Regra de Recolha para evento com origem CertificationAuthority e ID 78

Resumo

O módulo da política contém o conjunto de regras que regulam a emissão, renovação e revogação de certificados. Esta política é criada a partir de valores codificados, definições de registo e, se estiver a utilizar uma autoridade de certificação (AC) empresarial, modelos de certificados. O módulo de política determina se um pedido de certificado é aprovado, negado ou marcado como pendente para um administrador aprovar ou negar. Problemas detetados num módulo de política podem impedir a AC de iniciar ou fazer com que deixe de funcionar.

Resoluções

Resolver erros de processamento do módulo da política

Para determinar como vai corrigir esta condição de erro, examine o código de erro reportado na mensagem do registo de eventos.

A mensagem do registo de eventos pode incluir os seguintes códigos:

• MSG_NO_CA_OBJECT, MSG_NO_DOMAIN

• MSG_NO_CERT_TYPES

• MSG_DOMAIN_INIT

Se estas mensagens de erro não possuírem informações específicas, verifique e resolva todos os erros relacionados adicionais antes ou depois deste erro.

Se não for possível resolver os avisos resolvendo os sintomas relacionados e há um problema num módulo de política:

• Para um módulo de política que não pertença à Microsoft, contacte o fornecedor do módulo da política para obter assistência.

• Para um módulo de política da Microsoft, contacte o Suporte e Atendimento ao Cliente da Microsoft. Para obter mais informações, consulte  http://go.microsoft.com/fwlink/?LinkId=89446.

MSG_NO_CA_OBJECT, MSG_NO_DOMAIN

Este código de erro indica que a autoridade de certificação (AC) não conseguiu ligar aos Serviços de Domínio do Active Directory ou não conseguiu encontrar a informação necessária do Active Directory. A falha de ligação a um controlador de domínio deve-se normalmente a um problema de conectividade da rede ou a um problema de permissões. 

Para verificar e corrigir potenciais problemas de conectividade:

• Verifique se os AD DS estão em execução confirmando se os serviços do Active Directory estão em execução em cada controlador de domínio. Para mais informações sobre a monitorização do Active Directory, consulte o Pacote de Gestão do Active Directory para MOM ( http://go.microsoft.com/fwlink/?LinkID=95697).  

• Utilize ferramentas de diagnóstico da rede tais como as ferramentas de linha de comandos Nltest e Ping, para verificar o estado da ligação de rede entre a autoridade de certificação (AC) e os AD DS.

• Utilize o procedimento Confirmar permissões em contentores e objetos AD DS essenciais abaixo para confirmar se a AC tem as permissões corretas para objetos e contentores nos AD DS.

MSG_NO_CERT_TYPES

Este código de erro indica se a AC procurou uma lista de modelos de certificados no contentor Modelos de Certificados nos AD DS, mas não conseguiu encontrar a lista ou então a lista estava vazia.

Para verificar e corrigir potenciais problemas nos modelos de certificados:

Utilize o procedimento Confirmar configuração e disponibilidade do modelo de certificado para verificar as permissões e outras definições no modelo de certificado e se foi adicionado à AC.

MSG_DOMAIN_INIT

Este código de erro indica que a AC não conseguiu ligar aos AD DS. Esta falha pode dever-se a um problema de conectividade de rede ou mais provavelmente a um problema de permissões.

Para verificar e corrigir problemas de DOMAIN_INIT:

• Utilize ferramentas de diagnóstico da rede tais como as ferramentas de linha de comandos Nltest e Ping, para verificar o estado da ligação de rede entre a AC e os AD DS.

• Utilize o procedimento Confirmar permissões em contentores e objetos AD DS essenciais abaixo para confirmar se a AC tem as permissões corretas para objetos e contentores nos AD DS.

Estes procedimentos exigem que tenha permissão para gerir AC ou que lhe tenha sido delegado o nível de autoridade apropriado.

Confirmar a configuração e a disponibilidade de modelos de certificados

Para confirmar a configuração e a disponibilidade de modelos de certificados:

• Clique em Iniciar, escreva certtmpl.msc e prima ENTER.

• Selecione o modelo de certificado associado ao erro.

