Troubleshooting – Seite 8 – Uwe Gradenegger

Die Beantragung eines Zertifikats schlägt fehl mit Fehlermeldung "Cannot archive private key. The certification authority could not verify one or more key recovery certificates. 0x8009400b (-2146877429 CERTSRV_E_NO_VALID_KRA)"

Folgendes Szenario angenommen:

Ein Benutzer beantragt ein Zertifikat von einer Active Directory integrierten Zertifizierungsstelle (Enterprise Certification Authority).
Die Zertifikatvorlage ist für die Archivierung privater Schlüssel eingerichtet.
Die Beantragung des Zertifikats schlägt mit folgender Fehlermeldung fehl:

Cannot archive private key. The certification authority could not verify one or more key recovery certificates. 0x8009400b (-2146877429 CERTSRV_E_NO_VALID_KRA)

Nach Installation oder Migration einer Zertifizierungsstelle auf einen neuen Server können keine eigenen Zertifikatvorlagen mehr veröffentlicht werden

Folgendes Szenario angenommen:

Es ist eine Active Directory integrierte Zertifizierungsstelle (Enterprise CA) im Netzwerk integriert.
Die Zertifizierungsstelle wurde auf einen neuen Server migriert (siehe auch Artikel "Migration einer Active Directory integrierten Zertifizierungsstelle (Enterprise Certification Authority) auf einen anderen Server").
Beim Veröffentlichen der Zertifikatvorlagen stellt man fest, dass sich nur die Standard-Zertifikatvorlagen zur Veröffentlichung auswählen lassen. Eigene Zertifikatvorlagen werden nicht angezeigt.

Über Virtual Private Network (VPN) verbundene Clients erneuern Zertifikate nicht automatisch

Folgendes Szenario angenommen:

Clientcomputer beziehen automatisch Zertifikate von einer Active Directory integrierten Zertifizierungsstelle (Enterprise Certification Authority).
Ablaufende Zertifikate werden automatisch erneuert, wenn die Clients sich im internen Netzwerk befinden.
Ablaufende Zertifikate werden jedoch nicht automatisch erneuert, wenn die Clients über Virtual Private Network (VPN) verbunden sind.
Dies kann dazu führen, dass Clients ihr Zertifikat nicht mehr rechtzeitig vor Ablauf erneuern und sich nicht mehr mit dem VPN verbinden können.

Die Beantragung eines Zertifikats über die Zertifizierungsstellen-Webregistrierung (CAWE) schlägt fehl mit HTTP Fehlercode 401 "Unauthorized: Access is denied due to invalid credentials."

Folgendes Szenario angenommen:

Im Netzwerk ist ein Server für die Zertifizierungsstellen-Webregistrierung (Certificate Authority Web Enrollment, CAWE) installiert.
Die Rolle ist auf einem separaten Server, nicht auf der Zertifizierungsstelle direkt installiert.
Ein Benutzer versucht, ein Zertifikat über die Zertifizierungsstellen-Webregistrierung zu beantragen oder eine vorhandene Zertifikatanforderung an die Zertifizierungsstelle zu übermitteln.
Die Anmeldung des Benutzers an der CAWE schlägt mit HTTP Code 401 "Unauthorized: Access is denied due to invalid credentials." fehl:

You do not have permission to view this directory or page using the credentials that you supplied.

Die Beantragung eines Zertifikats über die Zertifizierungsstellen-Webregistrierung (CAWE) schlägt fehl mit HTTP Fehlercode 403 "Forbidden: Access is denied."

Folgendes Szenario angenommen:

Im Netzwerk ist ein Server für die Zertifizierungsstellen-Webregistrierung (Certificate Authority Web Enrollment, CAWE) installiert.
Die Rolle ist auf einem separaten Server, nicht auf der Zertifizierungsstelle direkt installiert.
Ein Benutzer versucht, ein Zertifikat über die Zertifizierungsstellen-Webregistrierung zu beantragen oder eine vorhandene Zertifikatanforderung an die Zertifizierungsstelle zu übermitteln.
Die Anmeldung des Benutzers an der CAWE schlägt mit HTTP Code 403 "Forbidden: Access is denied." fehl:

You do not have permission to view this directory or page using the credentials that you supplied.

