active-directory - ADCS 在线响应程序 (OCSP) 不是实时的

Question

我在实验室的同一台机器上安装了 AD、AD CS 和 OCSP 并进行了配置。然后我使用 C# 来拥有一个 OCSP 客户端，以便它可以发送吊销检查请求并解析安装在本地机器上的特定证书的响应。 C# 代码是使用 Bouncy CaSTLe 程序集构建的 (http://www.bouncycaSTLe.org/csharp/)

问题是，如果我在 AD CS 上颁发了证书并吊销了它，并发布了 CRL 和 Delta CRL，我的 OCSP 客户端仍然说这个证书是好的，直到我单击 AD CS 中的 Refresh Revocation Data -> OCSP ->阵列配置。

我已经通过 LDAP://XXXX 将我在 OCSP 中的撤销配置的提供者配置到我的本地 CRL 和

我还指定我的吊销提供程序每 5 分钟刷新一次 CRL。

有什么办法可以“实时”设置我的 OCSP，这意味着在我吊销证书之后，我的 OCSP 客户端就会知道它已被吊销。或者，我的 OCSP 可以自动获取 CRL，而不是手动单击 Refresh Revocation Data。

Answer 1

好吧，我终于知道如何让它尽可能实时，即使不是“实时”。 OCSP 服务有自己的缓存，似乎证书的吊销状态会被缓存，直到 CRL 过期。在我的实验室中，我的 CRL 有效期为 2 天，这意味着即使我撤销了证书并发布了 CRL 并设置 OCSP 每 5 分钟刷新一次，原始状态仍将在 OCSP 缓存中，直到 2 天后。但是，如果我单击 Refresh Revocation Data，OCSP 将清除所有缓存并重新启动应用程序池。

解决办法是，首先我需要在OCSP服务中启用NONCE扩展。这样当我发送 OCSP 请求时，我可以在 NONCE 中获取一些随机信息。并且在 OCSP 服务中，如果发现请求具有 ONONCE 信息，它将不会使用任何缓存。所以我的撤销数据将在 5 分钟后刷新。