(Neu-) Installieren der Microsoft Standard Zertifikatvorlagen

Es kann Fälle geben, in welchen es notwendig ist, die Standard Microsoft-Zertifikatvorlagen zu installieren, bevor die erste Active Directory integrierte Zertifizierungsstelle (Enterprise Certification Authority) installiert wird, oder die Vorlagen neu zu installieren, beispielsweise weil sie beschädigt oder anderweitig verändert wurden.

Folgende Standard-Zertifikatvorlagen sind definiert:

Objektname	Anzeigename (Englisch)
Administrator	Administrator
CA	Root Certification Authority
CAExchange	CA Exchange
CEPEncryption	CEP Encryption
ClientAuth	Authenticated Session
CodeSigning	Code Signing
CrossCA	Cross Certification Authority
CTLSigning	Trust List Signing
DirectoryEmailReplication	Directory Email Replication
DomainController	Domain Controller
DomainControllerAuthentication	Domain Controller Authentication
EFS	Basic EFS
EFSRecovery	EFS Recovery Agent
EnrollmentAgent	Enrollment Agent
EnrollmentAgentOffline	Exchange Enrollment Agent (Offline request)
ExchangeUser	Exchange User
ExchangeUserSignature	Exchange User Signature
IPSECIntermediateOffline	IPSec (Offline Request)
IPSECIntermediateOnline	IPSec
KerberosAuthentication	Kerberos Authentication
KeyRecoveryAgent	Key Recovery Agent
Machine	Computer
MachineEnrollmentAgent	Enrollment Agent (Computer)
OCSPResponseSigning	OCSP Response Signing
OfflineRouter	Router (Offline Request)
RASandIASServer	RAS and IAS Server
SmartcardLogon	Smartcard Logon
SmartcardUser	Smartcard User
SubCA	Subordinate Certification Authority
User	User
UserSignature	User Signature Onl
WebServer	Web Server
Workstation	Workstation Authentication

Umsetzung

Kennen Sie TameMyCerts? TameMyCerts ist ein Add-On für die Microsoft Zertifizierungsstelle (Active Directory Certificate Services). Es erweitert die Funktion der Zertifizierungsstelle und ermöglicht die Anwendung von Regelwerken, um die sichere Automatisierung von Zertifikat-Ausstellungen zu realisieren. TameMyCerts ist einzigartig im Microsoft-Ökosystem, hat sich bereits in unzähligen Unternehmen auf der ganzen Welt bewährt und steht unter einer freien Lizenz. Es kann über GitHub heruntergeladen und kostenlos verwendet werden. Professionelle Wartung wird ebenfalls angeboten.

Die Zertifikatvorlagen neu zu installieren bedeutet, sie zu löschen und dann neu anzulegen. Zum Löschen muss man über Enterprise Administrator Berechtigungen verfügen.

Die Löschung selbst nimmt man mit dem ADSI Editor (adsiedit.msc) vor.

Man verbindet sich auf die Configuration Partition.

Die Zertifikatvorlagen befinden sich unter Services – Public Key Services…

…unterhalb CN=Certificate Templates. Hier kann man nun alle oder einzelne Zertifikatvorlagen markieren und mit Rechtsklick löschen.

Um die Standard-Zertifikatvorlagen neu zu installieren, gibt es einen entsprechenden certutil Befehl:

certutil -installdefaulttemplates

Bitte beachten, dass der Befehl mit Enterprise Administrator-Rechten ausgeführt werden muss.

Weiterführende Links:

• Die Installation der Standard-Zertifikatvorlagen schlägt fehl mit Fehlermeldung "This security ID may not be assigned as the owner of this object."

Externe Quellen

• How to re-install the default certificate templates? (Microsoft, Archivlink)