avril 2020 – Page 5 – Uwe Gradenegger

La demande d'un certificat via le Certificate Enrollment Web Service (CES) échoue avec le code d'erreur "ERROR_WINHTTP_INVALID_CA".

Supposons le scénario suivant :

On essaie de demander un certificat via un Certificate Enrollment Web Service (CEP) d'une autorité de certification intégrée à Active Directory (Enterprise Certification Authority).
L'opération échoue avec le message d'erreur suivant :

Die Zertifizierungsstelle ist ungültig oder fehlerhaft. 0x80072f0d (WinHttp: 12045 ERROR_WINHTTP_SECURE_INVALID_CA)

Continuer la lecture

La demande d'un certificat via le Certificate Enrollment Web Service (CES) échoue avec le code d'erreur "WS_E_OPERATION_TIMED_OUT".

Supposons le scénario suivant :

On essaie de demander un certificat via un Certificate Enrollment Web Service (CEP) d'une autorité de certification intégrée à Active Directory (Enterprise Certification Authority).
L'opération échoue avec le message d'erreur suivant :

Certificate Request Processor: The operation did not complete within the time allotted. 0x803d0006 (-2143485946 WS_E_OPERATION_TIMED_OUT)

Continuer la lecture

La demande d'un certificat via le service Web Certificate Enrollment Policy (CEP) échoue avec le message d'erreur „ Le modèle de certificat demandé n'est pas pris en charge par cette autorité de certification. “

Supposons le scénario suivant :

On essaie de demander un certificat via un Certificate Enrollment Policy Web Service (CEP) d'une autorité de certification intégrée à Active Directory (Enterprise Certification Authority).
L'opération échoue avec le message d'erreur suivant :

The requested certificate template is not supported by this CA.

Continuer la lecture

Activer la journalisation de débogage pour le Certificate Enrollment Policy Web Service (CEP)

Si l'on essaie de trouver une erreur dans le Certificate Enrollment Policy Web Service (CEP), il est utile d'activer le Debug Logging.

Continuer la lecture

La demande d'un certificat via le service Web Certificate Enrollment Policy (CEP) échoue avec le message d'erreur „ ERROR_WINHTTP_CONNECTION_ERROR “.“

Supposons le scénario suivant :

On essaie de demander un certificat via un Certificate Enrollment Policy Web Service (CEP) d'une autorité de certification intégrée à Active Directory (Enterprise Certification Authority).
L'opération échoue avec le message d'erreur suivant :

Fehler: Die Serververbindung wurde aufgrund eines Fehlers beendet. 0x80072efe (WinHttp:12030) ERROR_WINHTTP_CONNECTION_ERROR

Continuer la lecture

La demande d'un certificat via le Certificate Enrollment Policy Web Service (CEP) échoue avec le message d'erreur "A valid certification authority (CA) configured to issue certificates based on this template cannot be located, or the CA does not support this operation, or the CA is not trusted".

Supposons le scénario suivant :

On essaie de demander un certificat via un Certificate Enrollment Policy Web Service (CEP) d'une autorité de certification intégrée à Active Directory (Enterprise Certification Authority).
Pour ce faire, on utilise la console de gestion Microsoft (MMC), soit pour l'utilisateur connecté (certmgr.msc), soit pour l'ordinateur (certlm.msc).
Cependant, la liste des modèles de certificats disponibles au sein de la MMC est complètement vide.
Dans la liste des modèles de certificats disponibles au sein de la MMC, on peut afficher tous les modèles de certificats. Tous les modèles de certificats souhaités sont accompagnés de la mention

Cannot find Object or property.
A valid certification authority (CA) configured to issue certificates based on this template cannot be located, or the CA does not support this operation, or the CA is not trusted.

Continuer la lecture

La demande d'un certificat via le Certificate Enrollment Policy Web Service (CEP) échoue avec le message d'erreur "Error : Access was denied by the remote endpoint. 0x803d0005 -2143485947 WS_E_ENDPOINT_ACCESS_DENIED".

Supposons le scénario suivant :

Un utilisateur demande un certificat.
Une Enrollment Policy est configurée à cet effet, qui renvoie à un Certificate Enrollment Policy Web Service (CEP).
La connexion au CEP échoue et l'utilisateur reçoit le message d'erreur suivant :

Error: Access was denied by the remote endpoint. 0x803d0005 -2143485947 WS_E_ENDPOINT_ACCESS_DENIED

Continuer la lecture

La configuration des rôles pour le Certificate Enrollment Policy Web Service (CEP) échoue avec le message d'erreur "Access is denied. 0x80070005 (WIN32 : 5 ERROR_ACCESS_DENIED)".

