Die Beantragung von Remotedesktop-Zertifikaten schlägt fehl mit Fehlermeldung "The permissions on the certificate template do not allow the current user to enroll for this type of certificate."

Folgendes Szenario angenommen:

• Maschinen sind per Gruppenrichtlinie konfiguriert, Zertifikate für den Remotedesktop-Sitzungshost zu beantragen.
• Die Zertifikate werden jedoch nicht beantragt.
• Im Ereignisprotokoll der betroffenen System wird das Ereignis mit ID 1064 der Quelle Terminalservices-RemoteConnectionManager protokolliert:

The RD Session Host server cannot install a new template-based certificate to be used for Transport Layer Security (TLS) 1.0\Secure Sockets Layer (SSL) authentication and encryption. The following error occurred: The permissions on the certificate template do not allow the current user to enroll for this type of certificate.

Ursache und Lösung

Tritt auf, wenn die Clients keine "Enroll" Berechtigung auf der per Gruppenrichtlinie konfigurierten Zertifikatvorlage besitzen.

Die Computerobjekte der Clients benötigen die "Enroll" Berechtigung auf der in der Gruppenrichtlinie konfigurierten Zertifikatvorlage.

Es wird empfohlen, für Remotedesktop-Zertifikate mit Autoenrollment zu arbeiten und nicht über die Zertifikatbeantragung durch dem Remotedesktop-Sitzungshost. Für weitere Details siehe Artikel "Konfigurieren einer Zertifikatvorlage für Remotedesktop (RDP) Zertifikate".

Weiterführende Links:

• Fehlersuche für die automatische Zertifikatbeantragung (Autoenrollment) via RPC/DCOM

Externe Quellen

• RDP TLS Certificate Deployment Using GPO (Carlos Perez)