Insamlingsregel för händelse med källan CertificationAuthority och ID 34

Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.34 (Rule)

Certifikattjänster startade inte: RPC

Knowledge Base article:

Sammanfattning

Certifikatutfärdare behöver tillräckliga systemresurser och operativsystemkomponenter för att fungera. Om en server har otillräckligt minne eller hårddiskutrymme eller om operativsystemets komponenter blir otillgängliga kan försök att starta Active Directory-certifikattjänsterna misslyckas.

Lösningar

Lös problem med tjänsten anrop till fjärrdator (RPC)

För att kunna utföra denna procedur måste du ha behörighet att hantera certifikatutfärdare, eller ha tilldelats lämplig auktoritet.

Lös problem med tjänsten anrop till fjärrdator (RPC):

Leta efter ytterligare information i händelseloggmeddelandet och ytterligare meddelanden, som levererats precis innan och efter den här händelsen.
Använd Tillförlitlighets- och prestandaövervakaren för att utvärdera användning av minne och diskutrymme på datorn som kör certifikatutfärdaren. Om nödvändigt utökar du Windows-resurserna genom att lägga till fysiskt minne, virtuellt minne eller fysisk lagring.
Starta om datorn och certifikatutfärdaren, om den inte startar om automatiskt.
Om det inte löser problemet kan du behöva återställa Windows och certifikatutfärdaren från en fullständig säkerhetskopiering.
Du kan använda procedurerna i avsnitten Skapa en felsökningslogg och Aktivera CryptoAPI 2.0-diagnostik för att samla in information som du kan använda om du kontaktar Microsofts kundservice och support.

Skapa en felsökningslogg

Skapa en felsökningslogg:

Klicka på Start på datorn som kör certifikatutfärdaren, skriv cmd och tryck på RETUR.
Skriv certutil -setreg ca\debug 0xffffffe3 och tryck på RETUR.
Klicka på Start, peka på Administrationsverktyg och klicka på Tjänster.
Markera tjänsten för Active Directory-certifikattjänster och klicka på Starta.
När du har återskapat problemet letar du rätt på filen certsrv.log som innehåller avancerad diagnostikinformation i katalogen %windir%.
När du har genererat klart diagnostiken inaktiverar du felsökningen genom att öppna ett kommandotolksfönster.
Skriv certutil -delreg ca\debug och tryck på RETUR.

Aktivera CryptoAPI 2.0-diagnostik

Aktivera CryptoAPI 2.0-diagnostik:

Klicka på Start på datorn som kör certifikatutfärdaren, peka på Administrationsverktyg och klicka på Loggboken.
Expandera Loggboken, Program- och tjänsteloggar, Microsoft, Windows och CAPI2 i konsolträdet.
Högerklicka på Arbetsloggen och klicka på Aktivera logg.
Klicka på Start, peka på Administrationsverktyg och klicka på Tjänster.
Högerklicka på Active Directory-certifikattjänster och klicka på Starta om.

Ytterligare

Bekräfta att CA-tjänsten är tillgänglig:

Klicka på Start, skriv cmd och tryck på RETUR på datorn som kör certifikatutfärdaren.
Skriv certutil -config <CAconfig> -ping och tryck på RETUR.

CAconfig är CA-konfigurationssträngen i formuläret CAhostname\CAname.

Element properties:

Target

Microsoft.Windows.CertificateServices.CARole.2016

Category

EventCollection

Enabled

True

Event_ID

Event Source

Microsoft-Windows-CertificationAuthority

Alert Generate

True

Alert Severity

Error

Alert Priority

High

Remotable

True

Alert Message

Programresurstillgänglighet för AD CS – det gick inte att initiera RPC

Händelsebeskrivning: {0}

Event Log

Application

Member Modules:

ID	Module Type	TypeId	RunAs
DS	DataSource	Microsoft.Windows.EventProvider	Default
Alert	WriteAction	System.Health.GenerateAlert	Default
WriteToCertSvcEvents	WriteAction	Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher	Default
WriteToDB	WriteAction	Microsoft.SystemCenter.CollectEvent	Default

Source Code:

<Rule ID="Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.34" Enabled="true" Target="CSDisc!Microsoft.Windows.CertificateServices.CARole.2016" ConfirmDelivery="true" Remotable="true" Priority="Normal" DiscardLevel="100">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="DS" TypeID="Windows!Microsoft.Windows.EventProvider">

      <ComputerName>$Target/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</ComputerName>

      <LogName>Application</LogName>

      <Expression>

        <And>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="UnsignedInteger">34</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="String">PublisherName</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="String">Microsoft-Windows-CertificationAuthority</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

        </And>

      </Expression>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="WriteToDB" TypeID="SC!Microsoft.SystemCenter.CollectEvent"/>

    <WriteAction ID="WriteToCertSvcEvents" TypeID="Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher"/>

    <WriteAction ID="Alert" TypeID="Health!System.Health.GenerateAlert">

      <Priority>2</Priority>

      <Severity>2</Severity>

      <AlertMessageId>$MPElement[Name="AlertMessageID1f2bc1a24efc4362b1f098c93aa519df"]$</AlertMessageId>

      <AlertParameters>

        <AlertParameter1>$Data/EventDescription$</AlertParameter1>

      </AlertParameters>

      <Suppression>

        <SuppressionValue>$Data/EventDisplayNumber$</SuppressionValue>

        <SuppressionValue>$Data/PublisherName$</SuppressionValue>

        <SuppressionValue>$Data/LoggingComputer$</SuppressionValue>

      </Suppression>

    </WriteAction>

  </WriteActions>

</Rule>