7.6.3. 为 Bad Serial Numbers 设置响应
OCSP 响应者在确定证书是否有效前检查证书的撤销状态和过期日期。默认情况下，OCSP 不会验证证书上的其他信息。
notFoundAsGood 参数设置 OCSP 如何使用无效序列号处理证书。这个参数会被默认启用。这意味着，如果证书存在错误的序列号，但证书无法有效，OCSP 会为证书返回 GOOD 状态。
要让 OCSP 检查并拒绝基于错误序列号和撤销状态的证书，请更改
notFoundAsGood 设置。在这种情况下，OCSP 使用带有错误序列号的证书返回 UNKNOWN 状态。客户端解析为错误并可以相应地做出响应。
- 打开 Online Certificate Status Manager 控制台。
pkiconsole https://server.example.com:8443/ocsp
- 在 Configuration 选项卡中，选择 Online Certificate Status Manager，然后选择 Revocation Info Stores。
- 选择 defStore，再单击 。
- 编辑
notFoundAsGood值。选择复选框意味着 OCSP 返回 GOOD 值，即使证书中的序列号不正确。取消选择复选框意味着 OCSP 发送 UNKNOWN 的值，因为客户端可能会将错误作为错误。
- 重启 OCSP Manager。
]# systemctl restart pki-tomcatd@instance-name.service