Die Beantragung eines Zertifikats über die Zertifizierungsstellen-Webregistrierung (CAWE) schlägt fehl mit Fehlermeldung "No certificate templates could be found.", oder die gewünschte Zertifikatvorlage wird nicht angezeigt

Folgendes Szenario angenommen:

Im Netzwerk ist ein Server für die Zertifizierungsstellen-Webregistrierung (Certificate Authority Web Enrollment, CAWE) installiert.
Die Rolle ist auf einem separaten Server, nicht auf der Zertifizierungsstelle direkt installiert.
Ein Benutzer versucht, eine vorhandene Zertifikatanforderung über die Zertifizierungsstellen-Webregistrierung an die Zertifizierungsstelle zu übermitteln.
Die gewünschte Zertifikatvorlage fehlt in der Liste der auswählbaren Zertifikatvorlagen, oder die Liste ist gänzlich leer.
Wenn die Liste leer ist, wird zusätzlich folgende Fehlermeldung ausgegeben:

No certificate templates could be found. You do not have permission to request a certificate from this CA, or an error occurred while accessing the Active Directory.

Funktionstest durchführen für die Zertifizierungsstellen-Webregistrierung (CAWE)

Nach der Installation und Konfiguration der Zertifizierungsstellen-Webregistrierung (Certificate Authority Web Enrollment, CAWE) ist es unerlässlich, dass die Komponente vor der Freigabe an die Benutzer ausgiebig getestet wird. Nachfolgend eine Anleitung für einen ausführlichen Funktionstest.

Die Beantragung eines Zertifikats über die Zertifizierungsstellen-Webregistrierung (CAWE) schlägt fehl mit HTTP Fehlercode 500 "Internal Server error"

Folgendes Szenario angenommen:

Im Netzwerk ist ein Server für die Zertifizierungsstellen-Webregistrierung (Certificate Authority Web Enrollment, CAWE) installiert.
Die Rolle ist auf einem separaten Server, nicht auf der Zertifizierungsstelle direkt installiert.
Ein Benutzer versucht, ein Zertifikat über die Zertifizierungsstellen-Webregistrierung zu beantragen oder eine vorhandene Zertifikatanforderung an die Zertifizierungsstelle zu übermitteln.
Die Beantragung dauert sehr lange und schlägt letztendlich mit HTTP Code 500 "Internal server error" fehl:

There is a problem with the resource you are looking for, and it cannot be displayed.

Die Beantragung eines Zertifikats über die Zertifizierungsstellen-Webregistrierung (CAWE) schlägt fehl mit Fehlercode "ERROR_ACCESS_DENIED"

Folgendes Szenario angenommen:

Im Netzwerk ist ein Server für die Zertifizierungsstellen-Webregistrierung (Certificate Authority Web Enrollment, CAWE) installiert.
Die Rolle ist auf einem separaten Server, nicht auf der Zertifizierungsstelle direkt installiert.
Ein Benutzer versucht, ein Zertifikat über die Zertifizierungsstellen-Webregistrierung zu beantragen oder eine vorhandene Zertifikatanforderung an die Zertifizierungsstelle zu übermitteln.
Die Beantragung schlägt mit folgender Fehlermeldung fehl:

Your request failed. An error occurred while the server was processing your request. Contact your administrator for further assistance.

In den Details der Fehlermeldung findet sich folgender Hinweis:

CCertRequest::Submit: Access is denied. 0x80070005 (WIN32: 5 ERROR_ACCESS_DENIED)

Die Beantragung eines Zertifikats über die Zertifizierungsstellen-Webregistrierung (CAWE) dauert sehr lange

Folgendes Szenario angenommen:

Im Netzwerk ist ein Server für die Zertifizierungsstellen-Webregistrierung (Certificate Authority Web Enrollment, CAWE) installiert.
Die Rolle ist auf einem separaten Server, nicht auf der Zertifizierungsstelle direkt installiert.
Ein Benutzer versucht, ein Zertifikat über die Zertifizierungsstellen-Webregistrierung zu beantragen oder eine vorhandene Zertifikatanforderung an die Zertifizierungsstelle zu übermitteln.
Der Vorgang ist zwar erfolgreich, jedoch dauert die Beantragung sehr lange (bis zu mehrere Minuten).

