Nö. Du benötigst nur ein Stammzertifikat, und mit dem muss das Zwischenzertifikat der Issuing CA signiert werden. Ob das nun ein OpenSSL auf einem Arbeitsplatz macht oder ein dedizierter Server, das ist technisch egal :)
Da habe ich mich offensichtlich falsch ausgedrückt. Gemeint habe ich, dass es im Idealfall ein Rechner mit eben nur der Zertifikatsaufgabe sein sollte, der außerdem nicht mit einem Netzwerk verbunden wird. :-)
Kommt drauf an, ob "Zertifizierungsstelle" in Eurem bestehenden Stammzertifikat als Verwendungszweck drin ist. Und Ihr habt doch bestimmt kein öffentliches Stammzertifikat? :-)
Da wir dieses zum Ausstellen diverser Serverzertifkate nutzen, gehe ich mal davon aus. Das heißt, wenn ich eine solche Strukturänderung vor habe, könnte ich das bestehende Stammzertifkat auf den neuen Server rüber kopieren, und unseren DC durch De- und Neuinstallation
AD Zertifikatsdienste der zu einer Zwischenstelle degradieren?
(Inklusive kostenpflichtiger Auflistung bei öffentlichen Zertifikatslisten)
Warum nun das? Wenn Du das nur für interne Zwecke verwendest, reicht es völlig, das Stamm- und alle Zwischenzertifikate an die Clients zu verteilen.
So wie ich das gelesen habe, muss das Stammzertifikat in öffentlichen Listen eingetragen werden, damit die betriebenen Websites von Browsern als "vertrauenswürdig" eingestuft werden. Sollte ich da was falsch verstanden haben, bin ich für jede Belehrung
dankbar. :)
Gruß, David
