Home
  •  

Правило сбора для события с источником CertificationAuthority и ИД 22

Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.22 (Rule)

Службам сертификации не удалось обработать запрос.

Knowledge Base article:

Сводка

Одной из основных функций центра сертификации (ЦС) является оценка запросов на сертификаты от клиентов и выдача сертификатов для этих клиентов в случае соответствия запросов предопределенным критериям. Для успешной регистрации сертификата перед отправкой запроса необходимо наличие нескольких элементов. К ним относятся ЦС с действительным сертификатом ЦС, правильно настроенные шаблоны сертификатов, учетные записи клиентов и запросы на сертификаты, а также возможность отправки клиентом запроса в ЦС, проверки запроса и установки выданного сертификата.

Решения

Устранение проблем, препятствующих обработке запросов на сертификат.

Обработке запросов на сертификат может препятствовать ряд проблем. Если сообщение журнала событий не содержит всей информации, необходимой для устранения проблемы, дополнительные сообщения об ошибках и предупреждения, предшествующие данному сообщению журнала событий или следующие за ним, могут помочь определить причину. 

Чтобы определить и устранить проблемы, которые могут блокировать обработку запросов на сертификат, необходимо сделать следующее.

Для выполнения следующих процедур необходимо иметь разрешение на управление ЦС либо обладать соответствующими делегированными полномочиями.

Подтверждение цепочки сертификатов для ЦС

Чтобы проверить цепочку для ЦС, выполните следующие действия.

Создайте и опубликуйте новые списки отзыва сертификатов

Если данные, выводимые в командной строке, свидетельствуют о том, что срок действия списка отзыва сертификатов для ЦС истек, сформируйте новые базовый и разностный списки отзыва сертификатов в ЦС и скопируйте их в нужные расположения. Для этого может понадобиться перезапустить ЦС вне сети.

В ЦС проверьте текущий опубликованный список отзыва сертификатов. По умолчанию ЦС создает списки отзыва сертификатов в папке %windir%\System32\CertSrv\CertEnroll. Если списки отзыва сертификатов, в данный момент находящиеся в этом расположении, недействительны или срок их действия истек, для публикации нового списка отзыва сертификатов можно использовать следующую процедуру.

Публикация нового списка отзыва сертификатов с помощью оснастки "Центр сертификации"

Списки отзыва сертификатов можно также формировать и публиковать из командной строки.

Публикация списков отзыва сертификатов с помощью программы командной строки Certutil

Если список отзыва сертификатов считается недоступным, а в локальном каталоге ЦС существует действительный список отзыва сертификатов, подтвердите возможность соединения ЦС с точкой распространения списка отзыва сертификатов, а затем выполните предыдущие действия, чтобы снова сформировать и опубликовать списки отзыва сертификатов.

Списки отзыва сертификатов можно публиковать вручную в доменных службах Active Directory с помощью следующей команды:

certutil -dspublish"<crlname.crl>" ldap:///CN=<CA name>,CN=<CA hostname>,CN=CDP,CN=Public Key Services,CN=Services,CN=Configuration,DC=<contoso>,DC=<com>?certificateRevocationList?base?objectClass=cRLDistributionPoint

Замените "crlname.crl" именем файла списка отзыва сертификатов, "имя ЦС" и "имя главного узла ЦС" — именами своего ЦС и узла, на котором он запущен, а "contoso" и "com" — пространством имен домена Active Directory.

Подтверждение настроенных точек распространения CRL

Проверьте все настроенные точки распространения списков отзыва сертификатов, чтобы подтвердить, что публикация была успешной, и в сети доступны новые списки отзыва сертификатов.

Проверка настроенных точек распространения списков отзыва сертификатов с помощью оснастки "Центр сертификации"

Проверка URL-адресов настроенных точек распространения списков отзыва сертификатов с помощью Certutil

Проверка очереди невыполненных запросов в ЦС

Чтобы проверить очередь невыполненных запросов в ЦС с помощью оснастки "Центр Сертификации", выполните следующие действия.

Проверка невыполненных запросов с помощью Certutil

Дополнительно

Чтобы проверить правильность обработки запроса на сертификат, выполните следующие действия.

Element properties:

TargetMicrosoft.Windows.CertificateServices.CARole.2016
CategoryEventCollection
EnabledTrue
Event_ID22
Event SourceMicrosoft-Windows-CertificationAuthority
Alert GenerateTrue
Alert SeverityError
Alert PriorityHigh
RemotableTrue
Alert Message
Обработка запросов на сертификат (регистрация) службой сертификации Active Directory — сбой запроса (подробности и сведения)
Описание события: {0}
Event LogApplication

Member Modules:

ID Module Type TypeId RunAs 
DS DataSource Microsoft.Windows.EventProvider Default
Alert WriteAction System.Health.GenerateAlert Default
WriteToCertSvcEvents WriteAction Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher Default
WriteToDB WriteAction Microsoft.SystemCenter.CollectEvent Default

Source Code:

<Rule ID="Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.22" Enabled="true" Target="CSDisc!Microsoft.Windows.CertificateServices.CARole.2016" ConfirmDelivery="true" Remotable="true" Priority="Normal" DiscardLevel="100">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="DS" TypeID="Windows!Microsoft.Windows.EventProvider">

      <ComputerName>$Target/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</ComputerName>

      <LogName>Application</LogName>

      <Expression>

        <And>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="UnsignedInteger">22</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="String">PublisherName</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="String">Microsoft-Windows-CertificationAuthority</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

        </And>

      </Expression>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="WriteToDB" TypeID="SC!Microsoft.SystemCenter.CollectEvent"/>

    <WriteAction ID="WriteToCertSvcEvents" TypeID="Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher"/>

    <WriteAction ID="Alert" TypeID="Health!System.Health.GenerateAlert">

      <Priority>2</Priority>

      <Severity>2</Severity>

      <AlertMessageId>$MPElement[Name="AlertMessageID515b77767c984710bc8f71a810107927"]$</AlertMessageId>

      <AlertParameters>

        <AlertParameter1>$Data/EventDescription$</AlertParameter1>

      </AlertParameters>

      <Suppression>

        <SuppressionValue>$Data/EventDisplayNumber$</SuppressionValue>

        <SuppressionValue>$Data/PublisherName$</SuppressionValue>

        <SuppressionValue>$Data/LoggingComputer$</SuppressionValue>

      </Suppression>

    </WriteAction>

  </WriteActions>

</Rule>