Home
  •  

Правило сбора для события с источником CertificationAuthority и ИД 106

Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.106 (Rule)

Службам сертификации не удается добавить сертификат ЦС к службе Active Directory

Knowledge Base article:

Сводка

Службы сертификации Active Directory требуют доступ на чтение, а в некоторых случаях — также доступ на запись к определенным объектам доменных служб Active Directory. Если службы сертификации Active Directory не получают доступ к таким объектам доменных служб Active Directory, они не запускаются.

Решения

Активация служб сертификации Active Directory для добавления сертификата ЦС к доменным службам Active Directory

Чтобы позволить службам сертификации Active Directory (AD CS) добавить сертификат центра сертификации (ЦС), указанный в сообщении журнала событий, к доменным службам Active Directory (AD DS), выполните следующие действия.

Для выполнения данной процедуры необходимо быть членом группы "Администраторы домена" либо обладать соответствующими делегированными полномочиями.

Подтверждение разрешений для базовых контейнеров и объектов доменных служб Active Directory

Чтобы подтвердить наличие у ЦС необходимых разрешений на контейнеры доменных служб Active Directory и объекты в этих контейнерах, выполните следующие действия.

Далее представлены все разрешения Active Directory, запрашиваемые компьютером, на котором размещен ЦС. Некоторые из этих разрешений предоставляются членам группы издателей сертификатов.

Для выполнения этих процедур необходимо иметь разрешение на управление ЦС либо обладать соответствующими делегированными полномочиями.

Определение наличия сертификата ЦС в контейнере AIA

Чтобы просмотреть содержание контейнера AIA в доменных службах Active Directory, выполните следующие действия.

Публикация сертификата ЦС вручную

Чтобы опубликовать сертификат ЦС в AD DS вручную выполните следующие действия.

Замените <CAcert.cer> именем файла сертификата. Флаг "-f" создает объект повторно, даже если он был удален.

Дополнительно

Чтобы проверить связь между ЦС и доменными службами Active Directory, выполните следующие действия.

Замените [имя_домена] именем пространства имен, в котором установлен ЦС.

Подтверждение разрешений для базовых контейнеров и объектов доменных служб Active Directory

Для выполнения данной процедуры необходимо быть членом группы "Администраторы домена" либо обладать соответствующими делегированными полномочиями.

Чтобы подтвердить наличие у ЦС необходимых разрешений на контейнеры доменных служб Active Directory и объекты в них, выполните следующие действия.

Далее представлены все разрешения Active Directory, запрашиваемые компьютером, на котором размещен ЦС. Некоторые из этих разрешений предоставляются членам группы издателей сертификатов.

Element properties:

TargetMicrosoft.Windows.CertificateServices.CARole.2016
CategoryEventCollection
EnabledTrue
Event_ID106
Event SourceMicrosoft-Windows-CertificationAuthority
Alert GenerateTrue
Alert SeverityError
Alert PriorityHigh
RemotableTrue
Alert Message
Подключение доменных служб Active Directory службы сертификации Active Directory — не удалось добавить ЦС
Описание события: {0}
Event LogApplication

Member Modules:

ID Module Type TypeId RunAs 
DS DataSource Microsoft.Windows.EventProvider Default
Alert WriteAction System.Health.GenerateAlert Default
WriteToCertSvcEvents WriteAction Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher Default
WriteToDB WriteAction Microsoft.SystemCenter.CollectEvent Default

Source Code:

<Rule ID="Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.106" Enabled="true" Target="CSDisc!Microsoft.Windows.CertificateServices.CARole.2016" ConfirmDelivery="true" Remotable="true" Priority="Normal" DiscardLevel="100">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="DS" TypeID="Windows!Microsoft.Windows.EventProvider">

      <ComputerName>$Target/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</ComputerName>

      <LogName>Application</LogName>

      <Expression>

        <And>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="UnsignedInteger">106</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="String">PublisherName</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="String">Microsoft-Windows-CertificationAuthority</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

        </And>

      </Expression>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="WriteToDB" TypeID="SC!Microsoft.SystemCenter.CollectEvent"/>

    <WriteAction ID="WriteToCertSvcEvents" TypeID="Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher"/>

    <WriteAction ID="Alert" TypeID="Health!System.Health.GenerateAlert">

      <Priority>2</Priority>

      <Severity>2</Severity>

      <AlertMessageId>$MPElement[Name="AlertMessageID4f12f8d124ed4ece99544c9a9730fa37"]$</AlertMessageId>

      <AlertParameters>

        <AlertParameter1>$Data/EventDescription$</AlertParameter1>

      </AlertParameters>

      <Suppression>

        <SuppressionValue>$Data/EventDisplayNumber$</SuppressionValue>

        <SuppressionValue>$Data/PublisherName$</SuppressionValue>

        <SuppressionValue>$Data/LoggingComputer$</SuppressionValue>

      </Suppression>

    </WriteAction>

  </WriteActions>

</Rule>