Zertifikatregistrierungs-Webdienste

Grenzen der Microsoft Active Directory Certificate Services

Die Active Directory Certificate Services bestehen (wenn auch unter anderem Namen) in ihren Grundzügen seit Windows NT 4.0. Die heutzutage verwendete auf Active Directory besierende Architektur wurde mit Windows 2000 Server eingeführt. Die AD CS sind sehr gut in das Windows-Ökosystem integriert und erfreuen sich weiterhin weltweit großer Beliebtheit in Unternehmen und Behörden jeglicher Größenordnung.

Gerne wird auf die vielen Möglichkeiten hingewiesen, welche die Active Directory Certificate Services bieten. Selten wird allerdings darauf verwiesen, was mit ihnen nicht möglich ist. Das Produkt stößt nämlich mittlerweile an vielen Stellen auch an seine Grenzen.

Welche das sind, soll nachfolgend näher ausgeführt werden, um besser entscheiden zu können, ob die AD CS für geplante Vorhaben die richtige Lösung sein können.

Ereignisquelle:	Microsoft-Windows-CertificateServicesClient-CertEnroll
Ereignis-ID:	80 (0x825A0050)
Ereignisprotokoll:	Application
Ereignistyp:	Warning
Ereignistext (englisch):	Certificate enrollment for %1 cannot enroll for a %2 certificate because the certificate enrollment server %3 is ROBO and only renewal is supported
Ereignistext (deutsch):	Die Zertifikatregistrierung für %1 kann sich nicht für ein Zertifikat %2 registrieren, da es sich bei dem Zertifikatregistrierungsserver %3 um einen ROBO-Server handelt und nur die Erneuerung unterstützt wird.

Ereignisquelle:	Microsoft-Windows-EnrollmentPolicyWebService
Ereignis-ID:	17 (0x11)
Ereignisprotokoll:	Microsoft-Windows-EnrollmentPolicyWebService/Admin
Ereignistyp:	Information
Ereignistext (englisch):	A certification authority %1 has been loaded. For additional information, please refer to the EventData section of the Details pane.
Ereignistext (deutsch):	Die Zertifizierungsstelle "%1" wurde geladen. Weitere Informationen finden Sie im Bereich "Ereignisdaten" des Detailbereichs.

Ereignisquelle:	Microsoft-Windows-EnrollmentPolicyWebService
Ereignis-ID:	19 (0x13)
Ereignisprotokoll:	Microsoft-Windows-EnrollmentPolicyWebService/Admin
Ereignistyp:	Fehler
Ereignistext (englisch):	The Certificate Enrollment Policy Web Service cannot operate because Windows authentication is not compatible with key based renewal. To resolve this issue, remove the Certificate Enrollment Policy Web Service. Reconfigure the Setup options to disable key based renewal, or select either user name and password authentication or client certificate authentication, and then run Setup again.
Ereignistext (deutsch):	Der Zertifikatregistrierungsrichtlinien-Webdienst kann nicht ausgeführt werden, da die Windows-Authentifizierung nicht mit schlüsselbasierter Erneuerung kompatibel ist. Entfernen Sie den Zertifikatregistrierungsrichtlinien-Webdienst, um das Problem zu beheben. Konfigurieren Sie die Setupoptionen neu, um die schlüsselbasierte Erneuerung zu deaktivieren, oder wählen Sie entweder eine Benutzernamen-/Kennwortauthentifizierung oder eine Clientzertifikatauthentifizierung aus, und führen Sie Setup dann erneut aus.

Ereignisquelle:	Microsoft-Windows-EnrollmentPolicyWebService
Ereignis-ID:	20 (0x14)
Ereignisprotokoll:	Microsoft-Windows-EnrollmentPolicyWebService/Admin
Ereignistyp:	Information
Ereignistext (englisch):	A service end point with URI %1 has been configured for this service. The client authentication scheme is %2. Only policies that contain certificate templates that are enabled for key based renewal will be returned to the client. Use the Group Policy Management Console or the Certificates snap-in to configure clients with this Certificate Enrollment Policy Web Service information.
Ereignistext (deutsch):	Für diesen Dienst wurde ein Dienstendpunkt mit URI "%1" konfiguriert. Das Clientauthentifizierungsschema lautet "%2". Nur Richtlinien mit Zertifikatvorlagen, die für die schlüsselbasiere Erneuerung konfiguriert sind, werden an den Client zurückgegeben. Verwenden Sie die Gruppenrichtlinien-Verwaltungskonsole oder das Snap-In "Zertifikate", um Clients mit Informationen dieses Zertifikatregistrierungsrichtlinien-Webdiensts zu konfigurieren.

Ereignisquelle:	Microsoft-Windows-EnrollmentPolicyWebService
Ereignis-ID:	21 (0x15)
Ereignisprotokoll:	Microsoft-Windows-EnrollmentPolicyWebService/Admin
Ereignistyp:	Information
Ereignistext (englisch):	A service end point with URI %1 has been configured for this service. The client authentication scheme is %2. Only policies that contain certificate templates that are enabled for key based renewal will be returned to the client. Client certificates without subject information in the Active Directory database can be used to retrieve certificate templates. Use the Group Policy Management Console or the Certificates snap-in to configure clients with this Certificate Enrollment Policy Web Service information.
Ereignistext (deutsch):	Für diesen Dienst wurde ein Dienstendpunkt mit URI "%1" konfiguriert. Das Clientauthentifizierungsschema lautet "%2". Nur Richtlinien mit Zertifikatvorlagen, die für die schlüsselbasiere Erneuerung konfiguriert sind, werden an den Client zurückgegeben. Zertifikatvorlagen können mit Clientzertifikaten ohne Antragstellerinformationen in der Active Directory-Datenbank abgerufen werden. Verwenden Sie die Gruppenrichtlinien-Verwaltungskonsole oder das Snap-In "Zertifikate", um Clients mit Informationen dieses Zertifikatregistrierungsrichtlinien-Webdiensts zu konfigurieren.

Ereignisquelle:	Microsoft-Windows-EnrollmentPolicyWebService
Ereignis-ID:	8 (0x8)
Ereignisprotokoll:	Microsoft-Windows-EnrollmentPolicyWebService/Admin
Ereignistyp:	Fehler
Ereignistext (englisch):	The Active Directory certificate enrollment policy provider failed to initialize. Try to restart Internet Information Services (IIS) by using iisreset.exe. If the problem persists, enable tracing in the web.config file, restart IIS, attempt to obtain policy information from any client, and then contact Microsoft Customer Service and Support with the trace file information. %1
Ereignistext (deutsch):	Fehler beim Initialisieren des Active Directory-Zertifikatregistrierungsrichtlinien-Anbieters. Starten Sie Internetinformationsdienste (IIS) durch Ausführen von "iisreset.exe" neu. Falls das Problem weiterhin besteht, aktivieren Sie in der Datei "web.config" die Ablaufverfolgung, starten Sie IIS neu, rufen Sie von einem beliebigen Client Richtlinieninformationen ab, und wenden Sie sich dann mit den Informationen der Ablaufverfolgungsdatei an den Microsoft Kundendienst und Support. %1