为从属 CA 设置不同的有效期 - Windows Server

本文介绍如何将企业从属证书颁发机构（CA）设置为具有与父 CA 不同的证书有效期。

原始 KB 数： 281557

总结

可以使用以下步骤为从属 CA 提供与父 CA 不同的证书验证期限。 此过程分为以下三个步骤：

步骤 1：在父 CA 上设置验证期。 步骤 2：安装从属 CA。 步骤 3：将验证时间设置回父 CA。

1. 在父 CA 上设置验证期。 为此，请使用以下命令在父 CA 上设置所需的验证期，以便颁发从属 CA 的证书：

   certutil -setreg ca\ValidityPeriod "Weeks" 
   certutil -setreg ca\ValidityPeriodUnits "3" 
   

2. 安装从属 CA。 请确保使用步骤 1 中使用的父 CA。

3. 重置颁发从属 CA 证书的父 CA 的验证期（例如，“2 年”，默认值）。 为此，请使用以下命令：

   certutil -setreg ca\ValidityPeriod "Years" 
   certutil -setreg ca\ValidityPeriodUnits "2"
   

   注意

   如果在 certutil -getreg ca\val* 从属 CA 上运行，则 ValidityPeriod 属性和 ValidityPeriodUnits 属性仍与父 CA 同步，即使从属 CA 证书仅在三周内有效。