Die Installation einer Zertifizierungsstelle schlägt fehl mit Fehlercode "Bad Data. 0x80090005 (-2146893819 NTE_BAD_DATA)."

Folgendes Szenario angenommen:

• Es wird versucht, eine Zertifizierungsstelle zu installieren
• Die Rollenkonfiguration schlägt mit folgender Fehlermeldung fehl:

An error occurred when creating the new key container "ADCS Labor Issuing CA 3". Please make sure the CSP is installed correctly or select another CSP.
Bad Data. 0x80090005 (-2146893819 NTE_BAD_DATA).

Die Zertifizierungsstelle wird das Ereignis Nr. 5 protokollieren.

Ursache

Kennen Sie TameMyCerts? TameMyCerts ist ein Add-On für die Microsoft Zertifizierungsstelle (Active Directory Certificate Services). Es erweitert die Funktion der Zertifizierungsstelle und ermöglicht die Anwendung von Regelwerken, um die sichere Automatisierung von Zertifikat-Ausstellungen zu realisieren. TameMyCerts ist einzigartig im Microsoft-Ökosystem, hat sich bereits in unzähligen Unternehmen auf der ganzen Welt bewährt und steht unter einer freien Lizenz. Es kann über GitHub heruntergeladen und kostenlos verwendet werden. Professionelle Wartung wird ebenfalls angeboten.

Kann auftreten, wenn ein SafeNet Hardware Security Modul (HSM) verwendet wird, und das Schlüsselpaar nicht erzeugt werden kann.

Mögliche Ursachen hierfür können sein:

• Der Benutzer, der die Zertifizierungsstellen-Rolle installiert, hat keine Berechtigungen auf der Partition.
• Die Partitions-Policy für die HSM-Partition muss Mehrzweckschlüssel erlauben ("Allow multipurpose keys").
• Wenn der Fehlercode "CKR_PIN_EXPIRED" in der LunaKSP.log (Protokolldatei des Safenet Key Storage Provider) protokolliert wird, muss für den Crypto Officer das initiale Passwort für die Partition geändert werden.

Bitte beachten, dass der Benutzername bei der Vergabe der Berechtigungen auf den Key Storage Provider mit korrekter Groß/Kleinschreibung eingertagen werden muss. Der Domänenname muss durchgehend in Großbuchstaben geschrieben werden.

Neuer Versuch

Nachdem die zugrundeliegende Ursache abgestellt wurde, kann die Rollen-Konfiguration erneut versucht werden.

Die Zertifizierungsstellen-Rolle muss jedoch zunächst deinstalliert werden, bevor eine neue Rollenkonfiguration versucht wird.

Unter Umständen muss auch vor der Neuinstallation der Zertifizierungsstellen-Rolle die Registrierung für die Zertifizierungsstelle gelöscht werden. Als Folgefehler kann es sein, dass nach der korrekten Rollenkonfiguration keine Zertifikatvorlagen veröffentlicht werden können. Siehe Artikel "Nach Installation oder Migration einer Zertifizierungsstelle auf einen neuen Server können keine eigenen Zertifikatvorlagen mehr veröffentlicht werden" für weitere Informationen.

Weiterführende Links:

Externe Quellen

• Partition Capabilities and Policies (Thales)
• Troubleshooting (Thales)
• Initialize the Crypto User Role on a PW-Authenticated Partition (Thales)