既然 Microsoft 不再更新 Windows Server 的根 CA 证书，从哪里获取它们？

Question

Microsoft于 2013 年 1 月从 WSUS中删除了根 CA 更新。我现在有一些 Windows Server 2012 的全新安装，这些安装的根 CA（基本上只是 Microsoft 自己的 CA）不足。这意味着每当我们的应用程序调用 https Web 服务时，它都会失败，除非我专门安装根 CA。

由于我们的应用程序在负载平衡器上使用 SSL 终止，因此我无需担心 16KB SChannel 限制会促使 Microsoft 删除这些更新。我想找到一个资源来安装和更新标准的根 CA。有谁知道这样的资源？

这是 WS2012 中默认根 CA 的图像。

Answer 1

这似乎是由于我公司使用的奇怪 GPO。

作为概括这里的GPO设置计算机配置\管理模板\系统\ Internet通信管理\关闭自动根证书更新被启用，这意味着操作系统将无法从微软拉根CA。将此设置为Disabled修复了该问题。

Answer 2

我们发现我们的一些 Windows 2012 R2 服务器上的根 CA 已经过时。

对此进行调查后，似乎 Microsoft 发布了一个补丁，以提供“控制更新根证书功能以防止信息流入和流出 Internet ”（知识库文章）的能力。

此补丁引入了新的注册表项，用于阻止 Windows Update 更新根 CA 以及其他功能。

将以下注册表项设置为 0 可解决此问题。证书在更改后立即开始安装。

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\AuthRoot\DisableRootAutoUpdate

虽然我可以看到管理员可能希望在未经他们同意的情况下控制他们的机器更新，但我认为不允许根 CA 更新是一种边缘情况，它可能会导致更多问题，我还不知道为什么注册表项已在我们的服务器上设置。

此处讨论了这些注册表项以及您可以在 Windows 2012 R2 服务器上执行的其他操作