente usar isso como uma oportunidade para planejar uma migração do Windows Server 2012 R2, que atingiu o fim do suporte em outubro de 2023, para um sistema operacional mais recente, como o Windows Server 2022, para garantir segurança e suporte contínuos.

O diagrama a seguir ilustra o fluxo suave de renovação e distribuição que você pode esperar:

Renovar certificado de CA: o administrador renova via certsrv.msc (usando a mesma chave).

Publicação do AD: o novo certificado é publicado automaticamente no Active Directory.

Distribuição de GP: a Política de Grupo distribui automaticamente o novo certificado raiz confiável para todos os membros do domínio.

Espero que esta orientação detalhada forneça um caminho claro para uma renovação segura e bem-sucedida.

Se esta resposta resolver sua dúvida, sinta-se à vontade para marcá-la como "Aceitar resposta"

Atenciosamente

VP

Esta resposta foi útil?

0 respostas adicionais

Classificar por: Mais útil
Mais útil Mais Novo Mais Antigo

Sua resposta

As respostas podem ser marcadas como ‘Aceitas’ pelo autor da pergunta e ‘Recomendadas’ pelos moderadores, o que ajuda os usuários a saber a resposta que resolveu o problema do autor.