Home
  •  

Insamlingsregel för händelse med källan CertificationAuthority och ID 7

Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.7 (Rule)

En certifikatbegäran har nekats.

Knowledge Base article:

Sammanfattning

En av en certifikatutfärdares (CA) primära funktioner är att utvärdera certifikatbegäranden från kunder och, om de fördefinierade villkoren uppfylls, utfärda certifikat för dessa kunder. För att certifikatregistrering ska lyckas måste ett antal element finnas innan begäran skickas, inklusive en CA med ett CA-certifikat; korrekt konfigurerade certifikatmallar, klientkonton och certifikatbegäranden; och ett sätt för kunden att skicka begäran till CA, få begäran validerad och installera det utfärdade certifikatet.

Lösningar

Ta bort tillstånd som kan förhindra att en certifikatbegäran godkänns

En vanlig orsak till att certifikatbegäranden misslyckas är att problem uppstår när kedjan skapas. Använd följande procedur för att bekräfta certifikatkedjan för certifikatutfärdaren (CA) och lösa alla identifierade problem:

Om det inte löser problemet kontrollerar du och löser problem i följande områden:

Signaturer som krävs för att slutföra certifikatbegäran finns kanske inte tillgängliga. Om så är fallet:

Bekräfta användarkontoinformation i AD DS

För att kunna utföra denna procedur måste du vara medlem i Domänadministratörer, eller ha tilldelats lämplig auktoritet.

Bekräfta användarkontoinformation:

Bekräfta certifikatmallsinformation

För att kunna utföra denna procedur måste du ha behörighet att hantera certifikatutfärdare, eller ha tilldelats lämplig auktoritet.

Bekräfta certifikatmallsinformation:

Bekräfta certifikatkedjan för certifikatutfärdaren

Validera certifikatkedjan för certifikatutfärdaren:

Generera och publicera nya CRL:er

Om kommandoradens utdata anger att en CRL för en CA har upphört genererar du nya bas- och delta-CRL:er för denna CA och kopierar dem till de nödvändiga platserna. Du måste kanske starta om en offline-CA för detta.

Kontrollera den aktuella listan över återkallade certifikat som är publicerad i certifikatutfärdaren. Som standard skapar certifikatutfärdaren listor över återkallade certifikat i mappen %windir%\System32\CertSrv\CertEnroll. Om de aktuella listorna över återkallade certifikat på denna plats har löpt ut eller är ogiltiga kan du använda följande procedur för att publicera en ny lista över återkallade certifikat.

Publicera en ny CRL med snapin-modulen för certifikatutfärdare:

Du kan även generera och publicera CRL:er från en kommandotolk.

Publicera en CRL med Certutil-kommandoradsverktyget:

Om en CRL har identifierats som inte tillgänglig men det finns en giltig CRL i det lokala arkivet på certifikatutfärdaren, bekräftar du att CA kan ansluta till CRL-distributionspunkten och använder sedan de föregående stegen för att generera och publicera CRL:er igen.

CRL:er kan publiceras manuellt till Active Directory Domain Services (AD DS) med följande kommando:

certutil -dspublish"<crlname.crl>" ldap:///CN=<CA name>,CN=<CA hostname>,CN=CDP,CN=Public Key Services,CN=Services,CN=Configuration,DC=<contoso>,DC=<com>?certificateRevocationList?base?objectClass=cRLDistributionPoint

Ersätt crlname.crl med namnet på din CRL-fil, <CA-name> och <CA hostname> med ditt CA-namn och namnet på värden där CA:n körs, och <contoso> och <com> med namnområdena för Active Directory-domänen.

Bekräfta konfigurerade CRL-distributionspunkter

Kontrollera alla konfigurerade CRL-distributionspunkter för att bekräfta att publiceringen lyckades och att nya CRL:er finns tillgängliga på nätverket.

För att kunna utföra denna procedur måste du ha behörighet att hantera certifikatutfärdare, eller ha tilldelats lämplig auktoritet.

Kontrollera de konfigurerade CRL-distributionspunkterna med snapin-modulen för certifikatutfärdaren:

Kontrollera de konfigurerade CRL-distributionspunkternas URL:er med Certutil:

Kontrollera kön med misslyckade begäranden i certifikatutfärdaren

För att kunna utföra denna procedur måste du ha behörighet att hantera certifikatutfärdare, eller ha tilldelats lämplig auktoritet.

Kontrollera kön med misslyckade begäranden i certifikatutfärdaren med snapin-modulen på CA:

Kontrollera misslyckade begäranden med Certutil:

Bekräfta AD DS-anslutning

Bekräfta anslutningen mellan Active Directory-certifikattjänster (AD CS) och AD DS:

Reply from IP_address: bytes=32 time=3ms TTL=59

Reply from IP_address: bytes=32 time=20ms TTL=59

Reply from IP_address: bytes=32 time=3ms TTL=59

Svar från IP_address: bytes=32 time=6ms TTL=59 3

Utfärda ytterligare registreringsutfärdarcertifikat

Denna procedur kan bara utföras om du är medlem i de lokala administratörerna på datorn som kör certifikatutfärdaren (CA) eller så måste du ha tilldelats lämplig auktoritet.

Utfärda ytterligare registreringsutfärdarcertifikat:

Ändra krav för certifikatmallssignatur

För att kunna utföra denna procedur måste du ha behörighet att hantera certifikatutfärdare, eller ha tilldelats lämplig auktoritet.

Ändra krav för certifikatmallssignatur:

Ytterligare

Bekräfta att bearbetning av certifikatbegäran fungerar korrekt:

Element properties:

TargetMicrosoft.Windows.CertificateServices.CARole.2016
CategoryEventCollection
EnabledTrue
Event_ID7
Event SourceMicrosoft-Windows-CertificationAuthority
Alert GenerateFalse
RemotableTrue
Event LogApplication

Member Modules:

ID Module Type TypeId RunAs 
DS DataSource Microsoft.Windows.EventProvider Default
WriteToCertSvcEvents WriteAction Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher Default
WriteToDB WriteAction Microsoft.SystemCenter.CollectEvent Default

Source Code:

<Rule ID="Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.7" Enabled="true" Target="CSDisc!Microsoft.Windows.CertificateServices.CARole.2016" ConfirmDelivery="true" Remotable="true" Priority="Normal" DiscardLevel="100">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="DS" TypeID="Windows!Microsoft.Windows.EventProvider">

      <ComputerName>$Target/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</ComputerName>

      <LogName>Application</LogName>

      <Expression>

        <And>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="UnsignedInteger">7</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="String">PublisherName</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="String">Microsoft-Windows-CertificationAuthority</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

        </And>

      </Expression>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="WriteToDB" TypeID="SC!Microsoft.SystemCenter.CollectEvent"/>

    <WriteAction ID="WriteToCertSvcEvents" TypeID="Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher"/>

  </WriteActions>

</Rule>