企業 CA 在回滾後續訂失敗，現在「憑證範本（Certificate Templates）」管理時會拋出錯誤

Question

企業 CA 在回滾後續訂失敗，現在「憑證範本（Certificate Templates）」管理時會拋出錯誤

劉浩北(Hao Bei) 0

我們內部的 CA 伺服器憑證在幾天前過期了，所以我嘗試使用「使用新金鑰續訂（Renew with New Key）」的選項來更新它。在過程中的某個階段情況變得非常混亂，現在整個憑證服務（Certificate Services）似乎都已經損壞。

我甚至把 CA 伺服器還原到大約一週前的備份，因為我以為續訂過程破壞了某些東西，但還原之後憑證的日期和簽發狀態都變得很奇怪。

我也嘗試把系統時間調整到憑證過期之前的日期，然後再次進行續訂，但仍然完全失敗。最後簽發的憑證顯示的是備份還原前的舊日期，而不是目前時間，這讓我懷疑 CA 資料庫或設定已經不同步。

另外，每次我點擊「Certificate Templates」進入管理時，都會直接出現錯誤訊息，而不是正常的模板視窗。老實說我現在非常擔心，因為整個網路的憑證註冊已經變得不穩定，使用者也開始回報問題。

有人遇過 CA 續訂失敗或伺服器回滾之後出現這種情況嗎？正確的修復方式是什麼？

0 則留言

1 個回答

您的回答

Answer 1

你好，浩北，

你所遇到的情况是由于在证书续订失败后又进行了服务器回滚，导致 CA 状态出现严重不一致。 CA 数据库（位于 %windir%\System32\CertLog）和注册表配置（HKLM\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration\<CAName>）与当前的 CA 证书链不同步，因此会出现颁发证书日期异常以及“证书模板”管理控制台无法加载的错误。

正确的修复方式是先停止证书服务，确保同时恢复 CA 数据库和私钥材料到同一时间点，然后使用 certutil -installcert <renewedcert.cer> 将 CA 证书重新导入 CA 配置。如果 CA 证书已经过期，需要在数据库和注册表一致的前提下，通过上级 CA 或根 CA 使用“Renew CA Certificate”来重新续订。切勿调整系统时间，这只会加剧不一致。

如果在恢复数据库并重新安装证书后 CA 服务仍无法正常启动，那么唯一受支持的办法是按照微软的 CA 灾难恢复文档进行完整的 CA 重建。在 CA 链恢复有效之前不要继续颁发新证书，否则客户端注册会持续失败。你可以先检查 CA 数据库完整性，尝试重新导入 CA 证书，若仍不成功则执行完整的 CA 恢复。

如果以上回复对你解决问题有所帮助，请点击“接受答案”，这样社区中遇到类似问题的其他用户也能更容易找到解决方案。非常感谢你的支持与贡献。

哈利。