はじめに

AD CS を構築した直後には、失効リスト (CRL) は、「ファイル共有」のアドレスが構成されています。
ファイル共有は、当然 Windows の認証が掛かっているので、ドメイン外のサーバーからアクセスした場合には認証が必要となります。

私の場合は、NPS サーバーとドメイン外の AD CS（スタンドアロンCA）を組み合わせて、クライアント証明書の失効確認を構成したかったのですが、以下のエラー「失効サーバーがオフラインだったため、失効関数は失効を確認できませんでした。」のエラーが出ました。このエラーが厄介でして、エクスプローラーから CRL (ファイル共有) を参照した場合、NTLM 認証のおかげで参照ができますが、NPS のサービスを実行しているアカウントが、ローカルアカウントであるために、ドメイン外のファイル共有を参照できない状況が発生します。この差に気づけないと立ち往生でハマります。
（NPS サーバーのイベントログ）

そのため、失効リストを「HTTP 匿名アクセス」へ変更することにより、ドメイン外のホストからでも問題なく参照できるようになり、解決策となります。

この記事では、失効リストを既定の「ファイル共有」から「HTTP 匿名アクセス」へ構成変更する手順を紹介したいと思います。

1. AD CS と証明機関 Web 登録の構成

AD CS のオプション「証明機関 Web 登録」を導入します。
これが導入されていれば、CertEnroll という仮想フォルダが自動作成されます。
このフォルダが、「HTTP 匿名アクセス」の公開場所になります。

以下の手順の実施にて、AD CS 導入と証明機関 Web 登録の導入ができます。
AD CS 導入済みの場合は、証明機関 Web 登録だけ追加導入してください。
※本記事の手順では、スタンドアロン CA を想定しています。

2. CRL 配布ポイントの再構成

2-1. 問題点

証明機関 Web 登録を導入することにより、CertEnroll の仮想フォルダが作成されるのですが、これだけでは証明書の失効リストの構成としては十分ではありません。
このままでは、発行された証明書に記載されている「CRL」の値が変更されないため、証明書をチェックするホストは「ファイル共有」の方を参照してしまいます。

2-2. CRL 配布ポイントの変更手順

CRL に含め、クライアントはこれを使って Delta CRL の場所を検索する
発行された証明書の CDP 拡張機能に含める

4．続いて「file://」や「ldap://」の行のチェックは外します。

5．以下のメッセージには「はい」で応答し、サービスを再起動します。

2-3. 証明書の再発行

このタイミングで、証明書の再作成を行うことで、CRL 配布ポイントが「HTTP 匿名アクセス」に更新されます。

2-3-1. 証明書の発行手順

証明書は、以下の手順を参考に、再度発行してください。

2-3-2. 証明書再発行後の CRL 配布ポイント

再発行された証明書を確認すると、下図のように、配布ポイントが「http://」に変更されています。

2-3-3. 証明書の配布

CRL が HTTP に更新された証明書を、各ホストに配布しなおしてください。
※(旧)証明書の削除と、(新)証明書のインポート

証明書の削除や確認は、certlm.msc (コンピューター証明書の場合) と、certmgr.msc (ユーザー証明書の場合) のツールを活用してください。

2-4. キャッシュのクリア

旧証明書で証明書の失効確認が行われていると、新しい証明書に差し替えても、キャッシュが残っていて、古い CRL のまま、失効確認が行われてしまいます。
そのため、以下のコマンドを実行して、CRL のキャッシュをクリアしてください。

クライアント証明書の失効確認のキャッシュは、認証サーバー側（NPS サーバー等）、サーバー証明書の失効確認のキャッシュはクライアントPC 側でのクリアが必要です。

必ず、コマンドプロンプト（管理者）を使って、コマンド ① と ② を続けて実行してください。
※PowerShell だと、コマンド ① は動作しますが、コマンド ② が動きません（私は、これでハマりました）

（コマンド ①）

certutil -urlcache * delete

（実行結果 ①）

（コマンド ②）

certutil -setreg chain\ChainCacheResyncFiletime @Now

（実行結果 ②）