Red Hat Summit 红帽全球峰会支持控制台（Console）开发人员开始试用联系人

7.4. 设置完整和 delta CRL 调度

CRL 定期生成。在 第 7.3.2 节 “为每个发布点配置 CRL” 中的配置中访问该 period。

CRL 根据基于时间的调度进行。当证书被撤销、一天的特定时间或每这个分钟一次进行一次时，可以发布 CRL。

基于时间的 CRL 生成调度适用于生成的每个 CRL。CRL 有两种类型，即完全 CRL 和 delta CRL。完整的 CRL 具有每个撤销的证书的记录，而 delta CRL 则仅包含生成自最后一个 CRL （增量或完整）后撤销的证书。

默认情况下，在调度中的每个指定间隔都会生成完整的 CRL。通过生成内部 delta CRLs，有可能造成生成完整 CRL 之间的时间。生成间隔在 CRL 模式中配置，它会设置生成 delta 和 full CRL 的方案。

如果间隔设置为 3，则第一个 CRL 生成的是 full 和 delta CRL，则下一个两代更新仅是 delta CRL，然后第四个间隔是 full 和 delta CRL。换句话说，每个第三个间隔都具有完整的 CRL 和 delta CRL。

Copy to Clipboard Toggle word wrap 
Interval   1, 2, 3, 4, 5, 6, 7 ...
Full CRL   1        4        7 ...
Delta CRL  1, 2, 3, 4, 5, 6, 7 ...
注意

除了完整 CRL 外，要生成 delta CRL，必须启用 CRL 缓存。

7.4.1. 在控制台中配置 CRL 更新间隔

注意

pkiconsole 已被弃用。

  1. 打开控制台。

    Copy to Clipboard Toggle word wrap 
    pkiconsole https://server.example.com:8443/ca
  2. 在 Configuration 选项卡中，展开 Certificate Manager 文件夹和 CRL Issuing Points 子文件夹。

  3. 选择 MasterCRL 节点。

    crl sched1

  4. 在 Generate full CRL every # delta (s) 字段中输入所需的间隔。

    crl sched2

  5. 通过指定证书撤销的 occasion、cyclical 间隔或设置更新的时间来设置更新频率：

    • 每次证书被撤销或发布时，选择 Update CRL。每次从 hold 选项撤销或发布证书时，更新 CRL 也要求您填写两个 Grace 周期 设置。这是一个已知问题，程序错误在 Red Hat Bugzilla 中被跟踪。
    • 每次证书被撤销或发布时，选择 Update CRL。

    • 选中 Update CRL at 复选框，并输入以逗号分开的特定时间，如 01:50,04:55,06:55。

      CRL updates 选项卡设定时间

    • 选择 Update CRL every 复选框，并输入所需的间隔，如 240。

      CRL updates 标签页
  6. 保存更改。
重要

每次从 hold 选项撤销或发布证书时，更新 CRL 也要求您填写两个 宽限期 设置。这是一个已知问题，程序错误在 Red Hat Bugzilla 中被跟踪。

注意

根据间隔更新 CRL 时，可能会发生调度偏移。通常，因为手动更新和 CA 重启，会进行偏移。

要防止调度偏移，请选中 Update CRL at 复选框并输入一个值。间隔更新每 24 小时使用 Update CRL 重新同步。

CRL updates tab drift prevention

在 以间隔更新 CRL 时，只接受一个 Update CRL。

7.4.2. 在 CS.cfg 中为 CRL 配置更新间隔

有关如何通过编辑 CS.cfg 文件配置此功能的说明，请参阅 Red Hat Certificate System 规划、安装和部署指南中的在 CS.cfg 中为 CRL 配置 更新间隔部分。

7.4.3. 在多个天内配置 CRL 生成计划

默认情况下，CRL 生成计划覆盖 24 小时。另外，当默认启用 full 和 delta CRLs 时，会以特定间隔或所有 delta CRLs 代替每个第三个更新。

要在多个天数内设置 CRL 生成调度，时间列表使用逗号分隔同一天内的时间，一个分号来取消限制天数：

Copy to Clipboard Toggle word wrap 
ca.crl.MasterCRL.dailyUpdates=01:00,03:00,18:00;02:00,05:00,17:00

本例更新了位于 01:00, 03:00, 和 18:00 的时间表之日的 CRL，并在一天中的 02:00, 05:00, 和 17:00 调度中更新。在 3 天开始周期。

注意

分号表示一天。以分号开始列表会导致生成 CRL 的初始天。同样，以分号结尾的列表也会在没有生成 CRL 的调度中添加最后一天。两个分号一起会导致一天没有 CRL 生成。

要设置独立于 delta 更新的完整 CRL 更新，列表接受带有星号的时间值，以指示何时发生完整的 CRL 更新：

Copy to Clipboard Toggle word wrap 
ca.crl.MasterCRL.dailyUpdates=01:00,03:00,18:00,*23:00;02:00,05:00,21:00,*23:30

本例每天在 01:00、03:00 和 18:00 时生成 delta CRL 更新，其完整和 delta CRL 更新于 23:00。在第二天，delta CRL 在 02:00、05:00 和 21:00 中更新，其完整和 delta CRL 更新为 23:30。在第 3 天，周期会再次开始。

注意

分号和星号语法可在 pkiconsole 和手动编辑 CS.cfg 文件中工作。

返回顶部
Red Hat logoGithubredditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务，以及可以信赖的内容，帮助红帽用户创新并实现他们的目标。 了解我们当前的更新.

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情，请参阅红帽博客.

關於紅帽

我们提供强化的解决方案，使企业能够更轻松地跨平台和环境（从核心数据中心到网络边缘）工作。

Theme

© 2025 Red Hat, Inc.