Home
  •  

Regola Raccolta per l'evento con origine Autorità di certificazione e ID 53

Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.53 (Rule)

Una richiesta di certificato è stata negata.

Knowledge Base article:

Riepilogo

Una delle funzioni principali di un'autorità di certificazione (CA) è quella di valutare le richieste di certificati da parte dei client e, se sono soddisfatti i criteri predefiniti, rilasciare certificati a tali client. Affinché la registrazione del certificato venga eseguita correttamente, occorre che sia presente un certo numero di elementi prima dell'invio della richiesta, compresa una CA dotata di certificato CA valido, modelli di certificato configurati correttamente, account dei client, richieste di certificato e un metodo mediante il quale il client può inviare la richiesta alla CA, ottenerne la convalida e installare il certificato emesso.

Soluzioni

Rimozione delle condizioni che impediscono l'approvazione di una richiesta di certificato

I problemi nella creazione della catena sono una causa comune del malfunzionamento di un certificato. Utilizzare la procedura seguente per convalidare la catena di certificati per l'autorità di certificazione (CA) e risolvere gli eventuali problemi individuati:

Se queste operazioni non permettono di risolvere il problema, verificare e risolvere i problemi nelle seguenti aree:

Potrebbero non essere disponibili le firme necessarie per completare la richiesta di certificato. In questo caso:

Verificare le informazioni sull'account utente in Servizi di dominio Active Directory

Per eseguire questa procedura è necessario appartenere al gruppo Domain Admins oppure avere ricevuto in delega l'autorità appropriata.

Per verificare le informazioni sull'account utente:

Verificare le informazioni sui modelli di certificato

Per eseguire questa procedura è necessario disporre dell'autorizzazione Gestione CA oppure avere ricevuto in delega l'autorità appropriata.

Per verificare le informazioni sui modelli di certificato:

Verificare la catena di certificati per la CA

Per convalidare la catena per la CA:

Generare e pubblicare nuovi CRL

Se l'output della riga di comando indica che un CRL per una CA è scaduto, generare nuovi Base CRL e Delta CRL nella CA e copiarli nei percorsi necessari. A tale scopo potrebbe essere necessario riavviare una CA non in linea.

Nella CA, controllare il CRL corrente pubblicato. Per impostazione predefinita, la CA crea i CRL nella cartella %windir%\System32\CertSrv\CertEnroll. Se i CRL attualmente in questo percorso sono scaduti o non sono validi, attenersi alla procedura seguente per pubblicare un nuovo CRL.

Per pubblicare un nuovo CRL utilizzando lo snap-in Autorità di certificazione:

È anche possibile generare e pubblicare CRL da un prompt dei comandi.

Per pubblicare un CRL utilizzando lo strumento della riga di comando Certutil:

Se un CRL è indicato come non disponibile, ma è presente un CRL valido nella directory locale della CA, verificare che la CA sia in grado di connettersi al punto di distribuzione CRL, quindi utilizzare i passaggi precedenti per generare e pubblicare nuovamente i CRL.

I CRL possono essere pubblicati manualmente su Servizi di dominio Active Directory (AD DS) utilizzando il seguente comando:

certutil -dspublish"<nomeCRL.crl>" ldap:///CN=<nome CA>,CN=<nome host CA>,CN=CDP,CN=Public Key Services,CN=Services,CN=Configuration,DC=<contoso>,DC=<com>?certificateRevocationList?base?objectClass=cRLDistributionPoint

Sostituire nomeCRL.crl con il nome del file CRL, <nome CA> e <nome host CA> con il nome della CA e il nome dell'host in cui viene eseguita la CA, e <contoso> e <com> con lo spazio dei nomi del dominio Active Directory.

Verificare i punti di distribuzione Elenco di revoche di certificati (CRL) configurati

Controllare tutti i punti di distribuzione Elenco di revoche di certificati (CRL) configurati per verificare che la pubblicazione sia stata eseguita correttamente e che i nuovi CRL siano disponibili sulla rete.

Per eseguire questa procedura è necessario disporre dell'autorizzazione Gestione CA oppure avere ricevuto in delega l'autorità appropriata.

Per controllare i punti di distribuzione Elenco di revoche di certificati (CRL) configurati utilizzando lo snap-in Autorità di certificazione:

Per controllare gli URL dei punti di distribuzione CRL configurati utilizzando Certutil:

Controllare la coda delle richieste non riuscite sulla CA

Per eseguire questa procedura è necessario disporre dell'autorizzazione Gestione CA oppure avere ricevuto in delega l'autorità appropriata.

Per controllare la coda delle richieste non riuscite sulla CA utilizzando lo snap-in Autorità di certificazione:

Per verificare le richieste non riuscite utilizzando Certutil:

Verificare la connettività dei Servizi di dominio Active Directory

Per verificare una connessione di Servizi certificati Active Directory (AD CS) a Servizi di dominio Active Directory:

Reply from IP_address: bytes=32 time=3ms TTL=59

Reply from IP_address: bytes=32 time=20ms TTL=59

Reply from IP_address: bytes=32 time=3ms TTL=59

Reply from IP_address: bytes=32 time=6ms TTL=59 3

Rilasciare certificati di autorità di registrazione aggiuntivi

Per eseguire questa procedura, è necessario essere un membro del gruppo Administrators locale nel computer in cui si trova la CA o avere ricevuto in delega l'autorità appropriata.

Per emettere certificati di autorità di registrazione aggiuntivi:

Modificare i requisiti di firma dei modelli di certificato

Per eseguire questa procedura è necessario disporre dell'autorizzazione Gestione CA oppure avere ricevuto in delega l'autorità appropriata.

Per modificare i requisiti di firma dei modelli di certificato:

Informazioni aggiuntive

Per verificare il corretto funzionamento dell'elaborazione delle richieste di certificati:

Element properties:

TargetMicrosoft.Windows.CertificateServices.CARole.2016
CategoryEventCollection
EnabledTrue
Event_ID53
Event SourceMicrosoft-Windows-CertificationAuthority
Alert GenerateFalse
RemotableTrue
Event LogApplication

Member Modules:

ID Module Type TypeId RunAs 
DS DataSource Microsoft.Windows.EventProvider Default
WriteToCertSvcEvents WriteAction Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher Default
WriteToDB WriteAction Microsoft.SystemCenter.CollectEvent Default

Source Code:

<Rule ID="Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.53" Enabled="true" Target="CSDisc!Microsoft.Windows.CertificateServices.CARole.2016" ConfirmDelivery="true" Remotable="true" Priority="Normal" DiscardLevel="100">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="DS" TypeID="Windows!Microsoft.Windows.EventProvider">

      <ComputerName>$Target/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</ComputerName>

      <LogName>Application</LogName>

      <Expression>

        <And>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="UnsignedInteger">53</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="String">PublisherName</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="String">Microsoft-Windows-CertificationAuthority</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

        </And>

      </Expression>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="WriteToDB" TypeID="SC!Microsoft.SystemCenter.CollectEvent"/>

    <WriteAction ID="WriteToCertSvcEvents" TypeID="Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher"/>

  </WriteActions>

</Rule>