Die Beantragung eines Zertifikats über den Certificate Enrollment Web Service (CES) schlägt fehl mit Fehlercode "ERROR_INTERNET_NAME_NOT_RESOLVED"

Folgendes Szenario angenommen:

• Man versucht, ein Zertifikat über einen Certificate Enrollment Web Service (CEP) von einer Active Directory-integrierten Zertifizierungsstelle (Enterprise Certification Authority) zu beantragen.
• Der Vorgang schlägt mit folgender Fehlermeldung fehl:

The name or address could not be resolved 0x80072ee7 (INet: 12007 ERROR_INTERNET_NAME_NOT_RESOLVED)

Die Zertifikatregistrierungs-Webdienste (Certificate Enrollment Policy Web Service, CEP und Certificate Enrollment Web Service, CES) ermöglichen die automatische Beantragung und Erneuerung von Zertifikaten einer Zertifizierungsstelle über eine Webbasierte Schnittstelle. Somit ist kein direkter Kontakt zur Zertifizierungsstelle über Remote Procedure Call (RPC) notwendig. Für eine detailliertere Beschreibung siehe Artikel "Grundlagen Zertifikatbeantragung über Certificate Enrollment Web Services (CEP, CES)".

Ursache

Kennen Sie TameMyCerts? TameMyCerts ist ein Add-On für die Microsoft Zertifizierungsstelle (Active Directory Certificate Services). Es erweitert die Funktion der Zertifizierungsstelle und ermöglicht die Anwendung von Regelwerken, um die sichere Automatisierung von Zertifikat-Ausstellungen zu realisieren. TameMyCerts ist einzigartig im Microsoft-Ökosystem, hat sich bereits in unzähligen Unternehmen auf der ganzen Welt bewährt und steht unter einer freien Lizenz. Es kann über GitHub heruntergeladen und kostenlos verwendet werden. Professionelle Wartung wird ebenfalls angeboten.

Mögliche Ursachen können sein:

• Der Hostname des CES ist nicht im Domain Name System eingetragen oder fehlerhaft.
• Es ist die falsche CES-Adresse im msPKI-Enrollmen-Servers Attribut auf dem pKIEnrollmentService Objekt im Active Directory eingetragen.

Details: Es ist die falsche CES-Adresse im msPKI-Enrollmen-Servers Attribut auf dem pKIEnrollmentService Objekt im Active Directory eingetragen.

Die eingetragene Enrollment Server Adresse kann mit dem ADSI Editor (adsiedit.msc) kontrolliert werden. Änderungen sollten aber nur per Kommandozeile vorgenommen werden.

Weiterführende Links:

• Die Beantragung eines Zertifikats über den Certificate Enrollment Policy Web Service (CEP) schlägt fehl mit Fehlermeldung "A valid certification authority (CA) configured to issue certificates based on this template cannot be located, or the CA does not support this operation, or the CA is not trusted."