Je hebt twee Online Responders geïmplementeerd om OCSP te leveren voor je uitgevende enterprise CA. Een hardware load balancer verdeelt het verkeer ertussen. Je moet zorgen voor consistente intrekking-responses en de juiste schaalbaarheid. Wat moet je doen? Kies twee acties.

Om consistente intrekking-responses en schaalbaarheid te garanderen met meerdere OCSP Online Responders, moet u een OCSP responder array configureren. Dit houdt in dat de intrekking-configuratie van de ene responder wordt geëxporteerd en naar de andere wordt geïmporteerd, en dat beide hetzelfde OCSP Response Signing-certificaat gebruiken. Dit zorgt ervoor dat alle responders dezelfde intrekking-informatie en ondertekeningssleutel gebruiken, wat consistentie garandeert. Daarnaast moet op elke responder de revocation provider worden geconfigureerd om te verwijzen naar de uitgevende CA en de CRL/AIA-locaties, met de juiste refresh-intervallen. Dit zorgt ervoor dat de responders actuele intrekking-informatie kunnen ophalen. Het verhogen van de CRL-publicatiefrequentie op de CA is niet direct gerelateerd aan de configuratie van de OCSP responders zelf, hoewel het de actualiteit van de intrekking-informatie kan beïnvloeden. Het installeren van de AD CS Enterprise CA-rol op elke Online Responder is onjuist; Online Responders zijn ontworpen om intrekking-informatie te leveren, niet om zelf certificaten uit te geven. Het uitschakelen van nonce-ondersteuning kan het CPU-gebruik verminderen, maar het vermindert ook de beveiliging tegen replay-aanvallen en is geen vereiste voor consistentie of schaalbaarheid.