Home
  •  

Verzamelingsregel voor gebeurtenis met als bron certificeringsinstantie en id 21

Microsoft.Windows.CertificateServices.CARole.6.2.CertSvcEvents.21 (Rule)

Certificate Services kan een aanvraag niet verwerken.

Knowledge Base article:

Samenvatting

Een van de belangrijkste functies van een certificeringsinstantie (CA) is het evalueren van certificaataanvragen van clients en, als wordt voldaan aan vooraf gedefinieerde criteria, het verlenen van certificaten aan die clients. Om de certificaatinschrijving te voltooien moet een aantal elementen zijn geïmplementeerd voordat de aanvraag kan worden ingediend, inclusief een CA met een geldig CA-certificaat; op de juiste manier geconfigureerde certificaatsjablonen, clientaccounts en certificaataanvragen; en een manier voor de client om de aanvraag bij de CA in te dienen, de aanvraag te laten valideren en het verleende certificaat te installeren.

Oplossingen

Problemen verhelpen die verhinderen dat certificaataanvragen worden verwerkt

Een aantal problemen kan verhinderen dat een certificaataanvraag wordt verwerkt. Als het gebeurtenislogboekbericht niet alle gegevens bevat die u nodig hebt om het probleem te verhelpen, kunt u de oorzaak van het probleem mogelijk ook achterhalen door andere fouten of waarschuwingen te bekijken die direct vooraf gaan aan of volgen op dit bericht. 

Als u problemen wilt opsporen en oplossen die de verwerking van certificaataanvragen blokkeert, moet u:

U moet de machtiging CA beheren hebben of aan u moet de juiste bevoegdheid zijn gedelegeerd om de volgende procedures te kunnen uitvoeren.

Controleer de certificaatketen voor de CA

Ga als volgt te werk om de keten voor de CA te valideren:

Nieuwe CRL's genereren en publiceren

Als de uitvoer van de opdrachtregel aangeeft dat een CRL voor een CA is verlopen, genereert u nieuwe basis- en delta-CRL's voor de CA en kopieert u ze naar de vereiste locaties. Mogelijk moet u een CA die offline is, opnieuw starten om deze bewerking te kunnen uitvoeren.

Controleer op de CA de huidige gepubliceerde CRL. Standaard maakt de CA CRL's in de map %windir%\System32\CertSrv\CertEnroll. Als de CRL's die momenteel op deze locatie staan, zijn verlopen of ongeldig zijn, kunt u de volgende procedure gebruiken om een nieuwe CRL te publiceren.

Ga als volgt te werk om een nieuwe CRL te publiceren met de module Certificeringsinstantie:

U kunt CRL's ook genereren en publiceren vanaf de opdrachtprompt.

Ga als volgt te werk om een certificaatintrekkingslijst te publiceren met het opdrachtregelhulpprogramma Certutil:

Als wordt vastgesteld dat een CRL niet beschikbaar is, maar dat er een geldige CRL bestaat in de lokale map van de CA, moet u controleren of de CA verbinding kan maken met het CRL-distributiepunt en vervolgens de voorgaande stappen nemen om opnieuw CRL's te genereren en te publiceren.

CRL's kunnen handmatig naar Active Directory Domain Services (AD DS) worden gepubliceerd met de volgende opdracht:

certutil -dspublish"<crlname.crl>" ldap:///CN=<CA name>,CN=<CA hostname>,CN=CDP,CN=Public Key Services,CN=Services,CN=Configuration,DC=<contoso>,DC=<com>?certificateRevocationList?base?objectClass=cRLDistributionPoint

Vervang crlname.crl door de naam van uw CRL-bestand, <CA name> en <CA hostname> door uw CA-naam en de naam van de host waarop die CA wordt uitgevoerd, en <contoso> en <com> door de naamruimte van uw Active Directory-domein.

Geconfigureerde CRL-distributiepunten controleren

Controleer alle geconfigureerde CRL-distributiepunten om vast te stellen of de publicatie is voltooid en of er nieuwe CRL's beschikbaar zijn op het netwerk.

Ga als volgt te werk om de geconfigureerde CRL-distributiepunten te controleren met de module Certificeringsinstantie:

Ga als volgt te werk om de URL's van de geconfigureerde CRL-distributiepunten te controleren met Certutil:

Controleer de wachtrij met mislukte aanvragen op de CA

Ga als volgt te werk om de wachtrij met mislukte aanvragen op de CA te controleren met de module Certificeringsinstantie:

Controleer als volgt mislukte aanvragen met Certutil:

Aanvullend

Controleer als volgt of de verwerking van de certificaataanvraag goed functioneert:

Element properties:

TargetMicrosoft.Windows.CertificateServices.CARole.6.2
CategoryEventCollection
EnabledTrue
Event_ID21
Event SourceMicrosoft-Windows-CertificationAuthority
Alert GenerateTrue
Alert SeverityError
Alert PriorityHigh
RemotableTrue
Alert Message
AD CS: verwerking van certificaataanvraag (inschrijving)
Beschrijving van gebeurtenis: {0}
Event LogApplication

Member Modules:

ID Module Type TypeId RunAs 
DS DataSource Microsoft.Windows.EventProvider Default
Alert WriteAction System.Health.GenerateAlert Default
WriteToCertSvcEvents WriteAction Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher Default
WriteToDB WriteAction Microsoft.SystemCenter.CollectEvent Default

Source Code:

<Rule ID="Microsoft.Windows.CertificateServices.CARole.6.2.CertSvcEvents.21" Enabled="onEssentialMonitoring" Target="CSDisc!Microsoft.Windows.CertificateServices.CARole.6.2" ConfirmDelivery="true" Remotable="true" Priority="Normal" DiscardLevel="100">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="DS" TypeID="Windows!Microsoft.Windows.EventProvider">

      <ComputerName>$Target/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</ComputerName>

      <LogName>Application</LogName>

      <Expression>

        <And>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="UnsignedInteger">21</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="String">PublisherName</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="String">Microsoft-Windows-CertificationAuthority</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

        </And>

      </Expression>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="WriteToDB" TypeID="SC!Microsoft.SystemCenter.CollectEvent"/>

    <WriteAction ID="WriteToCertSvcEvents" TypeID="Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher"/>

    <WriteAction ID="Alert" TypeID="Health!System.Health.GenerateAlert">

      <Priority>2</Priority>

      <Severity>2</Severity>

      <AlertMessageId>$MPElement[Name="AlertMessageID42b3cc830b884161b292de001ad930e4"]$</AlertMessageId>

      <AlertParameters>

        <AlertParameter1>$Data/EventDescription$</AlertParameter1>

      </AlertParameters>

      <Suppression>

        <SuppressionValue>$Data/EventDisplayNumber$</SuppressionValue>

        <SuppressionValue>$Data/PublisherName$</SuppressionValue>

        <SuppressionValue>$Data/LoggingComputer$</SuppressionValue>

      </Suppression>

    </WriteAction>

  </WriteActions>

</Rule>