Vous avez déployé deux répondeurs en ligne pour fournir OCSP à votre autorité de certification d'entreprise émettrice. Un équilibreur de charge matériel distribue le trafic entre eux. Vous devez garantir des réponses de révocation cohérentes et une mise à l'échelle appropriée. Que devriez-vous faire ? Choisissez deux actions.

Pour assurer la cohérence et la mise à l'échelle, vous devez configurer un tableau de répondeurs OCSP. Cela implique d'exporter la configuration de révocation d'un répondeur et de l'importer sur l'autre, en veillant à ce qu'ils partagent le même certificat de signature de réponse OCSP. Cela garantit que les deux répondeurs fournissent des réponses identiques. De plus, sur chaque répondeur, configurez le fournisseur de révocation pour qu'il pointe vers l'autorité de certification émettrice et ses points de distribution de listes de révocation de certificats (CRL) et d'accès aux informations d'autorité (AIA), avec des intervalles d'actualisation appropriés. Cela permet aux répondeurs de récupérer les informations de révocation les plus récentes. Augmenter la fréquence de publication des CRL à 5 minutes est excessif et peut surcharger l'AC. Installer le rôle AD CS Enterprise CA sur les répondeurs est incorrect car les répondeurs OCSP ne sont pas des AC. Désactiver les nonces réduit la sécurité et n'est pas une solution appropriée pour la mise à l'échelle.