Ausstellen von Zertifikaten mit einer Gültigkeit von mehr als zwei Jahren bei Microsofts interner Zertifizierungsstelle

Warum können länger gültige Zertifikate sinnvoll sein?

Viele aktuelle Serversysteme von Microsoft und Drittanbietern benötigen Zertifikate. Dadurch wird der Einsatz einer internen Zertifizierungsstelle in einem Active Directory nahezu unerlässlich. Microsoft hat für diesen Zweck die “Active Directory-Zertifikatsdienste” entwickelt, die man bei den Windows-Servern als Rolle hinzufügen kann.

Bei den Active Directory-Zertifikatsdiensten ist die maximale Gültigkeit eines Zertifikates auf 2 Jahre beschränkt. Dies kann sehr arbeitsaufwändig werden, wenn man viele Server betreibt, welche die Zertifikate manuell eingespielt bekommen. Deshalb kann es sinnvoll sein, die maximale Gültigkeit zu erhöhen.

Wodurch wird die maximale Gültigkeit eines Zertifikates beschränk?

Die Beschränkung der maximalen Gültigkeit eines Zertifikates bei den Active Directory-Zertifikatsdiensten wird durch den Parameter mit dem Namen ValidityPeriodunits in der Registry auf dem Server mit der Zertifizierungsstelle gesteuert. Dieser Parameter enthält die Anzahl von Jahren, die ein ausgestelltes Zertifikat maximal gültig sein darf und hat bei einer normalen Installation den Wert 2.

Wie kann ich die maximale Anzahl von Jahren erhöhen, die ein Zertifikat gültig sein darf?

Der Wert der Parameters ValidityPeriodunits kann mit der Hilfe des Kommandozeilentools certutil angezeigt oder geändert werden.

Um sich den aktuellen Wert des Parameters ValidityPeriodunits anzeigen zu lassen, gibt man in einer Kommandozeile mit Administrationsrechten den folgenden Befehl ein.

certutil -getreg ca\ValidityPeriodunits

Wenn man den Wert des Parameters ValidityPeriodunits auf zehn Jahre erhöhen möchte, gibt man den folgenden Befehl ein.

certutil -setreg ca\validityperiodunits 10

Wenn der Wert geändert wurde, müssen die Active Directory-Zertifikatsdienste neu gestartet werden, um die Änderungen zu aktivieren. Dies kann man durch die eingäbe der beiden folgenden Befehle in einer Kommandozeile mit Administrationsrechten erreichen.

net stop certsvc
net start certsvc