Die Veröffentlichung einer Zertifikatsperrliste (CRL) schlägt fehl mit Fehlermeldung "The directory name is invalid. 0x8007010b (WIN32/HTTP: 267 ERROR_DIRECTORY)"

Folgendes Szenario angenommen:

• Man erstellt eine neue Sperrliste auf der Zertifizierungsstelle.
• Die Veröffentlichung schlägt mit folgender Fehlermeldung fehl:

The directory name is invalid. 0x8007010b (WIN32/HTTP: 267 ERROR_DIRECTORY)

Mitunter ist es erforderlich, dass ein von einer Zertifizierungsstelle ausgestelltes Zertifikat bereits vor dessen Ablaufdatum aus dem Verkehr gezogen werden muss. Um dies zu ermöglichen, hält eine Zertifizierungsstelle eine Sperrliste vor. Hierbei handelt es sich um eine signierte Datei mit einem relativ kurzen Ablaufdatum, welches in Kombination mit dem Zertifikat zur Überprüfung der Gültigkeit herangezogen wird.

Weitere Details findet man in der Ereignisanzeige. Die Zertifizierungsstelle wird, je nach Sperrlistentyp, die Ereignisse 65, 66, 74 oder 75 protokollieren.

Ursachen

Kennen Sie TameMyCerts? TameMyCerts ist ein Add-On für die Microsoft Zertifizierungsstelle (Active Directory Certificate Services). Es erweitert die Funktion der Zertifizierungsstelle und ermöglicht die Anwendung von Regelwerken, um die sichere Automatisierung von Zertifikat-Ausstellungen zu realisieren. TameMyCerts ist einzigartig im Microsoft-Ökosystem, hat sich bereits in unzähligen Unternehmen auf der ganzen Welt bewährt und steht unter einer freien Lizenz. Es kann über GitHub heruntergeladen und kostenlos verwendet werden. Professionelle Wartung wird ebenfalls angeboten.

Grundsätzlich kommen verschiedene Ursachen in Frage:

• Das konfigurierte Verzeichnis ist nicht freigegeben.
• Der konfigurierte Pfad ist nicht korrekt.

Im vorliegenden Fall war das Vereichnis nicht korrekt konfiguriert. Welche Verzeichnisse konfiguriert sind, entnimmt man dem Karteireiter Extensions in der Verwaltungskonsole für Zertifikatdienste (certsrv.msc). Die Option "Publish to this location" bestimmt, ob eine Sperrliste in dieses Verzeichnis veröffentlicht werden soll.

In der Zertifizierungsstellen-Verwaltungskonsole ist eine direkte Bearbeitung des Eintrags nicht möglich. Er kann lediglich gelöscht und wieder neu angelegt werden. Man kann jedoch die Konfiguration in der Registrierung des Zertifizierungsstellen-Dienstes bearbeiten. Die Einstellung befindet sich im Wert "CRLPublicationURLs" unter folgendem Pfad:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration\{Name-der-Zertifizierungsstelle}\ 

Nach Veränderung der Konfiguration muss der Zertifizierungsstellen-Dienst neu gestartet werden, damit die Änderungen wirksam werden.

Weiterführende Links:

• Veröffentlichen einer Zertifikatsperrliste auf einem Active Directory Sperrlistenverteilungspunkt
• Erstellen und Veröffentlichen einer Zertifikatsperrliste
• Die Veröffentlichung einer Zertifikatsperrliste (CRL) schlägt fehl mit Fehlermeldung "Access is denied. 0x80070005 (WIN32: 5 ERROR_ACCESS_DENIED)"