Home
  •  

Regola Raccolta per l'evento con origine Autorità di certificazione e ID 106

Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.106 (Rule)

Servizi certificati: impossibile aggiungere un certificato CA ad Active Directory

Knowledge Base article:

Riepilogo

Servizi certificati Active Directory (AD CS) richiede almeno l'accesso in lettura, e in alcuni casi l'accesso in scrittura, a determinati oggetti di Servizi di dominio Active Directory (AD DS). Il mancato accesso a questi oggetti di Active Directory può impedire l'avvio di Servizi certificati Active Directory.

Soluzioni

Abilitazione di Servizi certificati Active Directory all'aggiunta di un certificato CA a Servizi di dominio Active Directory

Per consentire a Servizi certificati Active Directory di aggiungere il certificato dell'autorità di certificazione (CA) indicato nel messaggio del registro eventi a Servizi di dominio Active Directory:

Per eseguire questa procedura, è necessario appartenere al gruppo Domain Admins oppure avere ricevuto in delega l'autorità appropriata.

Verificare le autorizzazioni sui contenitori e oggetti essenziali di Servizi di dominio Active Directory

Per verificare che la CA disponga delle autorizzazioni necessarie per i contenitori e gli oggetti di Servizi di dominio Active Directory all'interno di questi contenitori:

Di seguito sono riportate tutte le autorizzazioni di Active Directory richieste da un computer su cui si trova una CA. Alcune di queste autorizzazioni vengono ottenute mediante l'appartenenza al gruppo Cert Publishers.

Per eseguire queste procedure è necessario disporre dell'autorizzazione Gestione CA oppure avere ricevuto in delega l'autorità appropriata.

Determinare se esiste il certificato CA nel contenitore AIA

Per visualizzare il contenuto del contenitore AIA in Servizi di dominio Active Directory:

Pubblicare manualmente un certificato CA

Per pubblicare manualmente il certificato CA in Servizi di dominio Active Directory:

Sostituire <certificatoCA.cer> con il nome di un file di certificato. Il flag "-f" ricrea l'oggetto anche se è stato eliminato.

Informazioni aggiuntive

Per verificare la connessione tra una CA e Servizi di dominio Active Directory (AD DS):

Sostituire [nomedominio] con il nome dello spazio dei nomi in cui è installata la CA.

Verificare le autorizzazioni sui contenitori e oggetti essenziali di Servizi di dominio Active Directory

Per eseguire questa procedura, è necessario appartenere al gruppo Domain Admins oppure avere ricevuto in delega l'autorità appropriata.

Per verificare che la CA disponga delle autorizzazioni necessarie per i contenitori e gli oggetti di Servizi di dominio Active Directory all'interno di questi contenitori:

Di seguito sono riportate tutte le autorizzazioni di Active Directory richieste da un computer su cui si trova una CA. Alcune di queste autorizzazioni vengono ottenute mediante l'appartenenza al gruppo Cert Publishers.

Element properties:

TargetMicrosoft.Windows.CertificateServices.CARole.2016
CategoryEventCollection
EnabledTrue
Event_ID106
Event SourceMicrosoft-Windows-CertificationAuthority
Alert GenerateTrue
Alert SeverityError
Alert PriorityHigh
RemotableTrue
Alert Message
Connessione Servizi di dominio Active Directory di Servizi certificati Active Directory - Non è possibile aggiungere la CA
Descrizione evento: {0}
Event LogApplication

Member Modules:

ID Module Type TypeId RunAs 
DS DataSource Microsoft.Windows.EventProvider Default
Alert WriteAction System.Health.GenerateAlert Default
WriteToCertSvcEvents WriteAction Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher Default
WriteToDB WriteAction Microsoft.SystemCenter.CollectEvent Default

Source Code:

<Rule ID="Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.106" Enabled="true" Target="CSDisc!Microsoft.Windows.CertificateServices.CARole.2016" ConfirmDelivery="true" Remotable="true" Priority="Normal" DiscardLevel="100">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="DS" TypeID="Windows!Microsoft.Windows.EventProvider">

      <ComputerName>$Target/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</ComputerName>

      <LogName>Application</LogName>

      <Expression>

        <And>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="UnsignedInteger">106</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="String">PublisherName</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="String">Microsoft-Windows-CertificationAuthority</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

        </And>

      </Expression>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="WriteToDB" TypeID="SC!Microsoft.SystemCenter.CollectEvent"/>

    <WriteAction ID="WriteToCertSvcEvents" TypeID="Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher"/>

    <WriteAction ID="Alert" TypeID="Health!System.Health.GenerateAlert">

      <Priority>2</Priority>

      <Severity>2</Severity>

      <AlertMessageId>$MPElement[Name="AlertMessageID4f12f8d124ed4ece99544c9a9730fa37"]$</AlertMessageId>

      <AlertParameters>

        <AlertParameter1>$Data/EventDescription$</AlertParameter1>

      </AlertParameters>

      <Suppression>

        <SuppressionValue>$Data/EventDisplayNumber$</SuppressionValue>

        <SuppressionValue>$Data/PublisherName$</SuppressionValue>

        <SuppressionValue>$Data/LoggingComputer$</SuppressionValue>

      </Suppression>

    </WriteAction>

  </WriteActions>

</Rule>