Details zum Ereignis mit ID 10 der Quelle Microsoft-Windows-EnrollmentPolicyWebService

Ereignisquelle:	Microsoft-Windows-EnrollmentPolicyWebService
Ereignis-ID:	10 (0xA)
Ereignisprotokoll:	Microsoft-Windows-EnrollmentPolicyWebService/Admin
Ereignistyp:	Warnung
Ereignistext (englisch):	There is no enterprise certification authority (CA) configured with the Certificate Enrollment Web Service in the current forest. Confirm that at least one enterprise CA is available in the forest and that at least one server running the Certificate Enrollment Web Service is configured to work with this CA.
Ereignistext (deutsch):	Die aktuelle Gesamtstruktur enthält keine Unternehmenszertifizierungsstelle, die mit dem Zertifikatregistrierungs-Webdienst konfiguriert wurde. Stellen Sie sicher, dass in der Gesamtstruktur mindestens eine Unternehmenszertifizierungsstelle verfügbar ist und mindestens ein Server, auf dem der Zertifikatregistrierungs-Webdienst ausgeführt wird, für die Zusammenarbeit mit der Unternehmenszertifizierungsstelle konfiguriert wurde.

Die Zertifikatregistrierungs-Webdienste (Certificate Enrollment Policy Web Service, CEP und Certificate Enrollment Web Service, CES) ermöglichen die automatische Beantragung und Erneuerung von Zertifikaten einer Zertifizierungsstelle über eine Webbasierte Schnittstelle. Somit ist kein direkter Kontakt zur Zertifizierungsstelle über Remote Procedure Call (RPC) notwendig. Für eine detailliertere Beschreibung siehe Artikel "Grundlagen Zertifikatbeantragung über Certificate Enrollment Web Services (CEP, CES)".

Beispiel-Ereignisse

There is no enterprise certification authority (CA) configured with the Certificate Enrollment Web Service in the current forest. Confirm that at least one enterprise CA is available in the forest and that at least one server running the Certificate Enrollment Web Service is configured to work with this CA. 

Beschreibung

Kennen Sie TameMyCerts? TameMyCerts ist ein Add-On für die Microsoft Zertifizierungsstelle (Active Directory Certificate Services). Es erweitert die Funktion der Zertifizierungsstelle und ermöglicht die Anwendung von Regelwerken, um die sichere Automatisierung von Zertifikat-Ausstellungen zu realisieren. TameMyCerts ist einzigartig im Microsoft-Ökosystem, hat sich bereits in unzähligen Unternehmen auf der ganzen Welt bewährt und steht unter einer freien Lizenz. Es kann über GitHub heruntergeladen und kostenlos verwendet werden. Professionelle Wartung wird ebenfalls angeboten.

Damit Zertifikate über die Zertifizierungsstellen-Webdienste beantragt werden können, müssen die pKIEnrollmentService Objekte der Zertifizierungsstellen über ein entsprechend konfiguriertes Attribut
msPKI-Enrollment-Servers verfügen. Die Meldung tritt dann auf, wenn es keine einzige Zertifizierungsstelle im Netzwerk gibt, auf welche dies zutrifft.

In diesem Fall ist es auch nicht möglich, Zertifikate über die Zertifikatregistrierungs-Webdienste zu beantragen. Siehe hierzu auch Artikel "Die Beantragung eines Zertifikats über den Certificate Enrollment Policy Web Service (CEP) schlägt fehl mit Fehlermeldung "A valid certification authority (CA) configured to issue certificates based on this template cannot be located, or the CA does not support this operation, or the CA is not trusted."".

Mögliche Ursachen können sein:

• Der Zertifikatregistrierungs-Webdienst (CES) noch nicht installiert.
• Die betreffende Zertifizierungsstelle wurde aus dem Netzwerk entfernt (deinstalliert).
• Die betreffende Zertifizierungsstelle wurde auf einen neuen Server migriert und hierbei wurde die Zertifizierungsstellen-Rolle deinstalliert. Das neue pKIEnrollmentService Objekt enthält dann nicht mehr die notwendigen Einstellungen. Siehe hierzu auch Artikel "Migration einer Active Directory integrierten Zertifizierungsstelle (Enterprise Certification Authority) auf einen anderen Server".

Sicherheitsbewertung

Die Sicherheitsbetrachtung richtet sich nach den drei Dimensionen Vertraulichkeit (Confidentiality), Integrität (Integrity) und Verfügbarkeit (Availability).

Tritt dieses Ereignis auf, ist es üblicherweise nicht zu einem Bruch der Vertraulichkeit gekommen, jedoch ist die Verfügbarkeit betroffen, da keine Zertifikate über die Schnittstelle beantragt werden können.

Weiterführende Links:

• Übersicht über die vom Zertifikatregistrierungs-Richtliniendienst (CEP) generierten Windows-Ereignisse

Externe Quellen

• Certificate Enrollment Web Services in Active Directory Certificate Services (Microsoft)