Aucun certificat n'est demandé via l'inscription automatique lorsqu'un utilisateur est connecté via un réseau privé virtuel (VPN)

Supposons le scénario suivant :

Un utilisateur travaille à distance via un réseau privé virtuel (VPN)
En principe, un certificat devrait être demandé via l'inscription automatique, mais cela n'est pas le cas.
Un test de connexion (certutil -ping) à l'autorité de certification génère le message d'erreur suivant :

Server could not be reached: The RPC server is unavailable. 0x800706ba (WIN32: 1722 RPC_S_SERVER_UNAVAILABLE) -- (31ms)

CertUtil: -ping command FAILED: 0x800706ba (WIN32: 1722 RPC_S_SERVER_UNAVAILABLE)
CertUtil: The RPC server is unavailable.

Une description détaillée du fonctionnement de la demande de certificat manuelle et automatique auprès d'une autorité de certification intégrée à Active Directory est disponible dans l'article „Bases de la demande manuelle et automatique de certificats via Lightweight Directory Access Protocol (LDAP) et Remote Procedure Call / Distributed Common Object Model (RPC/DCOM)„ .

Exemple d'une commande certutil correspondante :

certutil ^
-config "ca02.intra.adcslabor.de\ADCS Labor Issuing CA 1" ^
-ping

Cause

Connaissez-vous TameMyCerts? TameMyCerts est un add-on pour l'autorité de certification Microsoft (Active Directory Certificate Services). Il étend la fonction de l'autorité de certification et permet de Application de la réglementationIl s'agit d'un logiciel de gestion des certificats qui permet d'automatiser l'émission de certificats en toute sécurité. TameMyCerts est unique dans l'écosystème Microsoft, a déjà fait ses preuves dans d'innombrables entreprises du monde entier et est disponible sous une licence libre. Il peut téléchargé via GitHub et être utilisé gratuitement. Une maintenance professionnelle est également proposée.

Dans le cas présent, l'utilisateur a modifié son mot de passe Active Directory et a continué à se connecter à son ordinateur avec l'ancien mot de passe. La connexion VPN n'a été établie qu'après la connexion à Windows, de sorte que les données de connexion n'ont jamais été mises à jour dans Active Directory.

Certutil signale à tort que la connexion à l'autorité de certification n'a pas pu être établie, alors qu'il s'agissait en réalité d'une erreur d'authentification.

Le verrouillage du bureau, puis son déverrouillage à l'aide du mot de passe actuel alors que la connexion VPN était établie a permis de résoudre le problème.

Pour une description détaillée des causes pouvant entraîner le code d'erreur RPC_S_SERVER_UNAVAILABLE, consultez l'article „La demande de certificat échoue avec le message d'erreur "The certificate request could not be submitted to the certification authority. Error : The RPC server is unavailable. 0x800706ba (WIN32 : 1722 RPC_S_SERVER_UNAVAILABLE)"„ .

Liens complémentaires :

Les clients connectés via un réseau privé virtuel (VPN) ne renouvellent pas automatiquement leurs certificats