6.6. 使用在线证书状态协议(OCSP)响应器

Red Hat Certificate System 提供两种 CRL 发布方法，供 CA 外部的 OCSP 实例使用：

默认情况下，当您设置 OCSP 实例后，会自动设置第一个 CRL 发布方法，这将允许直接 CA→OCSP CRL 发布。

如果您在配置 Online Certificate Status Manager 时在安全域中选择 CA，则不需要额外的步骤来配置 OCSP 服务。CA 的 CRL 发布会自动设置，其签名证书会在在线证书状态管理器的证书数据库中自动添加并可信。但是，如果您选择非安全域 CA，则必须在配置在线证书状态管理器后手动配置 OCSP 服务。

为安全域之外的证书管理器设置在线证书状态管理器：

在将 CA 配置为将 CRL 发布到在线证书状态管理器之前，必须通过将 CA 签名证书存储在在线证书状态管理器的内部数据库来识别 CA 的证书。证书管理器使用此证书关联的密钥对为 CRL 进行签名；在线证书状态管理器会根据存储的证书验证签名。

不需要为 CA 导入证书链，它将将其 CRL 发布到在线证书状态管理器。OCSP 服务需要证书链的唯一时间是，如果 CA 在发布 CRL 时通过 SSL/TLS 身份验证连接到在线证书状态管理器。否则，在线证书状态管理器不需要完整的证书链。

但是，在线证书状态管理器必须在其证书数据库中签署 CRL (CA 签名证书或单独的 CRL 签名证书)。OCSP 服务通过将 CRL 与数据库中的证书进行比较来验证 CRL，而不与证书链。如果 root CA 和其从属 CA 之一发布 CRL 到在线证书状态管理器，则在线证书状态管理器需要两个 CA 的 CA 签名证书。

要导入 CA 或 CRL 签名证书，用来为 CA 发布的证书签名到在线证书状态管理器，请执行以下操作：

生成的表单应该显示有关新 CA 的信息。此更新、下一步更新 和 Requests Served Since Startup 字段应显示 0 (0)。

OCSP 响应者在确定证书是否有效前检查证书的吊销状态和过期日期；默认情况下，OCSP 不会验证证书的附加信息。

notFoundAsGood 参数设置 OCSP 如何处理带有无效序列号的证书。默认启用此参数，这意味着如果证书有错误的序列号，但证书有效，但 OCSP 会为证书返回 GOOD 状态。

要使 OCSP 检查和拒绝基于错误的序列号和撤销状态的证书，请更改 notFoundAsGood 设置。在这种情况下，OCSP 状态返回带有错误序列号的证书。客户端将其解释为错误，并可相应地响应。

证书管理器有一个内置的 OCSP 服务，该服务可供 OCSP 兼容客户端使用，来直接查询证书管理器有关证书的吊销状态。安装证书管理器时，会发出 OCSP 签名证书，并默认打开 OCSP 服务。此 OCSP 签名证书用于签署对 OCSP 服务请求的所有响应。由于内部 OCSP 服务检查存储在证书管理器的内部数据库中的证书状态，因此发布不必配置为使用此服务。

客户端可以通过证书管理器的非 SSL/TLS 最终用户端口查询 OCSP 服务。当查询证书的吊销状态时，证书管理器会为证书搜索其内部数据库，检查其状态，并响应客户端。由于证书管理器具有签发的所有证书的实时状态，因此此方法撤销检查是最准确的。

每个 CA 的内置 OCSP 服务都会在安装时打开。但是，要使用此服务，CA 需要使用授权信息访问扩展来发布证书。

ca.ocsp=false

OCSPClient 程序可用于执行 OCSP 请求。例如：

# OCSPClient -h server.example.com -p 8080 -d /etc/pki/pki-tomcat/alias -c "caSigningCert cert-pki-ca" --serial 2

CertID.serialNumber=2
CertStatus=Good

OCSPClient 命令可与以下命令行选项一起使用：

OCSP 请求小于 255 字节，可以使用 GET 方法提交到在线证书状态管理器，如 RFC 6960 所述。通过 GET 提交 OCSP 请求：

或者，使用 curl 等工具从命令行运行 OCSP，以发送请求和 openssl 来解析响应。例如：