証明書サービスで Key Recovery Agent 証明書の読み込み中にエラーが発生しました。
Active Directory 証明書サービス (AD CS) では、 キーのアーカイブをサポートするため、キー回復証明書、Exchange (XCHG) 証明書、およびキーが必要となります。Key Recovery Agent 証明書の機能、XCHG 証明書、およびそれらの作成に必要な暗号化サービス プロバイダー (CSP) は、公開キー基盤にとって非常に重要です。
正しい番号の Key Recovery Agent 証明書を構成する
正しい番号の有効な Key Recovery Agent 証明書が、証明機関 (CA) で利用できることを確認します。必要な Key Recovery Agent 証明書の番号は、証明機関スナップインの [回復エージェント] タブで設定します。
この手順を実行するには、CA 管理権限を付与されているか、または適切な権限を委任されている必要があります。
Key Recovery Agent 証明書の具体的な問題を特定するには、次の手順を実行します。
CA をホストしているコンピューター上で [スタート] をクリックし、[管理ツール] をポイントし、[証明機関] をクリックします。
CA の名前を右クリックし、[プロパティ] をクリックします。
[回復エージェント] タブをクリックします。
Key Recovery Agent 証明書の [状態] 列を確認します。1 つ以上の証明書が「期限切れ」または「無効」となっている場合は、期限切れ/無効な Key Recovery Agent 証明書を削除し、新しい証明書を登録して割り当てます。
これらの証明書に問題が見つからない場合は、各証明書を .cer ファイルにエクスポートし、コマンド プロンプト ウィンドウを開いて、各ファイルに対して有効性と失効状態を確認するコマンド [certutil -verify] を各ファイルに実行し、Enter キーを押します。
あるいは、有効な Key Recovery Agent 証明書が指定した数よりも少ない場合は、[回復エージェント] タブに移動し、必要な Key Recovery Agent の数を減らします。
詳細については、『 http://go.microsoft.com/fwlink/?LinkID=95698』をご覧ください。
キーのアーカイブおよび回復が正しく動作していることを確認するには、次の手順を実行します。
CA をホストしているコンピューター上で [スタート] をクリックし、[管理ツール] をポイントし、[証明機関] をクリックします。
コンソール ツリーで、承認期間 (CA) の名前を右クリックしてから、[プロパティ] をクリックします。
[回復エージェント] タブをクリックします。
Key Recovery Agent の証明書がすべて「有効」になっていることを確認します。
証明書テンプレート コンテナー内で、暗号化証明書に、[要求処理] タブ上で構成された [サブジェクトの秘密キーをアーカイブする] オプションがあることを確認します。
この証明書テンプレートに基づいて証明書に登録するためのアクセス許可を持つ、ユーザー アカウントの証明書スナップインを開きます。
コンソール ツリーで、[個人用] を右クリックし、[すべてのタスク] をポイントし、[新しい証明書の要求] をクリックして証明書の登録ウィザードを起動します。
暗号化テンプレートに基づいて証明書に登録し、登録が正常に完了し、エラーが報告されていないことを確認します。
登録が完了したら、[証明機関] スナップインを開きます。
コンソール ツリーで、[発行した証明書] をクリックします。
発行されたばかりの証明書のエントリを探し、スナップイン表示リストに「アーカイブされたキー」列を追加します。
先ほど発行した証明書の「アーカイブされたキー」列に表示された [はい] をクリックして確認します。
Target | Microsoft.Windows.CertificateServices.CARole.2016 | ||
Category | EventCollection | ||
Enabled | True | ||
Event_ID | 83 | ||
Event Source | Microsoft-Windows-CertificationAuthority | ||
Alert Generate | True | ||
Alert Severity | Error | ||
Alert Priority | High | ||
Remotable | True | ||
Alert Message |
| ||
Event Log | Application |
ID | Module Type | TypeId | RunAs |
---|---|---|---|
DS | DataSource | Microsoft.Windows.EventProvider | Default |
Alert | WriteAction | System.Health.GenerateAlert | Default |
WriteToCertSvcEvents | WriteAction | Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher | Default |
WriteToDB | WriteAction | Microsoft.SystemCenter.CollectEvent | Default |
<Rule ID="Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.83" Enabled="true" Target="CSDisc!Microsoft.Windows.CertificateServices.CARole.2016" ConfirmDelivery="true" Remotable="true" Priority="Normal" DiscardLevel="100">
<Category>EventCollection</Category>
<DataSources>
<DataSource ID="DS" TypeID="Windows!Microsoft.Windows.EventProvider">
<ComputerName>$Target/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</ComputerName>
<LogName>Application</LogName>
<Expression>
<And>
<Expression>
<SimpleExpression>
<ValueExpression>
<XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>
</ValueExpression>
<Operator>Equal</Operator>
<ValueExpression>
<Value Type="UnsignedInteger">83</Value>
</ValueExpression>
</SimpleExpression>
</Expression>
<Expression>
<SimpleExpression>
<ValueExpression>
<XPathQuery Type="String">PublisherName</XPathQuery>
</ValueExpression>
<Operator>Equal</Operator>
<ValueExpression>
<Value Type="String">Microsoft-Windows-CertificationAuthority</Value>
</ValueExpression>
</SimpleExpression>
</Expression>
</And>
</Expression>
</DataSource>
</DataSources>
<WriteActions>
<WriteAction ID="WriteToDB" TypeID="SC!Microsoft.SystemCenter.CollectEvent"/>
<WriteAction ID="WriteToCertSvcEvents" TypeID="Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher"/>
<WriteAction ID="Alert" TypeID="Health!System.Health.GenerateAlert">
<Priority>2</Priority>
<Severity>2</Severity>
<AlertMessageId>$MPElement[Name="AlertMessageID887fa092475a4f92804af124cf8eff1c"]$</AlertMessageId>
<AlertParameters>
<AlertParameter1>$Data/EventDescription$</AlertParameter1>
</AlertParameters>
<Suppression>
<SuppressionValue>$Data/EventDisplayNumber$</SuppressionValue>
<SuppressionValue>$Data/PublisherName$</SuppressionValue>
<SuppressionValue>$Data/LoggingComputer$</SuppressionValue>
</Suppression>
</WriteAction>
</WriteActions>
</Rule>