--- title: 'Windows CA: "The certificate validity period will be shorter..."' url: 'https://patrik.kernstock.net/blog/windows-ca-certificate-validity-period-will-shorter' markdown: 'https://patrik.kernstock.net/blog/windows-ca-certificate-validity-period-will-shorter.md' date: '2016-06-11' description: 'Die maximale Gültigkeitsdauer eines Zertifikates ist standardmäßig seitens der Certification Authority auf 2 Jahre beschränkt. Änderbar wie folgt...' taxonomy: category: - Microsoft tag: - Certificates - QuickTip - Windows - 'Windows Server' --- # [Windows CA: "The certificate validity period will be shorter..."](https://patrik.kernstock.net/blog/windows-ca-certificate-validity-period-will-shorter) June 11, 2016 (updated July 5, 2016) 2 min [Microsoft](https://patrik.kernstock.net/category:Microsoft) [Certificates](https://patrik.kernstock.net/tag:Certificates) [QuickTip](https://patrik.kernstock.net/tag:QuickTip) [Windows](https://patrik.kernstock.net/tag:Windows) [Windows Server](https://patrik.kernstock.net/tag:Windows%20Server) Hinweis Dieser Artikel ist über 10 Jahr(e) alt – Inhalte könnten veraltet sein. ![Windows CA: "The certificate validity period will be shorter..."](https://patrik.kernstock.net/images/2/0/1/6/-/2016-06-10211830-gvrdd-98df9a7c.png?g-b3a1b014 "Windows CA: "The certificate validity period will be shorter..."") Kurz notiert: Die **maximale Gültigkeitsdauer eines Zertifikates** ist **standardmäßig** seitens der Windows Zertifikatsstelle (“*Certification Authority*“) **auf 2 Jahre beschränkt**. Wird eine Zertifikatsanforderung (“*Certificate Signing Request*“) mit einer längeren Gültigkeitsdauer eingereicht, beschwert sich die Windows CA aufgrund der zu langen Dauer. Das Zertifikat wird zwar **dennoch erfolgreich ausgestellt**, jedoch **beschränkt** sich die **Gültigkeit** dieses Zertifikates dann auf die maximal zulässige Dauer. [![Certificate Template mit 5 Jahren Gültigkeitsdauer](https://patrik.kernstock.net/user/pages/01.blog/2016-06-11-windows-ca-certificate-validity-period-will-shorter/2016-06-10_211830-gvrdd.png?g-b3a1b014 "Certificate Template mit 5 Jahren Gültigkeitsdauer")](https://patrik.kernstock.net/user/pages/01.blog/2016-06-11-windows-ca-certificate-validity-period-will-shorter/2016-06-10_211830-gvrdd.png?g-b3a1b014) Certificate Template mit 5 Jahren Gültigkeitsdauer Ein Grund für eine längere Gültigkeitsdauer ist unter anderem, dass die Zertifikate weniger oft auf den Zielsystemen gewechselt werden müssen. Spart natürlich ein wenig Arbeit ein. Jedoch sollte man vorab die Pro und Kontras diesbezüglich abwägen, **bevor** es zur **Umsetzung** geht – natürlich kommt es auch stark auf den geplanten Einsatzzweck an. Nicht vergessen: **Die Dauer des Zertifikates kann nicht die Dauer des Root-Zertifikates übersteigen**! Die Antwort seitens der Certificate Authority von *certreq* fällt wie folgt aus: [![Meldung aufgrund überschrittener Maximaldauer](https://patrik.kernstock.net/user/pages/01.blog/2016-06-11-windows-ca-certificate-validity-period-will-shorter/2016-05-27_165940-zkidv.png?g-b3a1b014 "Meldung aufgrund überschrittener Maximalgültigkeit")](https://patrik.kernstock.net/user/pages/01.blog/2016-06-11-windows-ca-certificate-validity-period-will-shorter/2016-05-27_165940-zkidv.png?g-b3a1b014) Meldung aufgrund überschrittener Maximaldauer > Certificate retrieved(Issued) Issued The certificate validity period will be shorter than the WebServerSec5y Certificate Template specifies, because the template validity period is longer than the maximum certificate validity period allowed by the CA. Consider renewing the CA certificate, reducing the template validity period, or increasing the registry validity period. (“WebServerSec5y” ist hierbei ein von mir selbst erstelltes CA-Template mit einer Gültigkeitsdauer von 5 Jahren) **Doch was wäre, wenn man dennoch länger gültige Zertifikate haben möchte?** Um nun Zertifikate mit einer längeren Dauer als 2 Jahren auszustellen, muss dazu der **Maximalwert** der Certification Authority in der Registry – genauer: den Wert “*ValidityPeriodUnits*” – **höher gesetzt werden**. Geht auch ganz fix – auch ohne manuelles Gesuche in der Registry. **Wert auslesen…** > `certutil -getreg ca\ValidityPeriodUnits` [![Aktuellen ValidityPeriodUnits-Wert auslesen](https://patrik.kernstock.net/user/pages/01.blog/2016-06-11-windows-ca-certificate-validity-period-will-shorter/2016-06-10_200910-jvd9j.png?g-b3a1b014 "Aktuellen ValidityPeriodUnits-Wert auslesen")](https://patrik.kernstock.net/user/pages/01.blog/2016-06-11-windows-ca-certificate-validity-period-will-shorter/2016-06-10_200910-jvd9j.png?g-b3a1b014) Aktuellen ValidityPeriodUnits-Wert auslesen **Wert auf 5 Jahre setzen…** > `certutil -setreg ca\ValidityPeriodUnits 5` [![ValidityPeriodUnits auf 5 setzen](https://patrik.kernstock.net/user/pages/01.blog/2016-06-11-windows-ca-certificate-validity-period-will-shorter/2016-06-10_200428-dik5w.png?g-b3a1b014 "ValidityPeriodUnits auf 5 setzen")](https://patrik.kernstock.net/user/pages/01.blog/2016-06-11-windows-ca-certificate-validity-period-will-shorter/2016-06-10_200428-dik5w.png?g-b3a1b014) ValidityPeriodUnits auf 5 setzen **Zur Kontrolle erneut prüfen…** > `certutil -getreg ca\ValidityPeriodUnits` [![Aktuellen ValidityPeriodUnits-Wert prüfen](https://patrik.kernstock.net/user/pages/01.blog/2016-06-11-windows-ca-certificate-validity-period-will-shorter/2016-06-10_200804-eacl7.png?g-b3a1b014 "Aktuellen ValidityPeriodUnits-Wert prüfen")](https://patrik.kernstock.net/user/pages/01.blog/2016-06-11-windows-ca-certificate-validity-period-will-shorter/2016-06-10_200804-eacl7.png?g-b3a1b014) Aktuellen ValidityPeriodUnits-Wert prüfen **Abschließen nicht vergessen**: Zur Übernahme der eben vorgenommen Änderungen **muss der Zertifikatsdienst neugestartet werden**! Die Einstellung wird zwar in der Registry geändert, jedoch zeigt diese Änderung erst nach dem Neustart Wirkung. ## Comments Sort by: Loading comments... --- ## Navigation - Parent: [Blog](https://patrik.kernstock.net/index.md) - Previous: [Erster Eindruck: Veeam Backup for Linux](https://patrik.kernstock.net/blog/erster-eindruck-veeam-backup-linux.md) - Next: [VMware VCSA 6: Bash-Shell "dauerhaft" aktivieren](https://patrik.kernstock.net/blog/vmware-vcsa-6-automatische-deaktivierung-der-bash-shell-deaktivieren.md)