由證書頒發(fā)機(jī)構(gòu) (CA) 所頒發(fā)的每一張證書都具有有效期限，默認(rèn)情況下，我們從企業(yè)根CA申請到的證書，有效期限都是2年，比如下圖這張為Exchange申請的證書，到了2014年10月就需要續(xù)訂
那么證書的有效期需要在哪些地方進(jìn)行修改呢？首先我們來看一下證書模板，通過CA服務(wù)器上的證書頒發(fā)機(jī)構(gòu)打開證書模板
在申請Exchange證書時，通常用到的證書模板是【W(wǎng)eb 服務(wù)器】證書模板，打開它的屬性
在默認(rèn)常規(guī)選項(xiàng)卡中可以看到通過此證書模板申請到的證書，有效期為2年，但是現(xiàn)再不能直接修改
除了證書模板，另外一個重要的地方就是注冊表，從注冊表中展開到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\CertSvc\Configuration\ContosoCA（ContosoCA是我CA頒發(fā)機(jī)構(gòu)的名稱），在右側(cè)找到【ValidityPeriodUnits】，看到其值為【2】，這個值和證書模板上的有效期關(guān)系緊密，只有當(dāng)【ValidityPeriodUnits】的值改動后，證書模板有效期的改動才能生效，打個比方，我現(xiàn)再創(chuàng)建一個證書模板，將它有效期修改為100年，但是你會發(fā)現(xiàn)客戶端通過此模板申請到的證書有效期還是2年，只有當(dāng)【ValidityPeriodUnits】的值修改為100后，并且重啟了證書服務(wù)，證書模板上修改后的有效期才會生效
現(xiàn)再我們知道了證書模板和ValidityPeriodUnits值決定了證書的有效期，那么申請一張有效期為100年的證書，將證書模板中的有效期和注冊表中的ValidityPeriodUnits值都修改為100就可以了嗎？當(dāng)然是不行的，這里有一個非常重要的規(guī)則，就是證書的有效期一定不能大于證書頒發(fā)機(jī)構(gòu)(CA)的有效期，CA也永遠(yuǎn)不會頒發(fā)超出自己證書有效期時間的證書。默認(rèn)安裝的CA，其有效期為5年，如果你在安裝時沒注意，可以在安裝后通過CA根證書查看到（如下圖），也就是說，在這種情況下，我們只能申請到最大有效期限為5年證書
那要申請一張有效期為100年的證書該如何做呢？
首先，在規(guī)劃部署CA的時候，就應(yīng)該將有效期調(diào)整為100年
部署完CA后，打開注冊表，展開到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\CertSvc\Configuration\contoso-CQDC01-CA
將【ValidityPeriodUnits】的值修改為【100】
重啟AD證書服務(wù)后，注冊表的更改才會生效
然后從CA中打開證書模板，由于默認(rèn)的【W(wǎng)eb 服務(wù)器】模板是無法修改的，我們需要創(chuàng)建一個新模板，這里在【W(wǎng)eb 服務(wù)器】模板上單擊右鍵，選擇【復(fù)制模板】
選擇【W(wǎng)indows Server 2003 Enterprise】
在【常規(guī)】選項(xiàng)卡中，首先指定模板的顯示名稱以及有效期，這里把有效期設(shè)置為100年
然后切換到【請求處理】選項(xiàng)卡，勾選【允許導(dǎo)出私鑰】
接下來切換到【使用者名稱】選項(xiàng)卡，選擇證書使用者名稱的生成方式，這里選擇【在請求中提供】
最后切換到【安全】，為Administrator用戶分配【注冊】權(quán)限
模板創(chuàng)建完成后，需要將它發(fā)布，在證書模板節(jié)點(diǎn)上單擊右鍵，指向【新建】，然后選擇【要頒發(fā)的證書模板】
選擇我們剛剛創(chuàng)建的模板【Exchange Server】
經(jīng)發(fā)布后的模板才可以從證書Web注冊頁面中進(jìn)行選擇
通過管理員賬戶進(jìn)入證書Web注冊站點(diǎn)，在base64編碼提交頁，選擇我們創(chuàng)建的【Exchange Server】證書模板
最后我們來打開申請到的證書，看看有效期，如下圖，2012-2112，這樣一來就避免了做證書續(xù)訂
