A CertificationAuthority forrással rendelkező és 79-es azonosítójú esemény gyűjtési szabálya

Összefoglalás

A hitelesítésszolgáltatók egyik fő feladata az ügyfelektől érkező tanúsítványkérelmek értékelése, és ha azok megfelelnek az előre meghatározott feltételeknek, a tanúsítványok kiállítása az ügyfeleknek. A tanúsítványigénylés sikerességéhez számos elemnek jelen kell lennie a kérés elküldése előtt, beleértve az érvényes hitelesítésszolgáltatói tanúsítvánnyal rendelkező hitelesítésszolgáltatót; a megfelelően konfigurált tanúsítványsablonokat, ügyfélfiókokat és tanúsítványkérelmeket; és módot a kérés az ügyfél által a hitelesítésszolgáltatónak történő elküldésére, érvényesítésére és a kiállított tanúsítvány telepítésére.

Megoldások

Végfelhasználói tanúsítvány közzétételének engedélyezése

Tanúsítványok közzétételéhez hálózati kapcsolatra és hálózati engedélyekre van szükség. A probléma megoldása:

• Ellenőrizze, hogy rendelkezik-e hálózati kapcsolattal az ügyfél és a hitelesítésszolgáltató között.

• Ellenőrizze, hogy a hitelesítésszolgáltató rendelkezik-e olvasási és írási engedélyekkel a tanúsítványt kérő entitás felhasználója vagy számítógépes objektuma userCertificate attribútumán.

• Ha több mint egy tartománnyal vagy kétszintű (szülő/gyermek) tartományhierarchiával rendelkezik, az egyik tartományban található („A” tartomány) Tanúsítványközzétevők csoport számára olvasási és írási engedélyt kell biztosítania a másik tartományban található userCertificate attribútumhoz („B” tartomány). Ehhez kövesse a „Tartományok közötti engedélyek hibáinak kijavítása” szakaszban leírt eljárást.

• Tegye közzé a tanúsítványt.

A műveleteket akkor hajthatja végre, ha rendelkezik hitelesítésszolgáltató-kezelési engedéllyel, vagy delegálás útján megkapta a megfelelő jogosultságokat.

Hálózati kapcsolat ellenőrzése az ügyfél és a hitelesítésszolgáltató között

Az ügyfél és a hitelesítésszolgáltató közötti kapcsolat ellenőrzéséhez hajtsa végre a következő műveleteket:

• Az ügyfélszámítógépen kattintson a Start gombra, írja be a cmd parancsot, majd nyomja le az ENTER billentyűt.

• Írja be a ping <kiszolgáló_FQDN_neve> parancsot, amelyben a <kiszolgáló_FQDN_neve> a hitelesítésszolgáltató teljes tartományneve (például kiszolgáló1.contoso.com), majd nyomja le az ENTER billentyűt.

• Ha a pingelés sikeres volt, a következőhöz hasonló választ kap:

Válasz IP_cím: bájt=32 idő=3 ezredmp. TTL=59

Válasz IP_cím: bájt=32 idő=20 ezredmp. TTL=59

Válasz IP_cím: bájt=32 idő=3 ezredmp. TTL=59

Válasz IP_cím: bájt=32 idő=6 ezredmp. TTL=59 3

• Írja be a parancssorba a ping <IP-cím> parancsot, amelyben az <IP-cím> a hitelesítésszolgáltató IP-címe, majd nyomja le az ENTER billentyűt.

• Ha sikerül csatlakoznia a hitelesítésszolgáltatóhoz az IP-cím használatával, a teljes tartománynév használatával azonban nem, az a DNS-gazdanév feloldásával kapcsolatos problémára utalhat. Ha nem sikerül csatlakoznia a hitelesítésszolgáltatóhoz az IP-cím használatával, az a hálózati kapcsolat, a tűzfal-konfiguráció vagy az IPsec-konfiguráció hibájára utalhat.

Annak ellenőrzése, hogy a hitelesítésszolgáltató rendelkezik a szükséges engedélyekkel a tartományi számítógépek és a tartományi felhasználók tárolóira vonatkozóan:

• Kattintson a Start menü Felügyeleti eszközök pontjára, majd kattintson az Active Directory – helyek és szolgáltatások lehetőségre.

• A Nézet menüben kattintson a Szolgáltatások megjelenítése lehetőségre.

