假设我有一个 CSR，其中某些Subject字段不是根据 X.509 创建的 - Subject中有禁止字符，或者Country被提供为“England”。
有什么办法可以从中恢复吗？
我试过了：
我认为在这里“修复”糟糕的 CSR 是不可能的，但也许我错了？
我想从 Linux 验证 Microsoft OCSP 服务器的操作。我尝试使用 OpenSSL，但它总是返回：
Error querying OCSP responder 140643157128320:error:27076072:OCSP routines:parse_http_line1:server response error:../crypto/ocsp/ocsp_ht.c:260:Code=405,Reason=Method Not Allowed
我在服务器端检查并注意到 OpenSSL 使用 POST 方法，而不是 certutil 使用的 GET 方法（效果很好）：
# certutil Request
2021-09-28 10:26:51 10.11.12.13 GET /ocsp/<OCSP request> - 80 - 10.11.12.14 Microsoft-CryptoAPI/10.0 - 200 0 0 4583
# OpenSSL Request
2021-09-28 10:26:51 10.11.12.13 POST / - 80 - 10.11.12.15 - - 405 0 1 5991
似乎不能强迫 OpenSSL 使用 GET 而不是 post，但也许还有其他一些实用程序？
或者相反，是否有一种方法可以强制 MS OCSP 响应者也与 POST 一起工作？
我需要将我的一个 Active Directory 证书服务 (ADCS) 证书模板从架构 v2 更新到 v3，以支持 KSP 提供程序。看来我只能通过克隆模板来做到这一点（只有这样我才能选择 KSP）。
可以现场做吗？如果是这样，怎么做？
这是交易：公司的政策是每 180 天更新一次服务帐户密码。问题是，我在大约 20 台服务器上使用这些服务帐户，运行各种工作 - 所以每 180 天，我必须花费大约 4 个小时来更新它们（如果不是 KeepassXC 的自动输入，我需要 2 天，得爱 RDP 到 DC 半个世界）。
必须有更好的方法，但它会是什么？
我们谈论的是 W2k12r2。
在我的 AD 环境中，我部署了一个为服务器提供 RDP 证书的模板。它设置在自动注册上。
问题是，大多数服务器都按我的预期工作：获得了证书，这对他们来说已经足够了。但是，很少有服务器每 12 小时获得一个新证书。我阅读了文章https://social.technet.microsoft.com/wiki/contents/articles/38085.certificate-autoenrollment.aspx并且我了解正在发生的事情，但我不明白为什么会发生这种情况 - 是什么触发了服务器请求一个新的证书，即使一个已经存在？
我不想在 AD 中发布证书，特别是因为只有少数服务器显示此异常 - 其他服务器都很好。以这种方式生成的所有证书仍然有效，并且私钥存在。
我不确定这是否可能。此外，OpenSSL 是一个丑陋的实用程序的母爱：/
至少根据他们的技术支持，我需要将顶级证书+私钥作为 DER 上传到 ESET 安全管理中心 (ESMC)。
我将 XCA 用于这个小型部署，并且没有选项可以将 public+private 导出为 DER，只有 PEM（或其他一些格式）。那么问题来了：如何将 PEM private+public 转换为 DER？
像这样在 DNS 中链接 NS 记录是否“合法”并且可能：
com。NS：
example.com NS ns1.example.com.
ns1.example.com A a.b.c.d
例子.com。NS：
example.com NS azuredns.com.
azuredns.com. A x.y.v.z
我尝试这种配置的原因是我们的一个非技术部门希望我们在我们的 DNS 系统上配置所有域；但其中一些利用“云”DNS 提供商的功能。我不期待做这种可憎的事，但我欠我的公司尽职调查:-)
在有人问之前：我已经看到DNS 查询何时使用 TCP 而不是 UDP？它没有回答我的问题。
我一直听到的是“如果答案太长，DNS 将使用 TCP ”。这并不能解释它是如何发生的。
所以情况如下：DNS 客户端请求使用 UDP 解析记录。UDP 的记录太长：
我一直在互联网上寻找答案，但有很多噪音（见上文），我似乎无法为此编写正确的 Google 查询（就此而言，我也无法在 RFC 中找到信息） .