使用证书吊销列表

证书颁发机构 (CA) 无法真正地吊销用户的客户端证书。但是，它们可以发布一个可复制到您的计算机上的证书吊销列表 (CRL)，您可以在计算机中搜索处于吊销状态的客户端证书（有关检索某个 CA 的 CRL 并将其存储在您的计算机上的详细信息，请参阅 Windows 帮助）。IIS 可使用此过程（称为“CRL 检查”）拒绝不符合 CA 有效性条件的客户端证书。CRL 将订阅客户和吊销状态与吊销原因说明放在一起。大多数 CRL 服务还包括预计发布下一个 CRL 的日期。应经常更新，以从 CA 了解订阅客户的最新状态。

CRL 检查是通过设置配置数据库属性来管理的。可以使用 COM 对象、WMI 脚本或 ADSI 脚本设置或查看控制 CRL 检查的配置数据库属性。有关对配置数据库进行配置的详细信息，请参阅配置配置数据库。

要使用 CRL，请执行以下操作：

• 启用 CRL 检查。
• 或者将计算机上的 CRL 配置为定期刷新，即使计算机上的 CRL 仍然有效时，也是如此。
• 或者，更改定期刷新计算机上 CRL 的默认时间间隔。

启用和禁用 CRL 检查

可通过设置配置数据库属性 CertCheckMode 启用和禁用 CRL 检查。默认情况下，启用 CRL 检查。除非您设置 CRL 刷新间隔以进行干预，否则，在发布新的 CRL 时 CA 就会刷新 CRL。

设置 CRL 刷新间隔

可通过更改配置数据库属性 RevocationFreshnessTime，使用 CA 服务器上的 CRL 刷新计算机上的 CRL（可选），即使当计算机上缓存的 CRL 仍然有效也是如此。

可以设置配置数据库属性 RevocationURLRetrievalTimeout 以更改所设置的默认时间间隔（分钟）。

© 1997-2003 Microsoft Corporation。保留所有权利。