中的PKI信任

Question

假设连接到给定域的ADCS CA的证书由脱机根CA签名，然后域/林中的所有系统都会信任该CA。如果该脱机根随后用于颁发/签名CA证书(没有约束)，并且该CA随后为有关域的资源颁发了用户/计算机/智能卡证书，这些证书是否被信任(即以这种方式颁发的证书是否可用于对域进行身份验证)？

Answer 1

如果域中的所有计算机都信任根CA，那么根据定义，它们将信任由它签名的每个证书，包括一个新的子CA的证书。

但是，如果新的子CA不是AD集成的，一些计算机或应用程序在验证整个CA链到根时可能会出现问题；为了解决这个问题，可以使用GPO将子CA的证书部署为Trusted Intermediate Certification Authority。