Active Directory’de Eski Sertifika Yetkilisi (CA) Kalıntıları Nasıl Temizlenir?

Microsoft altyapılarında Sertifika Hizmetleri (Certificate Authority – CA) rolünün kaldırılması veya sunucunun çökmesi durumlarında, Active Directory (AD) içerisinde bazı eski kalıntılar kalabilmekte. Bu kalıntılar, istemcilerin yanlış yönlendirilmesine, oturum açma hatalarına veya otomatik sertifika yenileme problemlerine neden olabiliyor. Uzmanlar, sistemde artık kullanılmayan bu CA referanslarının manuel olarak temizlenmesini öneriyor.

Neler Kalıyor?

Enterprise Root veya Subordinate CA gibi AD ile entegre yapılandırılmış CA’lar, kurulum sırasında Active Directory’de 6 adet nesne oluşturur:

• AIA: Sertifika zincirini doğrulamak için CA sertifikalarını içerir.
• CDP: İptal listelerinin (CRL) yayınlandığı yerdir.
• Certification Authorities: Güvenilen Root CA’ları listeler.
• Enrollment Services: Sertifika başvurularını yöneten hizmetleri tanımlar.
• KRA (Key Recovery Agent): Anahtar kurtarma ajanı sertifikalarını barındırır.
• NtAuthCertificates: Akıllı kart ve DC sertifikaları için CA’ların güvenilirliğini belirtir.

CA rolü kaldırıldığında yalnızca Enrollment Services nesnesi otomatik silinir. Geri kalanlar ise elle temizlenmelidir.

Nasıl Temizlenir?

Uzmanlar, eski CA’ya ait referansların silinmesi için aşağıdaki adımları öneriyor:

Active Directory Sites and Services konsolunu açın.

“View” menüsünden Show Services Node seçeneğini aktif hale getirin.

AIA, CDP, KRA, Certification Authorities gibi dizinlerde CA adına karşılık gelen nesneleri tespit edin ve silin.

“Enrollment Services” altındaki nesne kaldırılmamışsa manuel olarak silin.

NtAuthCertificates nesnesindeki eski CA’yı kaldırmak için aşağıdaki komutu kullanın:

certutil -viewdelstore "ldap:///CN=NtAuthCertificates,CN=Public Key Services,CN=Services,CN=Configuration,DC=alanadi,DC=local?cACertificate?base?objectclass=certificationAuthority"

Komutu çalıştırdıktan sonra doğru sertifikayı seçerek sistemden kaldırabilirsiniz.

Dikkat Edilmesi Gerekenler

• Bu işlemler yalnızca eski CA’dan verilmiş tüm sertifikalar süresi dolmuş veya iptal edilmişse yapılmalıdır.
• Yanlışlıkla başka CA’lara ait nesnelerin silinmesi, sertifika tabanlı kimlik doğrulamada sorunlara yol açabilir.
• Silme işlemlerinden önce sistem yedeği alınması önerilir.