Details zum Ereignis mit ID 80 der Quelle Microsoft-Windows-CertificationAuthority

Ereignisquelle:	Microsoft-Windows-CertificationAuthority
Ereignis-ID:	80 (0x50)
Ereignisprotokoll:	Application
Ereignistyp:	Warnung
Symbolischer Name:	MSG_E_CERT_PUBLICATION_HOST_NAME
Ereignistext (englisch):	Active Directory Certificate Services could not publish a Certificate for request %1 to the following location on server %4: %2. %3.%5%6
Ereignistext (deutsch):	Die Zertifikatanforderung %1 konnte nicht in folgendem Pfad auf dem Server "%4" veröffentlicht werden: %2. %3.%5%6

Parameter

Die im Ereignistext enthaltenen Parameter werden mit folgenden Feldern befüllt:

%1: RequestId (win:UnicodeString)
%2: DN (win:UnicodeString)
%3: ErrorMessageText (win:UnicodeString)
%4: HostName (win:UnicodeString)
%5: param5 (win:UnicodeString)
%6: AdditionalErrorMessage (win:UnicodeString)

Beispiel-Ereignisse

Active Directory Certificate Services could not publish a Certificate for request 2357 to the following location on server DC01.intra.adcslabor.de: CN=NDES01,OU=Servers,OU=ADCS Labor Computers,DC=intra,DC=adcslabor,DC=de.  The Active Directory JET database page size limit for this request was exceeded. 0x800721d3 (WIN32: 8659).
ldap: 0x1: LDAP_OPERATIONS_ERROR: 000021D3: SvcErr: DSID-02030624, problem 5005 (UNABLE_TO_PROCEED), data 0

Active Directory Certificate Services could not publish a Certificate for request 12745 to the following location on server DC01.intra.adcslabor.de: CN=rudi,OU=ADCS Labor Benutzer,DC=intra,DC=adcslabor,DC=de.  Insufficient access rights to perform the operation. 0x80072098 (WIN32: 8344 ERROR_DS_INSUFF_ACCESS_RIGHTS).
 ldap: 0x32: 00002098: SecErr: DSID-03150F93, problem 4003 (INSUFF_ACCESS_RIGHTS), data 0

Active Directory Certificate Services could not publish a certificate for request 12345 to the following location on server DC01.intra.adcslabor.de: CN=CLIENT4,CN=Computers,DC=intra,DC=adcslabor,DC=de.  Directory object not found. 0x8007208d (WIN32: 8333 ERROR_DS_OBJ_NOT_FOUND)
 ldap: 0x20: 0000208D: NameErr: DSID-03100213, problem 2001 (NO_OBJECT), data 0, best match of: 'CN=Computers,DC=intra,DC=adcslabor,DC=de'

Beschreibung

Kennen Sie TameMyCerts? TameMyCerts ist ein Add-On für die Microsoft Zertifizierungsstelle (Active Directory Certificate Services). Es erweitert die Funktion der Zertifizierungsstelle und ermöglicht die Anwendung von Regelwerken, um die sichere Automatisierung von Zertifikat-Ausstellungen zu realisieren. TameMyCerts ist einzigartig im Microsoft-Ökosystem, hat sich bereits in unzähligen Unternehmen auf der ganzen Welt bewährt und steht unter einer freien Lizenz. Es kann über GitHub heruntergeladen und kostenlos verwendet werden. Professionelle Wartung wird ebenfalls angeboten.

Insufficient access rights to perform the operation. 0x80072098 (WIN32: 8344 ERROR_DS_INSUFF_ACCESS_RIGHTS).

Tritt auf, wenn die Option "Publish certificate in Active Directory" in einer Zertifikatvorlage konfiguriert ist (etwa bei einer Zertifikatvorlage für S/MIME), die Zertifizierungsstelle aber keine Berechtigung auf das entsprechende Objekt hat, um das Zertifikat (in das UserCertificate Attribut des Benutzerkontos) zu schreiben.

In der Standardkonfiguration erhät die Zertifizierungsstelle diese Berechtigung über die Mitgliedschaft in der Gruppe "Cert Publishers".

Directory Object not found. 0x8007208d (WIN32: 8333 ERROR_DS_OBJ_NOT_FOUND).

Hierzu wurde noch keine Beschreibung verfasst.

The Active Directory JET database page size limit for this request was exceeded. 0x800721d3 (WIN32: 8659).

Dieses Ereignis kann auftreten, wenn ein Registrierungsdienst für Netzwerkgeräte (Network Device Enrollment Service, NDES) eingesetzt wird und die Option "Publish certificates in Active Directory" auf der von NDES verwendeten Zertifikatvorlage aktiviert ist.

Wichtig bei NDES ist zu verstehen, dass alle Zertifikatanträge die durch NDES ausgeführt werden im Sicherheitskontext des NDES-Dienstkontos zur Zertifizierungsstelle eingereicht werden. Entsprechend ist dieses Konto für die Zertifizierungsstelle immer der Antragsteller.

Wenn nun in der von NDES verwendeten Zertifikatvorlage die Option "Publish certificates in Active Directory" aktiviert ist, wird die Zertifizierungsstelle jedes durch dieses Konto beantragte Zertifikat in das userCertificate Attribut des NDES-Dienstkontos schreiben.

Das klappt unabhängig davon, ob NDES mit dem Integrierten IIS-Anwendungspool (dann wird das Computerkonto verwendet), als Domänenkonto, oder als Group managed Service Account (gMSA) konfiguriert ist. All diese Kontotypen gehören zur "user" Objektklasse.

Dumm nur: Nicht verknüpfte, mehrwertige Attribute können maximal in etwa 1200 Objekte speichern. Wie viele Einträge das userCertificate Attribut des NDES-Dienstkontos hat, kann man mit diesem Befehl überprüfen:

(Get-ADObject -Identity "CN=NDES01,OU=Servers,OU=ADCS Labor Computers,DC=intra,DC=adcslabor,DC=de" -Properties userCertificate).userCertificate.count

Ist also die Option "Publish certificates in Active Directory" aktiviert, läuft uns im Lauf der Zeit das "userCertificate" Attribut voll, bis es zu besagtem Fehler kommt.

Die Lösung ist entsprechend, das userCertificate-Attribut für das NDES-Dienstkonto freizuräumen, und die Option "Publish certificates in Active Directory" in der Zertifikatvorlage für die NDES-Geräte abzuwählen.

Get-ADObject -Identity "CN=NDES01,OU=Servers,OU=ADCS Labor Computers,DC=intra,DC=adcslabor,DC=de" | Set-ADObject -Clear userCertificate

Sicherheitsbewertung

Die Sicherheitsbetrachtung richtet sich nach den drei Dimensionen Vertraulichkeit (Confidentiality), Integrität (Integrity) und Verfügbarkeit (Availability).

Hierzu wurde noch keine Beschreibung verfasst.

Bewertung durch Microsoft

Microsoft bewertet dieses Ereignis im Securing Public Key Infrastructure (PKI) Whitepaper mit einem Schweregrad von "Niedrig".

Weiterführende Links:

Externe Quellen

Event ID 80 – AD CS Certificate Request (Enrollment) Processing (Microsoft)
Securing Public Key Infrastructure (PKI) (Microsoft)