Home
  •  

원본이 CertificationAuthority이고 ID가 66인 이벤트에 대한 수집 규칙

Microsoft.Windows.CertificateServices.CARole.6.3.CertSvcEvents.66 (Rule)

인증서 서비스가 CRL(인증서 해지 목록)을 게시하지 못했습니다.

Knowledge Base article:

요약

클라이언트에게 인증서를 신뢰할지 여부를 결정하는 데 필요한 정보를 제공하는 것은 CA(인증 기관) 및 PKI(공개 키 인프라)의 가장 중요한 보안 기능 중 하나입니다. 관리자의 경우 이는 예정된 만료 날짜에 도달하지 않은 신뢰할 수 없는 인증서를 즉시 해지하고 CRL(인증서 해지 목록)에 이 정보를 즉시 게시하는 것을 의미합니다. CRL 게시 및 가용성과 관련된 문제를 모니터링하고 해결하는 것은 PKI 보안의 중요한 기능입니다.

해결 방법

AD CS에서 인증서 해지 목록을 게시하도록 설정

이 이벤트 로그 메시지의 가능한 해결 방법은 다음과 같습니다.

이러한 절차를 수행하려면 CA 관리 권한이 있거나 적절한 권한을 위임받아야 합니다.

Active Directory CRL 배포 지점 권한 확인

Active Directory CRL 배포 지점 권한을 확인하려면:

파일 위치 CRL 배포 지점 권한 확인

파일 위치 CRL 배포 지점 권한을 확인하려면:

네트워크 연결을 확인합니다.

CA와 도메인 컨트롤러 간의 네트워크 연결에 문제가 있는지 확인하려면:

IP_address의 응답: 바이트=32 시간=3ms TTL=59

IP_address의 응답: 바이트=32 시간=20ms TTL=59

IP_address의 응답: 바이트=32 시간=3ms TTL=59

IP_address의 응답: 바이트=32 시간=6ms TTL=59 3

새 CRL 게시

인증 기관 스냅인을 사용하여 새 CRL을 게시하려면:

Certutil 명령줄 도구를 사용하여 새 CRL을 게시하려면:

crlname.crl을 CRL 파일 이름으로, CA 이름 및 CA 호스트 이름을 CA 이름 및 CA를 실행하는 호스트 이름으로, contoso 및 com을 Active Directory 도메인의 네임스페이스로 바꿉니다.

구성된 CRL 배포 지점의 유효성 확인

구성된 CRL 배포 지점의 유효성을 확인하려면:

CA에서 명령 프롬프트 창을 열고 명령 certutil -getreg ca\crlpublicationurls 명령을 실행하여 구성된 CRL 배포 지점 URL을 확인할 수도 있습니다.

추가 정보

CRL(인증서 해지 목록) 게시가 제대로 작동하는지 확인하려면 최근에 발급된 최종 엔터티(사용자 또는 컴퓨터) 인증서에 대해 다음 절차를 수행하십시오.

<cert.cer>을(를) 인증서 내보내기 마법사로 인증서를 내보내서 만든 인증서의 이름으로 바꿉니다.

Element properties:

TargetMicrosoft.Windows.CertificateServices.CARole.6.3
CategoryEventCollection
EnabledTrue
Event_ID66
Event SourceMicrosoft-Windows-CertificationAuthority
Alert GenerateTrue
Alert SeverityError
Alert PriorityHigh
RemotableTrue
Alert Message
AD CS CRL(인증서 해지 목록) 게시
이벤트 설명: {0}
Event LogApplication

Member Modules:

ID Module Type TypeId RunAs 
DS DataSource Microsoft.Windows.EventProvider Default
Alert WriteAction System.Health.GenerateAlert Default
WriteToCertSvcEvents WriteAction Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher Default
WriteToDB WriteAction Microsoft.SystemCenter.CollectEvent Default

Source Code:

<Rule ID="Microsoft.Windows.CertificateServices.CARole.6.3.CertSvcEvents.66" Enabled="onEssentialMonitoring" Target="CSDisc!Microsoft.Windows.CertificateServices.CARole.6.3" ConfirmDelivery="true" Remotable="true" Priority="Normal" DiscardLevel="100">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="DS" TypeID="Windows!Microsoft.Windows.EventProvider">

      <ComputerName>$Target/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</ComputerName>

      <LogName>Application</LogName>

      <Expression>

        <And>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="UnsignedInteger">66</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="String">PublisherName</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="String">Microsoft-Windows-CertificationAuthority</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

        </And>

      </Expression>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="WriteToDB" TypeID="SC!Microsoft.SystemCenter.CollectEvent"/>

    <WriteAction ID="WriteToCertSvcEvents" TypeID="Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher"/>

    <WriteAction ID="Alert" TypeID="Health!System.Health.GenerateAlert">

      <Priority>2</Priority>

      <Severity>2</Severity>

      <AlertMessageId>$MPElement[Name="AlertMessageID6c8002bc89f54663ab6d88ca6fbd2570"]$</AlertMessageId>

      <AlertParameters>

        <AlertParameter1>$Data/EventDescription$</AlertParameter1>

      </AlertParameters>

      <Suppression>

        <SuppressionValue>$Data/EventDisplayNumber$</SuppressionValue>

        <SuppressionValue>$Data/PublisherName$</SuppressionValue>

        <SuppressionValue>$Data/LoggingComputer$</SuppressionValue>

      </Suppression>

    </WriteAction>

  </WriteActions>

</Rule>