Die Beantragung eines Zertifikats schlägt fehl mit Fehlermeldung "Bad Data. 0x80090005 (-2146893819 NTE_BAD_DATA)."

Folgendes Szenario angenommen:

• Ein Benutzer sendet eine Zertifikatanforderung an eine Zertifizierungsstelle.
• Die Beantragung des Zertifikats schlägt mit folgender Fehlermeldung fehl:

Bad Data. 0x80090005 (-2146893819 NTE_BAD_DATA).
Denied by Policy Module.

Die Zertifizierungsstelle wird das Ereignis Nr. 53 mit gleichem Fehlercode protokollieren. Im gleichen Zusammenhang können auch die Ereignisse Nr. 86, 88 und 130 auftreten.

Active Directory Certificate Services denied request 12345 because Bad Data. 0x80090005 (-2146893819 NTE_BAD_DATA). The request was for CN=Rudi Ratlos. Additional information: Error Constructing or Publishing Certificate Resubmitted by INTRA\Administrator

In einigen Fällen wird die Zertifizierungsstelle kein Ereignis protokollieren. Etwa bei einer Offline-Zertifizierungsstelle bei Einreichung der Zertifikatanforderung über die Zertifizierungsstellen-MMC wurde dieses Verhalten beobachtet.

Auch eine Zertifikatbeantragung über VMware AirWatch/Workspace One liefert den gleichen Fehlercode:

COMException while submitting enroll request: Bad Data. (Exception from HRESULT: 0x80090005)

Nebeneffekt: Ebenfalls keine Ausstellung von Sperrlisten mehr möglich

Auch das Ausstellen von Zertifikatsperrlisten auf der Zertifizierungsstelle ist höchstwahrscheinlich ebenfalls nicht mehr möglich.

Wenn durch die Zertifizierungsstelle keine Sperrlisten mehr ausgestellt werden können, droht ein akuter Ausfall der PKI, da bei Ablauf der vorigen Zertifikatsperrliste auch bereits ausgestellte Zertifikate nicht mehr auf ihre Gültigkeit überprüft werden können. Das Problem sollte daher priorisiert behandelt werden oder auf Notfall-Sperrlisten zurückgegriffen werden.

Ursache

Im vorliegenden Fall wurde ein SafeNet Hardware Security Modul (HSM) verwendet.

Der Fehler kann unter Anderem auftreten,

• wenn die Netzwerkverbindung zum Hardware Security Modul unterbrochen wurde und nicht auf den privaten Schlüssel zugegriffen werden kann.
• wenn die Berechtigungen auf dem Slot des HSM nicht mehr stimmen.
• das Passwort für den Slot bzw. die Partition geändert und auf der Zertifizierungsstelle nicht neu eingetragen wurde.

Siehe hierzu auch die LunaKSP.log im Betriebssystemverzeichnis:

ERROR, No registered slots/partitions were found for the user NETWORK SERVICE@NT AUTHORITY!!

Ebenso, sofern aktiviert, das HA Log. Die Schlüsselwörter lauten:

• dropped
• offline
• unable to reach member

Lösung

In den meisten Fällen wird ein Neustart des Zertifizierungsstellen-Dienstes ausreichen.

Ein Neustart des Zertifizierungsstellendienstes schlägt unter Umständen mit Fehlercode RPC_S_DUPLICATE_ENDPOINT fehl, wenn keine ausreichende Wartezeit zwischen Stop und Start des Dienstes eingehalten wird.

Unter Umständen wird es nicht reichen, nur den Zertifizierungsstellen-Dienst neu zu starten, sondern es muss der ganze Server neu gestartet werden.