Supposons le scénario suivant :

Une configuration des rôles pour le Certificate Enrollment Policy Web Service (CEP) est effectuée.
La configuration des rôles échoue avec le message d'erreur suivant :

CCertificateEnrollmentPolicyServerSetup::InitializeInstallDefaults: Access is denied. 0x80070005 (WIN32: 5 ERROR_ACCESS_DENIED)

Continuer la lecture

La configuration des rôles pour le service web Certificate Enrollment Policy échoue avec le message d'erreur "The argument is null or empty".

Supposons le scénario suivant :

Une configuration des rôles pour le Certificate Enrollment Policy Web Service (CEP) est effectuée à l'aide de PowersShell (Install-AdcsEnrollmentPolicyWebService).
La configuration des rôles échoue avec le message d'erreur suivant :

Cannot validate argument on parameter 'SSLCertThumbprint'. The argument is null or empty. Provide an argument that is not null or empty, and then try the command again.

Continuer la lecture

Installation d'un service web Certificate Enrollment Policy (CEP)

La procédure d'installation du Certificate Enrollment Policy Web Service (CEP) est décrite ci-dessous.

Continuer la lecture

Configurer le Certificate Enrollment Policy Web Service (CEP) pour qu'il fonctionne avec un compte de domaine

Nous décrivons ci-dessous comment configurer un Certificate Enrollment Policy Web Service (CEP) pour que le service fonctionne sous un compte de domaine.

Continuer la lecture

Configurer le Certificate Enrollment Policy Web Service (CEP) pour qu'il fonctionne avec un Group Managed Service Account (gMSA)

Pour des raisons de sécurité, il peut être préférable de faire fonctionner le CEP avec un compte de service gMSA (Group Managed Service Account) plutôt qu'avec un compte de domaine normal. Cette option présente le charmant avantage de modifier automatiquement le mot de passe du compte et d'éviter ainsi de devoir effectuer cette opération manuellement, ce qui est malheureusement trop souvent oublié.

Continuer la lecture

Utiliser l'assurance du mécanisme d'authentification (AMA) pour sécuriser la connexion des comptes administratifs

L'assurance du mécanisme d'authentification (AMA) est une fonction qui doit garantir qu'un utilisateur n'est membre d'un groupe de sécurité que s'il s'est connecté avec une méthode d'authentification forte (c'est-à-dire une carte à puce). Si l'utilisateur se connecte à l'aide d'un nom d'utilisateur et d'un mot de passe, il ne peut pas accéder aux ressources demandées.

Conçu à l'origine pour l'accès aux serveurs de fichiers, l'AMA peut toutefois être utilisé (avec quelques restrictions) pour la connexion administrative. Ainsi, il serait par exemple envisageable qu'un utilisateur soit non privilégié s'il se connecte avec un nom d'utilisateur et un mot de passe, et qu'il dispose de droits administratifs s'il se connecte avec un certificat.

Continuer la lecture

La connexion via carte à puce échoue avec le message d'erreur "Signing in with a security device isn't supported for your account".

Supposons le scénario suivant :

Un utilisateur dispose d'un Connexion par carte à puce et se connecte au domaine Active Directory avec ce certificat.
La connexion échoue. Le message d'erreur suivant est renvoyé à l'utilisateur sur son ordinateur :

Signing in with a security device isn't supported for your account. For more info, contact your administrator.

Continuer la lecture

Consulter et supprimer le cache de la politique d'inscription des certificats (Enrollment Policy Cache) pour le Certificate Enrollment Policy Web Service (CEP)

Une fois qu'une politique d'enregistrement des certificats (Enrollment Policy) a été configurée et utilisée par un participant, les résultats sont mis en cache localement (Enrollment Policy Cache).

Si l'on procède maintenant à des modifications de l'infrastructure, par exemple en publiant ou en supprimant un nouveau modèle de certificat sur une autorité de certification accessible via le Certificate Enrollment Web Service (CES), ces modifications ne sont pas immédiatement visibles pour les participants en raison de la mise en mémoire tampon.

C'est pourquoi il peut être utile, dans certaines circonstances, de consulter ou d'effacer la mémoire tampon.

Continuer la lecture