AD CS 授權資訊存取（AIA）擷取失敗，導致外部用戶端憑證驗證異常

您好 We Huang,

在您描述的場景中，外部行動裝置無法完成憑證驗證，原因確實在於 CA 頒發的憑證中，AIA（頒發機構資訊存取）擴充功能的 URL 指向了一個僅限內部存取的 FQDN。要解決此問題，您必須更新 CA 屬性中的 AIA 擴充設置，將其指向一個可從外部存取的 HTTP URL。您可以透過 certsrv.msc 控制台進行此操作：進入“CA 屬性” -> “擴充功能” -> “AIA”，新增或修改一個可從外部解析的 URL（例如 http://pki.company.com/certdata/<CaName>.crt）。設定完成後，請務必勾選“包含在頒發憑證的 AIA 擴充功能中”，以確保新頒發的憑證包含正確的外部 URL。

進行變更後，您需要重新啟動 CA 服務並重新頒發用於生產環境的證書，因為已頒發的證書不會自動更新其 AIA 擴充資訊。建議先在測試環境中頒發憑證並驗證外部行動裝置是否能正確存取該 AIA URL，並確認無誤後再在生產環境中重新核發所有必要的憑證。這樣可以確保外部設備在身份驗證鏈過程中能夠正確下載 CA 憑證，從而避免身份驗證失敗。

如果我的回答對您有幫助，請採納該回答以示支持。

謝謝，

HL.