Home
  •  

発行元 CertificationAuthority および ID 53 を所有するイベント向けの収集ルール

Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.53 (Rule)

証明書の要求が拒否されました。

Knowledge Base article:

概要

証明機関 (CA) の主な機能の 1 つは、クライアントからの証明書要求を評価し、定義済み条件を満たしている場合は証明書をそのクライアントに発行することです。証明書を登録するには、要求を送信する前に、有効な CA 証明書 (適切に構成された証明書テンプレート、クライアント アカウント、証明書要求) を所有する CA、クライアントが CA に要求を送信する方法などのいくつかの事前準備を行い、要求を検証し、発行された証明書をインストールする必要があります。

解決方法

証明書の要求が承認できない原因となっている条件を削除します。

チェーン構築の問題は、証明書の要求が失敗する一般的な原因です。以下の手順を使用して証明機関 (CA) の証明書チェーンを検証し、問題が特定された場合は解決します。

それでも問題が解決されない場合は、以下のエリアの問題を確認し、解決します。

証明書の要求の完了に必要な署名が利用できない可能性があります。その場合:

AD DS のユーザー アカウント情報を確認する

この手順を実行するには、Domain Admins のメンバーであるか、適切な権限を委任されている必要があります。

ユーザー アカウント情報を確認するには、以下の手順を実行します。

証明書テンプレートの情報を確認する

この手順を実行するには、CA 管理権限を付与されているか、または適切な権限を委任されている必要があります。

証明書テンプレートの情報を確認するには、次の手順を実行します。

CA の証明書チェーンの確認

CA のチェーンを評価するには、以下の手順を実行します。

新しい CRL の生成と公開

コマンド ラインの出力が CA の CRL が期限切れとなっていることを示していた場合、CA 上で新しい Base CRL および Delta CRL を生成し、必要な場所にコピーします。この操作を行うにはオフラインの CA を再起動する必要があります。

CA で現在公開されている CRL を確認します。既定では、CA は CRL を %windir%\System32\CertSrv\CertEnroll フォルダーに作成します。現在この場所にある CRL の有効期限が切れている、または無効となっている場合は、次の手順を使用して新しい CRL を公開します。

証明機関スナップインを使用して新しい CRL を公開するには、次の手順を実行します。

また、コマンド プロンプトから CRL を生成し、公開することもできます。

Certutil コマンド ライン ツールを使用して CRL を公開するには、次の手順を実行します。

特定された CRL を利用できないけれども CA のローカル ディレクトリ内に有効な CRL が存在する場合は、その CA が CRL 、配布ポイントへ接続可能なことを確認し、もう一度 CRL を生成および公開する手順を使用します。

CRL は、以下のコマンドを使用して Active Directory ドメイン サービス (AD DS) に手動で公開することもできます。

certutil -dspublish"<crlname.crl>" ldap:///CN=<CA name>,CN=<CA hostname>,CN=CDP,CN=Public Key Services,CN=Services,CN=Configuration,DC=<contoso>,DC=<com>?certificateRevocationList?base?objectClass=cRLDistributionPoint

crlname.crl は CRL ファイルの名前に、<CA name> は使用している CA の名前に、<CA hostname> は CA が実行されているホストの名前に置き換えます。また、<contoso> と <com> は、使用している Active Directory ドメインの名前空間に置き換えます。

構成済の CRL 配布ポイントを確認する

構成済のすべての CRL 配布ポイントを確認し、公開が正常に完了し、新しい CRL がネットワーク上で利用できるようになっていることを確認します。

この手順を実行するには、CA 管理権限を付与されているか、または適切な権限を委任されている必要があります。

証明機関スナップインを使用して構成済の CRL 配布ポイントを確認するには、次の手順を実行します。

Certutil を使用して構成済の CRL 配布ポイントの URL を確認するには、次の手順を実行します。

CA で失敗した要求のキューを確認する

この手順を実行するには、CA 管理権限を付与されているか、または適切な権限を委任されている必要があります。

証明機関スナップインを使用して CA で失敗した要求のキューを確認するには、次の手順を実行します。

Certutil を使用して失敗した要求を確認するには、次の手順を実行します。

AD DS の接続性の確認

AD DS への Active Directory 証明書サービス (AD CS) の接続を確認するには :

IP_address からの応答: バイト数=32 時間=3ms TTL=59

IP_address からの応答: バイト数=32 時間=20ms TTL=59

IP_address からの応答: バイト数=32 時間=3ms TTL=59

IP_address からの応答: バイト数=32 時間=6ms TTL=59 3

その他の登録機関証明書の発行

これらの手順を実行するには、CA をホストしているコンピューター上のローカルの Administrators グループのメンバーであるか、適切な権限が委任されている必要があります。

その他の登録機関証明書を発行するには、次の手順を実行します。

証明書テンプレートの署名の要件を変更する

この手順を実行するには、CA 管理権限を付与されているか、または適切な権限を委任されている必要があります。

証明書テンプレートの署名の要件を変更するには、次の手順を実行します。

追加情報

証明書要求の処理が適切に行われていることを確認するには:

Element properties:

TargetMicrosoft.Windows.CertificateServices.CARole.2016
CategoryEventCollection
EnabledTrue
Event_ID53
Event SourceMicrosoft-Windows-CertificationAuthority
Alert GenerateFalse
RemotableTrue
Event LogApplication

Member Modules:

ID Module Type TypeId RunAs 
DS DataSource Microsoft.Windows.EventProvider Default
WriteToCertSvcEvents WriteAction Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher Default
WriteToDB WriteAction Microsoft.SystemCenter.CollectEvent Default

Source Code:

<Rule ID="Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.53" Enabled="true" Target="CSDisc!Microsoft.Windows.CertificateServices.CARole.2016" ConfirmDelivery="true" Remotable="true" Priority="Normal" DiscardLevel="100">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="DS" TypeID="Windows!Microsoft.Windows.EventProvider">

      <ComputerName>$Target/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</ComputerName>

      <LogName>Application</LogName>

      <Expression>

        <And>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="UnsignedInteger">53</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="String">PublisherName</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="String">Microsoft-Windows-CertificationAuthority</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

        </And>

      </Expression>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="WriteToDB" TypeID="SC!Microsoft.SystemCenter.CollectEvent"/>

    <WriteAction ID="WriteToCertSvcEvents" TypeID="Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher"/>

  </WriteActions>

</Rule>