Home
  •  

Regra de Recolha para evento com origem CertificationAuthority e ID 57

Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.57 (Rule)

Foi negado um pedido de certificado.

Knowledge Base article:

Resumo

Uma das principais funções de uma autoridade de certificação (AC) é avaliar os pedidos de certificados feitos por clientes e, se os critérios predefinidos estiverem reunidos, emitir certificados para esses clientes. Para a inscrição de certificado ter êxito, é necessário reunir uma série de elementos antes de submeter o pedido, nomeadamente, necessita de uma AC com um certificado de AC válido, modelos de certificados, contas de clientes e pedidos de certificados devidamente configurados, e uma forma de o cliente submeter o pedido à AC, ter o pedido validado e instalar o certificado emitido.

Resoluções

Eliminar condições que impeçam a aprovação de um pedido de certificado

Os problemas na criação de cadeia são uma causa comum da falha de pedidos de certificados. Utilize o procedimento indicado a seguir para validar a cadeia de certificados para a autoridade de certificação (AC) e corrigir os problemas identificados:

Se isto não resolver o problema, verifique e resolva problemas nas seguintes áreas:

As assinaturas necessárias para concluir o pedido de certificado podem não estar disponíveis. Se for este o caso:

Confirmar as informações da conta de utilizador nos AD DS

Este procedimento exige que seja membro do grupo de Administradores do Domínio, ou que lhe tenha sido delegado o nível de autoridade apropriado.

Para confirmar as informações da conta de utilizador:

Confirmar as informações do modelo de certificado

Este procedimento exige que tenha permissão para gerir AC ou que lhe tenha sido delegado o nível de autoridade apropriado.

Para confirmar as informações do modelo de certificado:

Confirmar a cadeia de certificados para a AC

Para validar a cadeia para a AC:

Gerar e publicar CRLs novas

Se a saída da linha de comandos indicar que uma CRL de uma AC expirou, gere CRLs base e delta novas na AC e copie-as para as localizações pretendidas. Pode ter de reiniciar uma AC offline para fazer isto.

Na AC, verifique a CRL publicada atual. Por predefinição, a AC cria CRLs na pasta %windir%\System32\CertSrv\CertEnroll. Se as CRLs presentemente nesta localização tiverem expirado ou forem inválidas, pode utilizar os procedimentos seguintes para publicar uma CRL nova.

Para publicar uma CRL nova utilizando o snap-in da Autoridade de Certificação:

Pode também gerar e publicar CRLs a partir de uma linha de comandos.

Para publicar uma CRL utilizando a ferramenta de linha de comandos Certutil:

Se uma CRL for identificada como indisponível mas existe uma CRL válida no diretório local na AC, confirme se a AC consegue ligar ao ponto de distribuição de CRL e depois aplique os passos anteriores para gerar e publicar as CRLs outra vez.

As CRLs podem ser publicadas manualmente nos Serviços de Domínio do Active Directory (AD DS) utilizando o seguinte comando:

certutil -dspublish"<crlname.crl>" ldap:///CN=<CA name>,CN=<CA hostname>,CN=CDP,CN=Public Key Services,CN=Services,CN=Configuration,DC=<contoso>,DC=<com>?certificateRevocationList?base?objectClass=cRLDistributionPoint

Substitua crlname.crl pelo nome do seu ficheiro CRL, <CA name> e <CA hostname> pelo seu nome da AC e o nome do anfitrião onde essa AC é executada, e <contoso> e <com> pelo espaço de nomes do seu domínio do Active Directory.

Confirmar os pontos de distribuição configurados da CRL

Verifique todos os pontos de distribuição configurados da CRL para confirmar se a publicação teve êxito e se há CRLs novas disponíveis na rede.

Este procedimento exige que tenha permissão para gerir AC ou que lhe tenha sido delegado o nível de autoridade apropriado.

Para verificar os pontos de distribuição configurados da CRL utilizando o snap-in da Autoridade de Certificação:

Para verificar os URLs dos pontos de distribuição configurados da CRL utilizando Certutil:

Verificar a fila de pedidos falhados na AC

Este procedimento exige que tenha permissão para gerir AC ou que lhe tenha sido delegado o nível de autoridade apropriado.

Para verificar a fila de pedidos falhados na AC utilizando o snap-in da Autoridade de Certificação:

Para verificar os pedidos falhados utilizando Certutil:

Confirmar a conectividade dos AD DS

Para confirmar a ligação dos Serviços de Certificados do Active Directory (AD CS) aos AD DS:

Reply from IP_address: bytes=32 time=3ms TTL=59

Reply from IP_address: bytes=32 time=20ms TTL=59

Reply from IP_address: bytes=32 time=3ms TTL=59

Resposta de endereço_IP: bytes=32 tempo=6ms TTL=59 3

Emitir certificados de autoridade de registo adicionais

Este procedimento exige que seja membro nos Administradores locais no computador que aloja a AC, ou que lhe tenha sido delegado o nível de autoridade apropriado.

Para emitir certificados de autoridade de registo adicionais:

Modificar requisitos da assinatura do modelo de certificado

Este procedimento exige que tenha permissão para gerir AC ou que lhe tenha sido delegado o nível de autoridade apropriado.

Para modificar requisitos da assinatura do modelo de certificado:

Adicional

Para confirmar se o processamento do pedido de certificado está a funcionar corretamente:

Element properties:

TargetMicrosoft.Windows.CertificateServices.CARole.2016
CategoryEventCollection
EnabledTrue
Event_ID57
Event SourceMicrosoft-Windows-CertificationAuthority
Alert GenerateFalse
RemotableTrue
Event LogApplication

Member Modules:

ID Module Type TypeId RunAs 
DS DataSource Microsoft.Windows.EventProvider Default
WriteToDB WriteAction Microsoft.SystemCenter.CollectEvent Default

Source Code:

<Rule ID="Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.57" Enabled="true" Target="CSDisc!Microsoft.Windows.CertificateServices.CARole.2016" ConfirmDelivery="true" Remotable="true" Priority="Normal" DiscardLevel="100">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="DS" TypeID="Windows!Microsoft.Windows.EventProvider">

      <ComputerName>$Target/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</ComputerName>

      <LogName>Application</LogName>

      <Expression>

        <And>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="UnsignedInteger">57</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="String">PublisherName</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="String">Microsoft-Windows-CertificationAuthority</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

        </And>

      </Expression>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="WriteToDB" TypeID="SC!Microsoft.SystemCenter.CollectEvent"/>

  </WriteActions>

</Rule>