【原理】
重裝CA是將證書頒發(fā)機構(gòu)角色刪除后，在同一臺CA服務(wù)器使用原有的密鑰重新添加角色，保證除有效期之外的所有配置和數(shù)據(jù)庫都和原CA一致，這樣重裝之后的CA在客戶端看來是沒有變化的，同樣可以申請證書，續(xù)訂舊CA頒發(fā)的證書，也可以創(chuàng)建更長期限的證書模板申請有效期更長的證書。
【操作步驟】
本文檔實現(xiàn)的環(huán)境為Windows Server 2008 R2的域環(huán)境下的企業(yè)根CA。
1. 調(diào)研現(xiàn)有CA根證書類型：
此步驟目的是保證重裝后的CA配置和原有的一致，以免造成沖突。需要了解現(xiàn)有CA的加密服務(wù)提供程序（CSP）的程序和哈希算法，還有證書數(shù)據(jù)庫的存儲位置，因為這些內(nèi)容在重裝的時候需要配置。
1） 選中根CA名稱，右鍵選擇“屬性”，打開根CA屬性；
2） 在“常規(guī)”選項卡，記錄“加密設(shè)置”下的“提供程序”和“哈希算法”；
3） 選擇“查看證書”，在“詳細信息”中找到“公鑰”，記錄是2048位的RSA，還是1024位的DSA；
4） 在“存儲選項卡”記錄證書數(shù)據(jù)庫和申請日志的路徑；
2. 備份CA
備份CA的目的首先是為安全起見，同時，在重裝CA后，在CA管理控制臺的頒發(fā)證書列表會清空，需要將備份的還原。
1） 選中CA根證書，右擊>所有任務(wù)>備份CA；
2） 選擇要備份的項目和路徑，勾選“私鑰和CA證書”，“證書數(shù)據(jù)庫和證書數(shù)據(jù)庫日志”；
3. 卸載CA
1） 打開“服務(wù)器管理器”，點擊“刪除角色”；
2） 去掉“AD證書服務(wù)”的勾選項，按照提示操作直至刪除角色；
3） 刪除成功后最好重啟服務(wù)器；
4. 重裝CA
1） 在“服務(wù)器管理器”點擊“添加角色”；
2） 勾選“AD證書服務(wù)”；
3） 勾選“證書頒發(fā)機構(gòu)web注冊”
4） 在“安裝類型”和“CA類型”分別選擇“企業(yè)”和“根CA”
5） 在“私鑰”，選擇“選擇現(xiàn)有私鑰”下的“選擇此計算機上的現(xiàn)有私鑰”
6） 此時，在“選擇您要用于此CA的密鑰”處會有一個和舊CA根證書名字一樣的密鑰，選中點下一步即可
7） 如果沒有出現(xiàn)，則可以點擊“編輯”按鈕，在編輯搜索條件，這里就需要我們在第1步中調(diào)研CA的證書類型記錄，將CSP（加密服務(wù)提供程序）和CA公用名改為和舊CA一致，點擊搜索即可；
8） 選擇和舊CA一樣的加密方式，這里同樣需要我們之前記錄的信息；
9） CA名稱確認是否和舊CA一致；
10） 在此處，我們就可以修改CA根證書的有效期限了，比如可以設(shè)置為50年；
11） 證書數(shù)據(jù)庫選擇和舊CA一致，這里也需要我們先前調(diào)研步驟的記錄，確認安裝信息后點擊安裝；
12） 安裝完成后將舊CA的備份還原；
13） 在客戶端查看頒發(fā)的CA根證書，可發(fā)現(xiàn)證書的有效期限已經(jīng)更改為50年，如果未成功，重啟客戶端機器即可；
【總結(jié)】
通過以上操作步驟，我們完成了通過CA的重裝來更改根證書的期限，并且基本對客戶端不產(chǎn)生任何影響，除非在重裝的過程中客戶端有申請或續(xù)訂證書的請求。重裝之后舊CA頒發(fā)的證書同樣可以向新CA續(xù)訂成功，并且我們可以創(chuàng)建期限更長證書模板。
