AD CS で SAN 属性を追加すると設定値はどう変わっているのか

必要に迫られて調べました。

AD CS で SAN 属性を追加する方法は、
セキュリティで保護された LDAP 証明書にサブジェクトの別名を追加する方法
になりますね。これ以外にもいくつかの記事があります。

2024/08/20追記　Windows Serverの認証局でSAN属性を持たせたマルチドメイン証明書を認証する　にcertutilによる設定変更が詳しくかかれています。

で、設定するコマンドは、明らかになっているのですが、どうやって確認するのが正しいか？

AD CS で SAN 属性を追加していたので、一旦外してみました。

よく見ると
EDITF_ATTRIBUTESUBJECTALTNAME2
自体が無くなっていますね。
で、設定のオプションが -setreg なら、get もあるでしょと調べてみたところ、-getreg オプションがありました。

EDITF_ATTRIBUTESUBJECTALTNAME2
自体は、無いですね。

AD CS で SAN 属性を外したままにはできないので、再設定します。

EDITF_ATTRIBUTESUBJECTALTNAME2
自体が増えています。

certutil -getreg policy\EditFlags
コマンドで念のため確認してみます。

EDITF_ATTRIBUTESUBJECTALTNAME2
があることを確認できます。

certutil -getreg policy\EditFlags
コマンドは、レジストリ設定のうち、policy\EditFlags を表示してくれるので、
EDITF_ATTRIBUTESUBJECTALTNAME2
以外にも使い道がありそうです。