为 Windows 2012 CA 生成新的自签名 CA

Question

为 Windows 2012 设置企业 CA。在生成初始根 CA 时，选择了 SHA512。事实证明，这会导致我们不知道的 TLS 1.2 问题。

我正在尝试生成一个不是 SHA512 的新自签名 CA。我能找到的唯一选项和说明是更新不会更改证书类型的现有 CA。

是否有执行此操作的过程，或者是否必须删除并重新安装 CA 服务才能生成新的 CA？

Answer 1

实际上，您不需要删除 CA 角色或重新开始。您可以使用新的密钥对简单地更新 CA 证书。在此过程之前，您需要在 CA 服务器上进行以下更改：

certutil -setreg ca\csp\cnghashalgorithm sha256
net stop certsvc && net start certsvc

并更新CA证书。在提示中选择生成新的密钥对。