Home
  •  

Reguła zbierania danych dla zdarzenia o źródle CertificationAuthority i identyfikatorze 102

Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.102 (Rule)

Usługi certyfikatów nie mogą utworzyć certyfikatu krzyżowego.

Knowledge Base article:

Podsumowanie

W przypadku odnowienia certyfikatu głównego urzędu certyfikacji (CA) zarówno oryginalny, jak i odnowiony certyfikat główny nadal jest istotny w hierarchii kluczy publicznych. Oryginalny certyfikat głównego urzędu certyfikacji pozostaje ostateczną podstawą zaufania w hierarchii i jest używany do sprawdzania łańcuchów wszystkich certyfikatów wystawionych w pierwotnej hierarchii. Odnowiony certyfikat głównego urzędu certyfikacji stanowi podstawę zaufania dla wszystkich certyfikatów wystawionych w hierarchii od daty odnowienia.

Aby takie scenariusze były obsługiwane, dodatkowo tworzone są dwa certyfikaty krzyżowe urzędów certyfikacji w celu utworzenia relacji zaufania między oryginalnym a odnowionym certyfikatem głównym:

W przypadku autonomicznych urzędów certyfikacji podczas zmiany kluczy urzędu certyfikacji generowane są certyfikaty krzyżowe w podpisem własnym. Certyfikat krzyżowy jest generowany dla każdej zmiany klucza i obowiązuje przez okres jednoczesnej ważności obu certyfikatów głównych.

.

Rozwiązania

Odnowienie certyfikatu głównego urzędu certyfikacji (CA) z użyciem nowego klucza powoduje automatyczne wygenerowanie przez urząd certyfikacji certyfikatów krzyżowych wiążących stary i nowy certyfikat urzędu certyfikacji. Jeśli podczas podpisywania certyfikatu krzyżowego wystąpił błąd kryptograficzny, być może da się rozwiązać problem poprzez usunięcie konfliktu rozszerzeń. W przeciwnym razie należy włączyć funkcję diagnostyki CryptoAPI 2.0, aby zebrać dodatkowe informacje dotyczące rozwiązywania problemów.

Aby wykonać te procedury, trzeba posiadać uprawnienie Zarządzaj urzędem certyfikacji lub otrzymać odpowiednie uprawnienia poprzez oddelegowanie.

Rozwiązywanie konfliktu rozszerzeń

Aby rozwiązać konflikt rozszerzeń:

Uwaga: informacje na temat konfigurowania niestandardowego żądania certyfikatu zawiera artykuł „Zaawansowana rejestracja certyfikatów i zarządzanie nimi” ( http://go.microsoft.com/fwlink/?LinkID=74577).

Włączanie funkcji diagnostyki CryptoAPI 2.0

Aby włączyć funkcję diagnostyki CryptoAPI 2.0:

Jeśli rozszerzenia są poprawne, a weryfikacja certyfikatów i łańcuchów certyfikatów urzędu certyfikacji przebiega prawidłowo, brakujące certyfikaty krzyżowe urzędu certyfikacji powinny zostać automatycznie wygenerowane podczas ponownego uruchomienia urzędu certyfikacji.

Dodatkowe informacje

Aby upewnić się, że urząd certyfikacji (CA) może utworzyć certyfikat krzyżowy certyfikujący jego własny certyfikat podczas odnawiania certyfikatu urzędu certyfikacji:

Element properties:

TargetMicrosoft.Windows.CertificateServices.CARole.2016
CategoryEventCollection
EnabledTrue
Event_ID102
Event SourceMicrosoft-Windows-CertificationAuthority
Alert GenerateTrue
Alert SeverityError
Alert PriorityHigh
RemotableTrue
Alert Message
Certyfikacja krzyżowa w usługach AD CS — konflikt rozszerzeń
Opis zdarzenia: {0}
Event LogApplication

Member Modules:

ID Module Type TypeId RunAs 
DS DataSource Microsoft.Windows.EventProvider Default
Alert WriteAction System.Health.GenerateAlert Default
WriteToCertSvcEvents WriteAction Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher Default
WriteToDB WriteAction Microsoft.SystemCenter.CollectEvent Default

Source Code:

<Rule ID="Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.102" Enabled="true" Target="CSDisc!Microsoft.Windows.CertificateServices.CARole.2016" ConfirmDelivery="true" Remotable="true" Priority="Normal" DiscardLevel="100">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="DS" TypeID="Windows!Microsoft.Windows.EventProvider">

      <ComputerName>$Target/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</ComputerName>

      <LogName>Application</LogName>

      <Expression>

        <And>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="UnsignedInteger">102</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="String">PublisherName</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="String">Microsoft-Windows-CertificationAuthority</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

        </And>

      </Expression>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="WriteToDB" TypeID="SC!Microsoft.SystemCenter.CollectEvent"/>

    <WriteAction ID="WriteToCertSvcEvents" TypeID="Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher"/>

    <WriteAction ID="Alert" TypeID="Health!System.Health.GenerateAlert">

      <Priority>2</Priority>

      <Severity>2</Severity>

      <AlertMessageId>$MPElement[Name="AlertMessageID45e4d639a5ed47f4b4f4ae5914594727"]$</AlertMessageId>

      <AlertParameters>

        <AlertParameter1>$Data/EventDescription$</AlertParameter1>

      </AlertParameters>

      <Suppression>

        <SuppressionValue>$Data/EventDisplayNumber$</SuppressionValue>

        <SuppressionValue>$Data/PublisherName$</SuppressionValue>

        <SuppressionValue>$Data/LoggingComputer$</SuppressionValue>

      </Suppression>

    </WriteAction>

  </WriteActions>

</Rule>