Home
  •  

Regra de Recolha para evento com origem CertificationAuthority e ID 107

Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.107 (Rule)

Os Serviços de Certificados não podem eliminar um certificado de AC do Active Directory.

Knowledge Base article:

Resumo

Os Serviços de Certificados do Active Directory (AD CS) requerem pelo menos acesso de Leitura e em algumas instâncias acesso de Escrita, para alguns objetos nos Serviços de Domínio do Active Directory (AD DS). A falha no acesso a estes objetos do Active Directory pode impedir o início de AD CS.

Resoluções

Permitir aos AD CS eliminarem um certificado de AC dos Serviços de Domínio do Active Directory

Para os Serviços de Certificados do Active Directory (AD CS) poderem eliminar o certificado da autoridade de certificação (AC) identificado na mensagem do registo de eventos dos Serviços de Domínio do Active Directory (AD DS):

Este procedimento exige que seja membro do grupo de Administradores do Domínio, ou que lhe tenha sido delegado o nível de autoridade apropriado no controlador de domínio.

Confirmar permissões em contentores e objetos AD DS essenciais

Para confirmar se a AC tem as permissões necessárias em contentores e objetos AD DS dentro destes contentores:

Seguem-se todas as permissões do Active Directory necessárias para um computador que aloja uma AC. Para ter algumas destas permissões é necessário ser membro do grupo de Editores de Certificados.

Estes procedimentos exigem que tenha permissão para gerir AC ou que lhe tenha sido delegado o nível de autoridade apropriado.

Confirmar se o certificado de AC existe no contentor AIA

Para ver o conteúdo do contentor AIA nos AD DS:

Substitua MyCA pela propriedade do Nome Abreviado Corrigido do passo 3 e substitua "contoso" e "com" pelo nome único do protocolo LDAP (Lightweight Directory Access Protocol) do seu domínio de raiz do Active Directory.

Confirmar o estado do certificado de AC

Para confirmar o estado do certificado de AC identificado na mensagem do registo de eventos:

Eliminar o certificado de AC manualmente

Para eliminar o certificado de AC manualmente:

Adicional

Para verificar a ligação entre uma AC e os Serviços de Domínio do Active Directory (AD DS):

Substitua o [nomedomínio] pelo nome do espaço de nomes onde a AC está instalada.

Confirmar permissões em contentores e objetos AD DS essenciais

Este procedimento exige que seja membro do grupo de Administradores do Domínio, ou que lhe tenha sido delegado o nível de autoridade apropriado.

Para confirmar se a AC tem as permissões necessárias em contentores e objetos AD DS dentro destes contentores:

Seguem-se todas as permissões do Active Directory necessárias para um computador que aloja uma AC. Para ter algumas destas permissões é necessário ser membro do grupo de Editores de Certificados.

Element properties:

TargetMicrosoft.Windows.CertificateServices.CARole.2016
CategoryEventCollection
EnabledTrue
Event_ID107
Event SourceMicrosoft-Windows-CertificationAuthority
Alert GenerateTrue
Alert SeverityError
Alert PriorityHigh
RemotableTrue
Alert Message
Ligação dos Serviços de Domínio do Active Directory AD CS - Não é possível eliminar AC
Descrição do Evento: {0}
Event LogApplication

Member Modules:

ID Module Type TypeId RunAs 
DS DataSource Microsoft.Windows.EventProvider Default
Alert WriteAction System.Health.GenerateAlert Default
WriteToCertSvcEvents WriteAction Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher Default
WriteToDB WriteAction Microsoft.SystemCenter.CollectEvent Default

Source Code:

<Rule ID="Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.107" Enabled="true" Target="CSDisc!Microsoft.Windows.CertificateServices.CARole.2016" ConfirmDelivery="true" Remotable="true" Priority="Normal" DiscardLevel="100">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="DS" TypeID="Windows!Microsoft.Windows.EventProvider">

      <ComputerName>$Target/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</ComputerName>

      <LogName>Application</LogName>

      <Expression>

        <And>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="UnsignedInteger">107</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="String">PublisherName</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="String">Microsoft-Windows-CertificationAuthority</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

        </And>

      </Expression>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="WriteToDB" TypeID="SC!Microsoft.SystemCenter.CollectEvent"/>

    <WriteAction ID="WriteToCertSvcEvents" TypeID="Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher"/>

    <WriteAction ID="Alert" TypeID="Health!System.Health.GenerateAlert">

      <Priority>2</Priority>

      <Severity>2</Severity>

      <AlertMessageId>$MPElement[Name="AlertMessageID62fe9963ca0840238c71200c88d2958c"]$</AlertMessageId>

      <AlertParameters>

        <AlertParameter1>$Data/EventDescription$</AlertParameter1>

      </AlertParameters>

      <Suppression>

        <SuppressionValue>$Data/EventDisplayNumber$</SuppressionValue>

        <SuppressionValue>$Data/PublisherName$</SuppressionValue>

        <SuppressionValue>$Data/LoggingComputer$</SuppressionValue>

      </Suppression>

    </WriteAction>

  </WriteActions>

</Rule>