• Kattintson duplán a Szolgáltatások lehetőségre, majd a Nyilvánoskulcs-szolgáltatások lehetőségre, kattintson a jobb gombbal a Tartományi számítógépek lehetőségre, és kattintson a Tulajdonságok elemre.

• A Biztonság lapon győződjön meg arról, hogy a Tanúsítványközzétevők csoport rendelkezik olvasási és írási engedélyekkel.

• Kattintson a jobb gombbal a Tartományi felhasználók lehetőségre, majd kattintson a Tulajdonságok elemre.

• A Biztonság lapon győződjön meg arról, hogy a Tanúsítványközzétevők csoport rendelkezik olvasási és írási engedélyekkel.

Tartományok közötti engedélyek hibáinak kijavítása

Az engedélyek beállításához a Dsacls eszköz használatával hajtsa végre a következő műveleteket:

• Kattintson a Start gombra, írja be a cmd parancsot, nyomja le az ENTER billentyűt, majd futtassa a következő parancsokat:

• dsacls "dc=<Btartomány>,dc=<contoso>,dc=<com>" /I:S /G "<Atartomány>\Cert Publishers":RP;userCertificate,user

• dsacls "dc=<Btartomány>,dc=<contoso>,dc=<com>" /I:S /G "<Atartomány>\Cert Publishers":WP;userCertificate,user

• dsacls "cn=<adminsdholder>,cn=system,dc=<contoso>,dc=<com>" /I:S /G  \Cert Publishers":RP;userCertificate,user

• dsacls "cn=<adminsdholder>,cn=system,dc=<Btartomány>,dc=<contoso>,dc=<com>" /I:S /G "<Atartomány>\Cert Publishers":WP;userCertificate,user

• A példában szereplő tartománynevek és <com> helyőrző helyett a megfelelő szervezeti neveket használja.

• További információt a Microsoft Tudásbázis 281271. számú cikke tartalmaz ( http://go.microsoft.com/fwlink/?LinkID=95695).

Tanúsítvány közzététele

Egy tanúsítvány közzétételéhez hajtsa végre a következő műveleteket:

• A hitelesítésszolgáltatót üzemeltető számítógépen kattintson a Start gombra, írja be a cmd parancsot, majd nyomja le az ENTER billentyűt.

• Írja be a ping <ipcím> parancsot, amelyben az <ipcím> a tartományvezérlő IP-címe, majd nyomja le az ENTER billentyűt a hálózati kapcsolat ellenőrzéséhez. Ha nem rendelkezik hálózati kapcsolattal, oldja meg a problémát, és próbálkozzon újra.

• Írja be a parancssorba a certutil -dspublish <tanúsítvány.cer> ldap:///<eseménynapló-üzenetben megadott hálózati hely> parancsot, majd nyomja meg az ENTER billentyűt. A <tanúsítvány.cer> a Tanúsítványexportáló varázslóval exportált tanúsítványfájl.

• Ha rendelkezik kapcsolattal, de továbbra sem tudja közzétenni a tanúsítványt, az Active Directory – felhasználók és számítógépek segítségével ellenőrizze, hogy a hitelesítésszolgáltatót üzemeltető számítógép rendelkezik-e olvasási és írási engedélyekkel a felhasználó vagy számítógépes objektum userCertificate attribútumához. (Ehhez általában tagság szükséges a Tanúsítványközzétevők csoportban).

További tudnivalók

A tanúsítványkérelem-feldolgozás megfelelő működésének ellenőrzése:

• Kattintson a Start gombra, írja be a certmgr.msc parancsot, majd nyomja le az ENTER billentyűt.

• Ha megjelenik a Felhasználói fiókok felügyelete párbeszédpanel, erősítse meg, hogy valóban az abban megjelenített műveletet szeretné végrehajtani, majd kattintson a Folytatás gombra.

• A konzolfán kattintson duplán a Személyes elemre, majd kattintson a Tanúsítványok elemre.

• A Tanúsítvány igénylése varázsló elindításához a Művelet menüben mutasson a Minden feladat menüpontra, majd kattintson az Új tanúsítvány kérése lehetőségre. 

• A varázsló segítségével hozzon létre és küldjön el egy tanúsítványkérést bármilyen típusú elérhető tanúsítványra vonatkozóan.

• A Tanúsítványtelepítési eredmények részben ellenőrizze, hogy az igénylés sikeresen befejeződik-e és nincs-e jelentett hiba. A tanúsítvánnyal kapcsolatos további információkat a Részletek gombra kattintva is megtekintheti.