Die Beantragung eines Zertifikats über die Zertifizierungsstellen-Webregistrierung (CAWE) schlägt fehl mit Fehlercode "RPC_S_SERVER_UNAVAILABLE"

Folgendes Szenario angenommen:

Im Netzwerk ist ein Server für die Zertifizierungsstellen-Webregistrierung (Certificate Authority Web Enrollment, CAWE) installiert.
Die Rolle ist auf einem separaten Server, nicht auf der Zertifizierungsstelle direkt installiert.
Ein Benutzer versucht, ein Zertifikat über die Zertifizierungsstellen-Webregistrierung zu beantragen oder eine vorhandene Zertifikatanforderung an die Zertifizierungsstelle zu übermitteln.
Die Beantragung schlägt mit folgender Fehlermeldung fehl:

Your request failed. An error occurred while the server was processing your request. Contact your administrator for further assistance.

In den Details der Fehlermeldung findet sich folgender Hinweis:

CCertRequest::Submit: The RPC server is unavailable. 0x800706ba (WIN32: 1722 RPC_S_SERVER_UNAVAILABLE)

Die Beantragung eines Zertifikats schlägt fehl mit der Fehlermeldung "You cannot request a certificate at this time because no certificate types are available."

Folgendes Szenario angenommen:

Man versucht, ein Zertifikat von einer Active Directory-integrierten Zertifizierungsstelle (Enterprise Certification Authority) zu beantragen.
Hierzu verwendet man die Microsoft Management Konsole (MMC), entweder für den angemeldeten Benutzer (certmgr.msc) oder für den Computer (certlm.msc).
Der angemeldete Benutzer hat auch die notwendigen Berechtigungen, Zertifikate von der betreffenden Zertifikatvorlage zu beantragen (Enroll).
Man bekommt keinerlei Zertifikatvorlagen zur Auswahl angezeigt, obwohl sie korrekt auf den Zertifizierungsstellen veröffentlicht wurden.
Es gibt auch keine Option "Show hidden templates". Diese erscheint üblicherweise unten links im Dialog.
Es wird folgende Fehlermeldung angezeigt:

Certificate types are not available. You cannot request a certificate at this time because no certificate types are available. If you need a certificate, contact your administrator.

Das Veröffentlichen einer Zertifikatvorlage auf einer Zertifizierungsstelle schlägt fehl mit Fehlermeldung "The template information on the CA cannot be modified at this time. This is most likely because the CA service is not running or there are replication delays. Access is denied. 0x80070005 (WIN32: 5 ERROR_ACCESS_DENIED)"

Folgendes Szenario angenommen:

Ein Administrator veröffentlicht eine Zertifikatvorlage auf einer Zertifizierungsstelle.
Der Vorgang schlägt mit folgender Fehlermeldung fehl:

The template information on the CA cannot be modified at this time. This is most likely because the CA service is not running or there are replication delays. Access is denied. 0x80070005 (WIN32: 5 ERROR_ACCESS_DENIED)

Die Beantragung eines Zertifikats über den Certificate Enrollment Web Service (CES) schlägt fehl mit Fehlercode "ERROR_INTERNET_NAME_NOT_RESOLVED"

Folgendes Szenario angenommen:

Man versucht, ein Zertifikat über einen Certificate Enrollment Web Service (CEP) von einer Active Directory-integrierten Zertifizierungsstelle (Enterprise Certification Authority) zu beantragen.
Der Vorgang schlägt mit folgender Fehlermeldung fehl:

The name or address could not be resolved 0x80072ee7 (INet: 12007 ERROR_INTERNET_NAME_NOT_RESOLVED)

Die Beantragung eines Zertifikats über den Certificate Enrollment Web Service (CES) schlägt fehl mit Fehlercode "ERROR_INTERNET_TIMEOUT"

Folgendes Szenario angenommen:

Man versucht, ein Zertifikat über einen Certificate Enrollment Web Service (CEP) von einer Active Directory-integrierten Zertifizierungsstelle (Enterprise Certification Authority) zu beantragen.
Der Vorgang schlägt mit folgender Fehlermeldung fehl:

The operation timed out 0x80072ee2 (INet: 12002 ERROR_INTERNET_TIMEOUT)