Hai distribuito due Online Responder per fornire OCSP per la tua CA aziendale emittente. Un hardware load balancer distribuisce il traffico tra di essi. Devi garantire risposte di revoca coerenti e una scalabilità adeguata. Cosa dovresti fare? Scegli due azioni.

Per garantire risposte di revoca coerenti e scalabilità con più Online Responder (OCSP), è fondamentale configurarli come un array. Questo si ottiene esportando la configurazione di revoca da un responder e importandola negli altri, assicurandosi che tutti utilizzino lo stesso certificato di firma della risposta OCSP. Questo garantisce che tutti i responder forniscano le stesse risposte di revoca. Inoltre, ogni responder deve essere configurato per fare riferimento alla CA emittente e alle sue posizioni CRL/AIA (Certificate Revocation List/Authority Information Access) con intervalli di aggiornamento appropriati. Questo assicura che i responder possano recuperare e mantenere aggiornate le informazioni di revoca più recenti dalla CA. Aumentare la frequenza di pubblicazione della CRL sulla CA a ogni 5 minuti non è direttamente correlato alla configurazione dell'array OCSP e potrebbe sovraccaricare la CA. L'installazione del ruolo AD CS Enterprise CA su ogni Online Responder non è necessaria e introduce complessità e rischi di sicurezza, poiché gli OCSP responder sono tipicamente server dedicati. Disabilitare il supporto nonce riduce la sicurezza e non è una pratica raccomandata per la coerenza delle risposte.