Home
  •  

Regola Raccolta per l'evento con origine Autorità di certificazione e ID 21

Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.21 (Rule)

Servizi certificati: impossibile elaborare una richiesta.

Knowledge Base article:

Riepilogo

Una delle funzioni principali di un'autorità di certificazione (CA) è quella di valutare le richieste di certificati da parte dei client e, se sono soddisfatti i criteri predefiniti, rilasciare certificati a tali client. Affinché la registrazione del certificato venga eseguita correttamente, occorre che sia presente un certo numero di elementi prima dell'invio della richiesta, compresa una CA dotata di certificato CA valido, modelli di certificato configurati correttamente, account dei client, richieste di certificato e un metodo mediante il quale il client può inviare la richiesta alla CA, ottenerne la convalida e installare il certificato emesso.

Soluzioni

Correzione dei problemi che impediscono l'elaborazione delle richieste di certificati

Determinati problemi possono impedire l'elaborazione di una richiesta di certificato. Se il messaggio del registro eventi non contiene tutte le informazioni necessarie per risolvere il problema, altri errori e avvisi che precedono o seguono questo messaggio del registro eventi possono essere utili a identificare la causa. 

Per identificare e risolvere i problemi che possono bloccare l'elaborazione delle richieste di certificato, è necessario:

Per eseguire le procedure seguenti, è necessario disporre dell'autorizzazione Gestione CA oppure avere ricevuto in delega l'autorità appropriata.

Verificare la catena di certificati per la CA

Per convalidare la catena per la CA:

Generare e pubblicare nuovi CRL

Se l'output della riga di comando indica che un CRL per una CA è scaduto, generare nuovi Base CRL e Delta CRL nella CA e copiarli nei percorsi necessari. A tale scopo potrebbe essere necessario riavviare una CA non in linea.

Nella CA, controllare il CRL corrente pubblicato. Per impostazione predefinita, la CA crea i CRL nella cartella %windir%\System32\CertSrv\CertEnroll. Se i CRL attualmente in questo percorso sono scaduti o non sono validi, attenersi alla procedura seguente per pubblicare un nuovo CRL.

Per pubblicare un nuovo CRL utilizzando lo snap-in Autorità di certificazione:

È anche possibile generare e pubblicare CRL da un prompt dei comandi.

Per pubblicare un CRL usando lo strumento da riga di comando Certutil:

Se un CRL è indicato come non disponibile, ma è presente un CRL valido nella directory locale della CA, verificare che la CA sia in grado di connettersi al punto di distribuzione CRL, quindi utilizzare i passaggi precedenti per generare e pubblicare nuovamente i CRL.

I CRL possono essere pubblicati manualmente su Servizi di dominio Active Directory (AD DS) utilizzando il seguente comando:

certutil -dspublish"<nomeCRL.crl>" ldap:///CN=<nome CA>,CN=<nome host CA>,CN=CDP,CN=Public Key Services,CN=Services,CN=Configuration,DC=<contoso>,DC=<com>?certificateRevocationList?base?objectClass=cRLDistributionPoint

Sostituire nomeCRL.crl con il nome del file CRL, <nome CA> e <nome host CA> con il nome della CA e il nome dell'host in cui viene eseguita la CA, e <contoso> e <com> con lo spazio dei nomi del dominio Active Directory.

Verificare i punti di distribuzione Elenco di revoche di certificati (CRL) configurati

Controllare tutti i punti di distribuzione Elenco di revoche di certificati (CRL) configurati per verificare che la pubblicazione sia stata eseguita correttamente e che i nuovi CRL siano disponibili sulla rete.

Per controllare i punti di distribuzione Elenco di revoche di certificati (CRL) configurati utilizzando lo snap-in Autorità di certificazione:

Per controllare gli URL dei punti di distribuzione CRL configurati usando Certutil:

Controllare la coda delle richieste non riuscite sulla CA

Per controllare la coda delle richieste non riuscite sulla CA usando lo snap-in Autorità di certificazione:

Per verificare le richieste non riuscite usando Certutil:

Informazioni aggiuntive

Per verificare il corretto funzionamento dell'elaborazione delle richieste di certificati:

Element properties:

TargetMicrosoft.Windows.CertificateServices.CARole.2016
CategoryEventCollection
EnabledTrue
Event_ID21
Event SourceMicrosoft-Windows-CertificationAuthority
Alert GenerateTrue
Alert SeverityError
Alert PriorityHigh
RemotableTrue
Alert Message
Elaborazione (registrazione) della richiesta di certificato di Servizi certificati Active Directory - Richiesta non riuscita (dettagli)
Descrizione evento: {0}
Event LogApplication

Member Modules:

ID Module Type TypeId RunAs 
DS DataSource Microsoft.Windows.EventProvider Default
Alert WriteAction System.Health.GenerateAlert Default
WriteToCertSvcEvents WriteAction Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher Default
WriteToDB WriteAction Microsoft.SystemCenter.CollectEvent Default

Source Code:

<Rule ID="Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.21" Enabled="true" Target="CSDisc!Microsoft.Windows.CertificateServices.CARole.2016" ConfirmDelivery="true" Remotable="true" Priority="Normal" DiscardLevel="100">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="DS" TypeID="Windows!Microsoft.Windows.EventProvider">

      <ComputerName>$Target/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</ComputerName>

      <LogName>Application</LogName>

      <Expression>

        <And>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="UnsignedInteger">21</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="String">PublisherName</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="String">Microsoft-Windows-CertificationAuthority</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

        </And>

      </Expression>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="WriteToDB" TypeID="SC!Microsoft.SystemCenter.CollectEvent"/>

    <WriteAction ID="WriteToCertSvcEvents" TypeID="Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher"/>

    <WriteAction ID="Alert" TypeID="Health!System.Health.GenerateAlert">

      <Priority>2</Priority>

      <Severity>2</Severity>

      <AlertMessageId>$MPElement[Name="AlertMessageID42b3cc830b884161b292de001ad930e4"]$</AlertMessageId>

      <AlertParameters>

        <AlertParameter1>$Data/EventDescription$</AlertParameter1>

      </AlertParameters>

      <Suppression>

        <SuppressionValue>$Data/EventDisplayNumber$</SuppressionValue>

        <SuppressionValue>$Data/PublisherName$</SuppressionValue>

        <SuppressionValue>$Data/LoggingComputer$</SuppressionValue>

      </Suppression>

    </WriteAction>

  </WriteActions>

</Rule>