具有來源 OnlineResponder 和 ID 22 的事件收集規則

摘要

憑證授權單位 (CA) 的其中一個主要功能是評估用戶端的憑證要求，並且如果符合預先定義的準則，則對該用戶端發行憑證。為了成功註冊憑證，一些要素必須在提交要求前準備就緒，包括具有有效 CA 憑證的 CA；正確設定的憑證範本、用戶端帳戶和憑證要求；以及用戶端提交要求至 CA 的方式，要求必須經過驗證並安裝發行的憑證。

解決方式

修正導致憑證要求無法處理的問題

一些問題會導致憑證要求無法處理。如果事件記錄檔訊息沒有包含修正問題所需的全部資訊，則在該事件記錄檔訊息前後發出的其他錯誤和警告可協助您識別原因。 

若要識別和解決可阻止憑證要求處理的問題，您應該：

• 確認憑證授權單位 (CA) 的憑證鏈結。

• 產生和發佈新的憑證撤銷清單 (CRL)。

• 確認所設定的 CRL 發佈點。

• 如果這些步驟沒有解決問題，請檢查 CA 上失敗的要求佇列，以取得要求失敗原因的相關資訊。

若要執行下列程序，您必須擁有管理 CA 權限，或者必須已被委派適當的權限。

確認 CA 的憑證鏈結

若要驗證 CA 的鏈結:

• 按一下 [開始] 並輸入 mmc，然後按 ENTER。

• 當 [使用者帳戶控制] 對話方塊出現時，請確認其中顯示的動作即是您要執行的動作，然後按一下 [繼續]。

• 在 [檔案] 功能表上，依序按一下 [新增/移除嵌入式管理單元]、[憑證] 和 [新增]。

• 依序按一下 [電腦帳戶] 和 [下一步]。

• 選取主控 CA 的電腦，然後依序按一下 [完成] 和 [確定]。

• 選取憑證鏈結中的每個 CA 憑證，然後按一下 [檢視憑證]。

• 按一下 [詳細資料] 索引標籤，然後按一下 [複製到檔案] 以啟動 [憑證匯出精靈]。以 .cer 副檔名儲存每個憑證。

• 開啟命令提示字元並針對每個 CA 憑證執行以下命令:certutil -urlfetch -verify <CAcert.cer>，然後按 ENTER。將 <CAcert.cer> 取代為您在步驟 7 中儲存之 CA 憑證檔案的名稱。

• 針對 CA 發行的終端實體 (使用者或電腦) 憑證的憑證檔案使用相同的命令，以確認 CA 本身及其鏈結的 CRL。

• 解決命令列輸出中確認的任何問題。

產生和發行新的 CRL

如果命令列輸出指示 CA 的 CRL 已過期，則在 CA 上產生新的基本及差異 CRL，並將他們複製到要求的位置。您可能需要重新啟動離線 CA 才可以執行這項作業。

在 CA 上檢查目前發佈的 CRL。依預設，CA 會在資料夾 %windir%\System32\CertSrv\CertEnroll 中建立 CRL。如果此位置上的 CRL 目前已過期或無效，您可以使用以下程序來發佈新的 CRL。

若要使用 [憑證授權單位] 嵌入式管理單元發佈新的 CRL：

• 在主控 CA 的電腦上，按一下 [開始]，指向 [系統管理工具]，然後按一下 [憑證授權單位]。

• 選取 CA，然後在 CA 名稱底下展開資料夾。

• 在 [已撤銷的憑證] 資料夾上按一下滑鼠右鍵。

• 按一下 [所有工作]，然後按一下 [發佈]。

您也可以從命令提示字元產生和發佈 CRL。

若要使用 Certutil 命令列工具發佈 CRL：

• 在主控 CA 的電腦上，按一下 [開始]，輸入 cmd 並按 ENTER。

• 輸入 certutil -CRL 並按 ENTER。 

如果 CRL 被確認為無法使用，但 CA 上的本機目錄中存在有效的 CRL，則確認 CA 可連線至 CRL 發佈點，然後使用之前的步驟重新產生和發佈 CRL。

可使用下面的命令手動將 CRL 發佈至 Active Directory 網域服務 (AD DS)：

certutil -dspublish"<crlname.crl>" ldap:///CN=<CA 名稱>,CN=<CA 主機名稱>,CN=CDP,CN=Public Key Services,CN=Services,CN=Configuration,DC=<contoso>,DC=<com>?certificateRevocationList?base?objectClass=cRLDistributionPoint

以 CRL 檔案的名稱取代 crlname.crl，並以您的 CA 名稱和執行 CA 之主機的名稱取代 <CA 名稱> 和 <CA 主機名稱>，然後以您 Active Directory 網域的命名空間取代 <contoso> 和 <com>。

確認所設定的 CRL 發佈點

檢查所有已設定的 CRL 發佈點，以確認發佈成功，並且新的 CRL 可在網路上使用。

若要使用 [憑證授權單位] 嵌入式管理單元檢查已設定的 CRL 發佈點：

• 在主控 CA 的電腦上，按一下 [開始]，指向 [系統管理工具]，然後按一下 [憑證授權單位]。

• 在 CA 名稱上按一下滑鼠右鍵，然後按一下 [內容]。

• 按一下 [延伸] 索引標籤。

• 檢閱所設定的 CRL 發佈點，確定資訊是正確的。

若要使用 Certutil 檢查所設定的 CRL 發佈點 URL：

• 在 CA 上開啟命令提示字元視窗。 

• 輸入下列命令：certutil -getreg ca\crlpublicationurls，然後按 ENTER。

檢查 CA 上失敗的要求佇列

若要使用 [憑證授權單位] 嵌入式管理單元檢查 CA 上失敗的要求佇列:

• 在主控 CA 的電腦上，按一下 [開始]，指向 [系統管理工具]，然後按一下 [憑證授權單位]。

• 按一下 [失敗的要求] 資料夾。

• 尋找出現事件時或接近的時間內提交的失敗要求，並檢查 [要求整理訊息]、[要求狀態碼] 和 [要求者名稱] 等欄位，以取得其他診斷資訊。

若要使用 Certutil 檢查失敗的要求：

• 在主控 CA 的電腦上，按一下 [開始]，鍵入 cmd 並按 ENTER。

• 鍵入 certutil -view LogFail 並按 ENTER。

• 鍵入 certutil -view -restrict requestID="<nnn>"，然後按 ENTER。將 <nnn> 取代為 LogFail 命令輸出中其中一個失敗要求的要求 ID。

其他

若要確認憑證要求處理是否正確運作：

• 按一下 [開始] 並輸入 certmgr.msc，然後按 ENTER。

• 當 [使用者帳戶控制] 對話方塊出現時，請確認其中顯示的動作即是您要執行的動作，然後按一下 [繼續]。

• 在主控台樹狀目錄中，按兩下 [個人]，然後按一下 [憑證]。

• 在 [動作] 功能表上，指向 [所有工作]，然後按一下 [要求新憑證] 以啟動 [憑證註冊精靈]。 

• 針對任何類型的可用憑證使用精靈來建立和提交憑證要求。

• 在 [憑證安裝結果] 底下，確認註冊成功完成，並且沒有報告任何錯誤。您也可以按一下 [詳細資料] 以檢視憑證的其他資訊。