Home
  •  

Правило сбора для события с источником CertificationAuthority и ИД 7

Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.7 (Rule)

Запрос на сертификат был отклонен.

Knowledge Base article:

Сводка

Одной из основных функций центра сертификации (ЦС) является оценка запросов на сертификаты от клиентов и выдача сертификатов для этих клиентов в случае соответствия запросов предопределенным критериям. Для успешной регистрации сертификата перед отправкой запроса необходимо наличие нескольких элементов. К ним относятся ЦС с действительным сертификатом ЦС, правильно настроенные шаблоны сертификатов, учетные записи клиентов и запросы на сертификаты, а также возможность отправки клиентом запроса в ЦС, проверки запроса и установки выданного сертификата.

Решения

Удаление условий, препятствующих утверждению запроса на сертификат

Проблемы построения цепочки — распространенная причина сбоя запросов на сертификат. Выполните следующую процедуру, чтобы проверить цепочку сертификатов для центра сертификации (ЦС), и устраните все обнаруженные проблемы.

Если проблему решить не удается, выполните поиск неполадок в указанных далее областях и устраните их.

Подписи, необходимые для выполнения запроса на сертификат, могут быть недоступны. В таком случае выполните следующие действия.

Подтверждение сведений учетной записи пользователя в доменных службах Active Directory

Для выполнения данной процедуры необходимо быть членом группы "Администраторы домена" либо являться обладателем соответствующих делегированных полномочий.

Для подтверждения сведений учетной записи пользователя выполните следующие действия.

Подтверждение сведений шаблона сертификата

Для выполнения данной процедуры необходимо иметь разрешение на управление ЦС либо обладать соответствующими делегированными полномочиями.

Чтобы подтвердить сведения шаблона сертификата, выполните следующие действия.

Подтверждение цепочки сертификатов для ЦС

Чтобы проверить цепочку для ЦС, выполните следующие действия.

Создайте и опубликуйте новые списки отзыва сертификатов

Если данные, выводимые в командной строке, свидетельствуют о том, что срок действия списка отзыва сертификатов для ЦС истек, сформируйте новые базовый и разностный списки отзыва сертификатов в ЦС и скопируйте их в нужные расположения. Для этого может понадобиться перезапустить ЦС вне сети.

В ЦС проверьте текущий опубликованный список отзыва сертификатов. По умолчанию ЦС создает списки отзыва сертификатов в папке %windir%\System32\CertSrv\CertEnroll. Если списки отзыва сертификатов, в данный момент находящиеся в этом расположении, недействительны или срок их действия истек, для публикации нового списка отзыва сертификатов можно использовать следующую процедуру.

Чтобы опубликовать новый список отзыва сертификатов с помощью оснастки "Центр сертификации", выполните следующие действия.

Списки отзыва сертификатов можно также формировать и публиковать из командной строки.

Чтобы опубликовать список отзыва сертификатов с помощью программы командной строки Certutil, выполните следующие действия.

Если список отзыва сертификатов считается недоступным, а в локальном каталоге ЦС существует действительный список отзыва сертификатов, подтвердите возможность соединения ЦС с точкой распространения списка отзыва сертификатов, а затем выполните предыдущие действия, чтобы снова сформировать и опубликовать списки отзыва сертификатов.

Списки отзыва сертификатов можно публиковать вручную в доменных службах Active Directory с помощью следующей команды:

certutil -dspublish"<crlname.crl>" ldap:///CN=<CA name>,CN=<CA hostname>,CN=CDP,CN=Public Key Services,CN=Services,CN=Configuration,DC=<contoso>,DC=<com>?certificateRevocationList?base?objectClass=cRLDistributionPoint

Замените "crlname.crl" именем файла списка отзыва сертификатов, "имя ЦС" и "имя главного узла ЦС" — именами своего ЦС и узла, на котором он запущен, а "contoso" и "com" — пространством имен домена Active Directory.

Подтверждение настроенных точек распространения CRL

Проверьте все настроенные точки распространения списков отзыва сертификатов, чтобы подтвердить, что публикация была успешной, и в сети доступны новые списки отзыва сертификатов.

Для выполнения данной процедуры необходимо иметь разрешение на управление ЦС либо обладать соответствующими делегированными полномочиями.

Чтобы проверить настроенные точки распространения списков отзыва сертификатов с помощью оснастки "Центр сертификации", выполните следующие действия.

Чтобы проверить URL-адреса настроенных точек распространения списков отзыва сертификатов с помощью Certutil, выполните следующие действия.

Проверка очереди невыполненных запросов в ЦС

Для выполнения данной процедуры необходимо иметь разрешение на управление ЦС либо обладать соответствующими делегированными полномочиями.

Чтобы проверить очередь невыполненных запросов в ЦС с помощью оснастки "Центр Сертификации", выполните следующие действия.

Чтобы проверить невыполненные запросы с помощью Certutil, выполните следующие действия.

Подтверждение подключения доменных служб Active Directory

Чтобы подтвердить подключение служб сертификации Active Directory к доменным службам Active Directory, выполните следующие действия.

Ответ от IP_адрес: число байт=32 время=3мс TTL=59

Ответ от IP_адрес: число байт=32 время=20мс TTL=59

Ответ от IP_адрес: число байт=32 время=3мс TTL=59

Ответ от IP_адрес: число байт=32 время=6мс TTL=59 3

Выдача дополнительных сертификатов центра регистрации

Чтобы выполнить эту процедуру, необходимо быть членом локальной группы "Администраторы" на компьютере, на котором размещен ЦС, либо обладать соответствующими делегированными полномочиями.

Чтобы выдать дополнительные сертификаты центра регистрации, выполните следующие действия.

Изменение требований к подписи в шаблоне сертификата

Для выполнения данной процедуры необходимо иметь разрешение на управление ЦС либо обладать соответствующими делегированными полномочиями.

Чтобы изменить требования к подписи в шаблоне сертификата, выполните следующие действия.

Дополнительно

Чтобы проверить правильность обработки запроса на сертификат, выполните следующие действия.

Element properties:

TargetMicrosoft.Windows.CertificateServices.CARole.2016
CategoryEventCollection
EnabledTrue
Event_ID7
Event SourceMicrosoft-Windows-CertificationAuthority
Alert GenerateFalse
RemotableTrue
Event LogApplication

Member Modules:

ID Module Type TypeId RunAs 
DS DataSource Microsoft.Windows.EventProvider Default
WriteToCertSvcEvents WriteAction Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher Default
WriteToDB WriteAction Microsoft.SystemCenter.CollectEvent Default

Source Code:

<Rule ID="Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.7" Enabled="true" Target="CSDisc!Microsoft.Windows.CertificateServices.CARole.2016" ConfirmDelivery="true" Remotable="true" Priority="Normal" DiscardLevel="100">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="DS" TypeID="Windows!Microsoft.Windows.EventProvider">

      <ComputerName>$Target/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</ComputerName>

      <LogName>Application</LogName>

      <Expression>

        <And>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="UnsignedInteger">7</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="String">PublisherName</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="String">Microsoft-Windows-CertificationAuthority</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

        </And>

      </Expression>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="WriteToDB" TypeID="SC!Microsoft.SystemCenter.CollectEvent"/>

    <WriteAction ID="WriteToCertSvcEvents" TypeID="Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher"/>

  </WriteActions>

</Rule>