憑證管理中心金鑰換用

為支援發證者金鑰換用，Domino® 信任的模型已延伸為包括新憑證類型，即換用憑證。這是由實體簽發給自己的憑證。在階層式憑證中，有一個發證者名稱、一個主體名稱及一個主體金鑰。在換用憑證中，有一個名稱（同時是發行者及主旨）及兩個主旨金鑰：一個金鑰是用來簽署憑證，並證明主旨名稱為其他金鑰合法擁有。

一般而言，金鑰換用時會發出兩個換用憑證：一個由舊金鑰簽署，表示新金鑰是有效的；另一個則由新金鑰簽署，表示舊金鑰為有效。每個憑證都有自己的到期日。

為限制簽發給舊金鑰憑證的到期日，輪替憑證是必要的。輪替金鑰的理由之一，是原來的金鑰已遭洩漏，或至少被認為太舊，因可能已洩漏而令人難以接受。在此情況下，藉由限制輪種憑證中指定的到期日，即可能限制原簽發的子憑證年限，方法就是在輪替憑證中指定夠早的到期日。

輪替發證者會影響整個組織。一旦輪替發證者，您即必須輪替或重新認證所有的使用者 ID、伺服器 ID 以及交互認證該發證者簽發的憑證。

輪替整個客戶網站的最佳方法，是從主要憑證開始，並向下通過階層。從輪替根 CA 開始，再輪替 OU CA。然後再輪替伺服器及使用者金鑰。如果使用者或伺服器金鑰在上層 CA 之前即換用，則新使用者或伺服器金鑰將必須認證兩次：一次是使用現行（舊）CA 金鑰，第二次則是當 CA 金鑰換用時。額外的重新認證耗時又費力：使用者及伺服器重新認證需要管理員介入，還要抄寫「人員」及「伺服器」文件。