Active Directory Certificate ServiceのCA情報などを表示する

検証でAD CSを作るたびにCAの情報をコマンドでダンプしなきゃと思うわけです。いつもやり方を忘れるため、概要を残しておきます。

まず、certutil -cainfo を実行してCAの情報を見ます。

スタンドアロンCAとして構築したことが確認できました。

続いて、

certutil -getreg CA\ValidityPeriod

certutil -getreg CA\ValidityPeriodUnits

を実行して証明書の有効期間を見ます。

5年で設定したことが確認できました。

※なお証明書の有効期間設定に関しては、下記のコマンドにより、証明書サービスの再起動が必要です。
net stop certsvc
net start certsvc
証明書の有効期間設定に関する公式情報は、
証明機関によって発行される証明書の有効期限を変更する
となります。

続いてルートCA証明書の確認です。

※なおルートCA証明書自体は、グループポリシーにてADドメインへ配布するよう設定したことを申し添えます。

GUI上は、下記のダイアログで確認できます。

コマンドで確認するためには、証明書ストアのキーワードが必要なので、 Get-ChildItem Cert:\LocalMachine\ で一覧を取得します。

信頼されたルート証明機関は、Rootなのでさらにそこを深掘りします。Get-ChildItem Cert:\LocalMachine\Root\ を実行して、信頼されたルート証明機関に含まれる証明書の一覧を表示します。

今回構築したルートCAのルートは赤枠のものです。

Get-ChildItem "Cert:\LocalMachine\Root\" |fl

にて、各証明書のプロパティを表示させました。

ルートCA証明書は、2/2/2030 11:18:47 AMまでの有効期間であることがわかります。

以上、簡易ではありますが確認方法をまとめました。