やき様 チャブーン様
ご返答ありがとうございます。
まず、やき様の件から、
配布したルート証明書がCRLを確認出来ない。という件ですが、
ルート証明書のプロパティには「CRL配布ポイント」というプロパティが存在していなかったので、ルート証明書はCRL配布ポイントをいろいろ変更した後に再度配布し直したりしていないのですが、配布しなおしてみます。
FAT端末からCRL配布ポイントへのアクセスは可能なのかという部分ですが、
共有フォルダーやHTTPで公開してみたりしていますが、クライアントからは正常にアクセス出来ています。
チャブーン様のけんですが、
証明書の利用目的・・・リモートデスクトップの接続先コンピュータから提示される証明書です。ワークグループとかの端末からドメインの端末やサーバーにRDPする時に表示される証明書です。
FAT端末とVDI端末を通信させない理由・・・セキュリティポリシーによる理由としか申し上げられないのですが、VDI端末はインターネットにアクセスできるが、FAT端末はアクセス出来ません。FAT端末をインターネットの脅威から保護する為に、VDI端末を経由してインターネットアクセスを許容しています。なので、RDPのプロトコル以外の通信を許可していません。先にも申し上げましたが、双方のドメインコントローラ同士は通信可能です。
証明機関の種類・・・エンタープライズCAです。
CRLの公開に使用するプロトコル・・・FAT端末から確認できるならどんなプロトコルでも良いと思っていますが、Windows共有、HTTPのどちらかを検討しています。
CRL配布ポイントを変更させたい為にこちらで実施してみた作業ですが、
証明機関のMMCスナップインから証明機関サーバーのプロパティを開き、拡張機能タブのCRL配布ポイントのところに、Windows共有の場所やHTTPの場所を記載しています。
その後、スナップインのサーバーを展開して、失効した証明書フォルダーを右クリックして、すべてのタスク→公開を実行すると指定した場所のCRLファイルが更新されます。（タイムスタンプが変わります）
証明書のCRL配布ポイントの値も指定した値になっている事は確認できます。
