Удостоверяющий центр, как запретить пользователям АД вход по отозванным сертификатам?

Question

[EvilLord]

Добрый день!
Развернули в домене 2008 удостоверяющий центр с целью перевода сотрудников на вход по смарт картам. Заодно развернули OCSP ответчик. В процессе тестирования выяснилось что пользователей пускает в домен даже с отозванными сертификатами. Списки отзыва публикуются каждый час, пробовали публиковать в ручную. Точки отзыва в сертификате прописаны. Openssl при проверке ответа OCSP выдаёт статус отозван.
Подскажите куда копать?

Comments

[ldv]

если кэш очистить?
certutil -urlcache * delete

Answer 1

[Andrey San]

клиент получает отозванный сертификат?

Answer 2

[EvilLord]

Клиенту выдаётся сертификат записанный на смарт карту. Он спокойно авторизуется. После мы отзываем сертификат в удостоверяющем центре. публикуем новый список отзыва.
Проверяем наличие сертификата в списке отзыва.
УЦ нам сообщает что "Этот сертификат был отозван выдавшим его центром сертификации".
Но пользователь совершенно спокойно продолжает авторизовываться по отозванному сертификату.