Der Zertifizierungsstellen-Dienst startet nicht und wirft die Fehlermeldung "Provider DLL failed to initialize correctly. 0x8009001d (-2146893795 NTE_PROVIDER_DLL_FAIL)."

Folgendes Szenario angenommen:

• Es ist eine Zertifizierungsstelle im Netzwerk implementiert.
• Der Zertifizierungsstellen-Dienst startet nicht.
• Beim Versuch, den Zertifizierungsstellen-Dienst zu starten, erhält man folgende Fehlermeldung:

Provider DLL failed to initialize correctly. 0x8009001d (-2146893795 NTE_PROVIDER_DLL_FAIL).

Ein entsprechendes Ereignis mit Nr. 100 findet sich auch in der Ereignisanzeige der Zertifizierungsstelle:

Active Directory Certificate Services did not start: Could not load or verify the current CA certificate. ADCS Labor Issuing CA 2 Provider DLL failed to initialize correctly. 0x8009001d (-2146893795 NTE_PROVIDER_DLL_FAIL).

Mögliche Ursachen

Kennen Sie TameMyCerts? TameMyCerts ist ein Add-On für die Microsoft Zertifizierungsstelle (Active Directory Certificate Services). Es erweitert die Funktion der Zertifizierungsstelle und ermöglicht die Anwendung von Regelwerken, um die sichere Automatisierung von Zertifikat-Ausstellungen zu realisieren. TameMyCerts ist einzigartig im Microsoft-Ökosystem, hat sich bereits in unzähligen Unternehmen auf der ganzen Welt bewährt und steht unter einer freien Lizenz. Es kann über GitHub heruntergeladen und kostenlos verwendet werden. Professionelle Wartung wird ebenfalls angeboten.

Tritt auf, wenn der Key Storage Provider (KSP) nicht geladen werden konnte und somit kein Zugriff auf den privaten Schlüssel besteht.

Betreffender Server verwendete den Cavium Key Storage Provider (AWS CloudHSM). Die Protokolldateien des Cavium Key Storage Provider werden in folgendes Verzeichnis geschrieben:

C:\Program Files\Amazon\CloudHSM\

Bitte beachten, dass die Einträge in der Protokolldatei in UTC-Zeit eingetragen werden und daher von der lokal konfigurierten regionalen Uhrzeit abweichen können.

Dort waren unter Anderem ein folgende Einträge zu finden:

ERR: send_cached_info_to_app: No preferred server found
ERR: send_cached_info_to_app: No preferred server found
ERR: buffered_on_event: listenmain network error, closing conn.
INF: buffered_on_event: Added accepted conn:00000123456789AB to zombie list
ERR: buffered_on_event: listenmain network error, closing conn.
INF: buffered_on_event: Added accepted conn:00000123456789AC to zombie list

Es konnte also keine Verbindung zu den HSM-Endpunkten hergestellt werden. Der Fehler trat direkt nach einem Neustart des betreffenden Systems auf.

In ähnlicher Weise kann dies auch beim SafeNet Key Storage Provider auftreten.

Weiterführende Links:

• Die Installation eines Zertifizierungsstellen-Zertifikats schlägt fehl mit Fehlercode "NTE_PROVIDER_DLL_FAIL"

Externe Quellen

• Working With Client SDK Logs (Amazon Web Services)
• 0x8009001d (-2146893795 NTE_PROVIDER_DLL_FAIL). (Microsoft TechNet Foren)
• What causes NTE_PROVIDER_DLL_FAIL 0x8009001D on a CSP CryptAquireContext ? (Microsoft MSDN Foren)
• Stopping the Windows Authenticating Firewall Service and the boot time policy (Microsoft, Archivlink)