Как правильно выпускать доверенные именные сертификаты в локальной сети с доменом для подписи внутренних документов, например, PDF?

Коллеги! Вопрос закрыт, надо было всего лишь заново выпустить сертификат с изменёнными путями!)))

Как правильно выпускать доверенные именные сертификаты в локальной сети с доменом для подписи внутренних документов, например, PDF?

Доброго времени суток, коллеги. Поднял СА, пока клиенты сами руками создают запрос и делают выпуск именного сертификата по шаблону Пользователь. Тут всё замечательно, кстати его можно экспортировать с закрытым ключом. Также всё хорошо и в самом бесплатном Adobe Reader, всё подписывается как надо. Проблема неожиданная прилетела со стороны проверки текущего сертификата пользователя на аннулирование (отзыв). По умолчанию в свойствах СА в закладке расширения ничего не меняя Adobe Reader ругался на ldap. Исходя из статьей:
https://www.sysadmins.lv/blog-en/designing-crl-dis...
и
https://learn.microsoft.com/ru-ru/windows-server/n...
сделал изменния. Ошибка теперь другая:

хотя пути прописаны при этом для точки распространения списков:
file://\\мойCA\CertEnroll\мойCA.crl
ttp://мойCA/certenroll/.crl
и для доступа к сведениям
http://мойCA/certenroll/_.crt
Причём что странно, можно оставить только первые записи c:\windows\system32.....
ошибка проверки будет та же.
Никто с этим не связывался?

Как правильно выпускать доверенные именные сертификаты в локальной сети с доменом для подписи внутренних документов, например, PDF?

Да, я это понял, но цель данной задачи ускорить подписание внутренних документов, в которые вовлечено большое количество людей на распределённой территории и отказ от печати в бумагу. Ну и чтобы никто из пользователей не смог бы выпустить сертификат сам от другого сотрудника.
Если умрёт ПК, админ отзовёт тот потерянный и выпустит новый. Это плохо будет в практике?
Делаю по рекомендациям от Vadims Podans, автораздача идёт только шаблона Компьютер? Не понимаю как сделать именной для пользователя запрос и выдачу автоматом, такое возможно? Просто в ГПО для ПК есть раздел Automatic Certificate Request Setting, а в пользовательской нет

Как правильно выпускать доверенные именные сертификаты в локальной сети с доменом для подписи внутренних документов, например, PDF?

Всем доброго дня! Если всё таки не усложнять и использовать только штатное решение СА, для надёжности желательно использовать промежуточный ЦС в случае если с корневым что-то случится? Забыл сказать, в сети так же штатно два КД. Вся серверная инфраструктура виртуализирована на VMware, сами ВМ на РАЙДах

Как правильно выпускать доверенные именные сертификаты в локальной сети с доменом для подписи внутренних документов, например, PDF?

Вообще-то, стандартно в Windows для решения задачи автора есть AD Rights Management Services, но что-то мне подсказывает, что MS не стала заморачиваться созданием клиентов для сторонних систем, так что это решение до сих пор годится только для сетей чисто на базе Windows, и в наше время наличия большого числа мобильных клиентов мало кому подойдет. Поэтому я про нее в ответе даже не упоминал.

А можно тут поподробнее?

Как правильно выпускать доверенные именные сертификаты в локальной сети с доменом для подписи внутренних документов, например, PDF?

CityCat4, можно же ведь сделать их резевную копию?