如何找出证书请求的来源

Question

我在 Server 2012 R2 上设置了 CA，运行服务器的人离开了公司，我设置了一个新的 CA 服务器。

我想弄清楚证书是用于什么系统/URL。

颁发的证书列表如下：

请求 ID：71

请求者名称：DOMAIN\UserName

证书模板：基本 EFS (EFS)

序列号：5f00000047c60993f6dff61ddb000000000047

证书生效日期：11/05/2015 8:46

证书有效期：11/04/2016 8:46

发行国家/地区：

发行机构：

颁发的组织单位：组织用户员工

签发通用名称：员工姓名 <-- 员工的实际姓名

发行城市：

发布状态：

发布的电子邮件地址：

当我问员工为什么他们要求证书时，他们不记得为什么或它是用于什么系统的。

我正在寻找一种方法来查看所有请求的证书以及它们与哪些机器相关联：

我尝试过/谷歌搜索的事情：

1. 一个类似于 Netstat 的命令可以告诉我任何监听或与 443 上的服务器建立的连接，根据我的逻辑和想法，我可能会离题。

2. 我查看了事件查看器，查看“证书生效日期：11/05/2015 8:46”时间戳，但找不到任何显示任何内容的日志。

3. 我尝试使用 certutil 命令查看数据库，但是我必须先停止服务，然后才能查看数据库，查看架构看起来我正在寻找的很多信息可能都在那里。

如果我停止该服务，SSL 证书仍然可以使用，还是最终用户会收到 SSL 警告？

如果我备份数据库，我可以将文件移动到不同的 PC 并能够读取它。

有谁知道我是否能够找到哪些服务器/URL 正在使用我的 CA 上的证书？

有没有其他更好的方法可以找到信息？

Answer 1

When I ask the employee why they requested the certificate they don't remember why or what system it was for.

听起来不错。EFS 证书（以及许多其他证书）通常会自动颁发和续订。可以在策略中禁用 EFS 或将发布范围限制到模板上的特定安全组。

I am looking for a way to see all requested certs and what machines they are tied to

EFS 证书通常颁发给用户，并且隐含地不限于特定计算机。还有其他类型的 EFS 证书，例如数据恢复代理 (DRA)。

I tried to look at the database using certutil。

证书应在管理 mmc 中可见。CA/模板可能配置为不保存证书副本，但这不是默认配置。

Does anyone know if I will be able to find what servers / URL's are using the certs on my CA?

来自CA？不会。它可能包含一些信息，例如与计算机名称或用户名匹配的主题。还可能向与计算机名称或用户名不匹配的名称颁发证书。或者证书可能未保存在 CA 上。这是每个使用证书的人都会时不时问到的问题，并且没有一种放之四海而皆准的解决方案。证书可以存在于 Windows 计算机证书存储、Windows 用户证书存储、注册表、应用程序使用的文件系统上的文件中，嵌入在 SQL Server 等应用程序中，因此清点证书所在位置并不像您想象的那么简单思考。即使它们被发现，也不意味着它们正在被使用。即使它们正在使用，如果不进一步调查，您可能仍然不知道是什么在使用它们。

最好的方法是已经拥有一个良好的跟踪系统。下一个最佳方法是定期扫描网络以查找正在使用的端口/证书。