Die Anmeldung an der Administrations-Webseite für den Registrierungsdienst für Netzwerkgeräte (NDES) schlägt fehl mit HTTP Fehlercode 401 "Unauthorized: Access is denied due to invalid credentials."

Folgendes Szenario angenommen:

• Ein NDES Server ist im Netzwerk konfiguriert.
• Bei Aufruf der NDES-Administrations-Webseite (certsrv/mscep_admin) ist nicht möglich.
• Nach mehreren erfolglosen Anmeldeversuchen wird folgende HTTP-Fehlermeldung zurückgegeben:

401 - Unauthorized: Access is denied due to invalid credentials.
You do not have permission to view this directory or page using the credentials that you supplied.

Der Registrierungsdienst für Netzwerkgeräte (Network Device Enrollment Service, NDES) bietet eine Möglichkeit, Geräten, welche nicht über eine Kennung im Active Directory verfügen (beispielsweise Netzwerkgeräte wie Router, Switches, Drucker, Thin Clients oder Smartphones und Tablets), Zertifikate von einer Zertifizierungsstelle zu beantragen. Für eine detailliertere Beschreibung siehe Artikel "Grundlagen Registrierungsdienst für Netzwerkgeräte (Network Device Enrollment Service, NDES)".

Mögliche Ursachen

Kennen Sie TameMyCerts? TameMyCerts ist ein Add-On für die Microsoft Zertifizierungsstelle (Active Directory Certificate Services). Es erweitert die Funktion der Zertifizierungsstelle und ermöglicht die Anwendung von Regelwerken, um die sichere Automatisierung von Zertifikat-Ausstellungen zu realisieren. TameMyCerts ist einzigartig im Microsoft-Ökosystem, hat sich bereits in unzähligen Unternehmen auf der ganzen Welt bewährt und steht unter einer freien Lizenz. Es kann über GitHub heruntergeladen und kostenlos verwendet werden. Professionelle Wartung wird ebenfalls angeboten.

• Der anmeldende Benutzer hat ein falsches Kennwort eingegeben.
• Es ist eine Anmelderestriktion für das anmeldende Benutzerkonto konfiguriert.

Details: Es ist eine Anmelderestriktion für das anmeldende Benutzerkonto konfiguriert

Das Verhalten kann auftreten, wenn im Benutzerkonto des anmeldenden Benutzers eine Anmelderestiktion eingestellt ist, beispielsweise das userWorkstations Active Directory Attribut.

Microsoft empfiehlt, das Attribut nicht mehr zu verwenden.

Das Attribut kann über die Windows PowerShell mit folgendem Befehl abgefragt werden:

Get-ADUser -Identity {Kontoname} -Properties userWorkstations

Weiterführende Links:

Externe Quellen

• User-Workstations attribute (Microsoft)