• Corrija todas as permissões de segurança ou outros problemas de configuração que possam impedir uma AC de emitir certificados baseados no modelo de certificado e clique em OK.

• Abra o snap-in da Autoridade de Certificação e faça duplo clique no nome da AC.

• Clique com o botão direito do rato em Modelos de Certificados, clique em Novo e clique em Modelo de Certificado a Emitir.

• Selecione o modelo de certificado e clique em OK.

Confirmar permissões em contentores e objetos AD DS essenciais

Para confirmar se a AC tem as permissões necessárias em contentores e objetos AD DS dentro destes contentores:

• Num controlador de domínio, clique em Iniciar, aponte para Ferramentas Administrativas e clique em Serviços e Locais do Active Directory.

• Clique em [nomedomínio] Serviços e Locais do Active Directory.

• No menu Ver, clique em Mostrar nó "Serviços".

• Faça duplo clique em Serviços, duplo clique em Serviços de Chave Pública e clique com o botão direito do rato em cada contentor listado abaixo ou nos objetos listados dentro do contentor e clique em Propriedades. 

• No separador Segurança, confirme as permissões necessárias.

Seguem-se todas as permissões do Active Directory necessárias para um computador que aloja uma AC. Para ter algumas destas permissões é necessário ser membro do grupo de Editores de Certificados.

• Contentor de Serviços de Inscrição. O computador da AC tem acesso de Leitura e Escrita ao seu próprio objeto.

• Contentor AIA. O grupo de Editores de Certificados tem acesso Controlo Total no contentor AIA e o computador da AC tem acesso Controlo Total no seu próprio objeto dentro do contentor AIA.

• Contentor CDP. O grupo de Editores de Certificados tem acesso Controlo Total no contentor de cada AC, no contentor CDP, e o computador da AC tem acesso Controlo Total em cada objeto de lista de revogação de certificados (CRL) no seu próprio contentor.

• Contentor de Autoridades de Certificação. O grupo de Editores de Certificados tem acesso Controlo Total nos objetos dentro deste contentor.

• Contentor de Modelos dos Certificados. Os grupos Admins da empresa e Admins do domínio (não o computador da AC) têm acesso Controlo Total ou acesso de Leitura e Escrita a este contentor e à maioria dos objetos que este contém.

• Contentor KRA. O computador da AC tem acesso Controlo Total no seu próprio objeto. 

• Contentor OID. Os grupos Admins da empresa e Admins do domínio, não o computador da AC, têm acesso Controlo Total ou acesso de Leitura e Escrita a este contentor e aos contentores e objetos que este contém.

• Objeto NTAuthCertificates. Os grupos Admins da empresa e Admins do domínio (não o computador da AC) têm acesso Controlo Total ou acesso de Leitura e Escrita.

• Contentores de Computadores de Domínio e Utilizadores de Domínios. O grupo de Editores de Certificados tem permissões de Leitura e Escrita na propriedade userCertificate de cada objeto de utilizador e de cada objeto de computador na floresta onde os AD CS são implementados.

Adicional

Para confirmar se o módulo de política está operacional:

• No computador que aloja a AC, clique em Iniciar, aponte para Ferramentas Administrativas e clique em Serviços.

• Clique com o botão direito do rato no serviço Serviços de Certificados do Active Directory (AD CS) e clique em Reiniciar.

• Abra o registo de eventos e certifique-se de que não contém erros relacionados com o módulo da política.

Os erros relacionados com o módulo da política são:

• Evento 9: Origem: Microsoft-Windows-CertificationAuthority. “Os Serviços de Certificados do active Directory não iniciaram: Não é possível carregar um módulo de política.”

• Evento 43: Microsoft-Windows-CertificationAuthority. "O método "%1" do módulo de política "%2" provocou uma exceção no endereço %4. O código de exceção é %3."

• Evento 44: Microsoft-Windows-CertificationAuthority. "O método "%1" do módulo de política "%2" apresentou um erro. %5 O código de estado apresentado é %3. %4"

• Evento 77: Microsoft-Windows-CertificationAuthority. "O módulo de política "%1" registou o seguinte aviso: %2"

• Evento 78: Microsoft-Windows-CertificationAuthority. "O módulo de política "%1" registou o seguinte erro: %2"