Si l'on souhaite utiliser l'attestation de clé du Trusted Platform Module (TPM), on a l'option d'attester le TPM entre autres par la clé d'endossement (EkPub). La manière d'obtenir cette information est décrite ci-dessous.
Continuer la lecture de « Die Prüfsumme (Hash) eines Trusted Platform (TPM) Endorsement Key ermitteln »Auteur : Uwe Gradenegger
Utilisations étendues des clés (Extended Key Usages) et politiques d'émission (Issuance Policies) fréquemment utilisées
Voici une liste des utilisations de clés étendues (Extended Key Usage) et des politiques d'émission (Issuance Policies) fréquemment utilisées dans la pratique pour restreindre les certificats d'autorité de certification.
Continuer la lecture de « Häufig verwendete erweiterte Schlüsselverwendungen (Extended Key Usages) und Ausstellungsrichtlinien (Issuance Policies) »La connexion via carte à puce échoue avec le message d'erreur "The revocation status of the authentication certificate could not be determined".
Supposons le scénario suivant :
- Un utilisateur dispose d'un Connexion par carte à puce et se connecte au domaine Active Directory avec ce certificat.
- La connexion échoue. Le message d'erreur suivant est renvoyé à l'utilisateur sur son ordinateur :
The revocation status of the authentication certificate could not be determined.Continuer la lecture de « Die Anmeldung via Smartcard schlägt fehl mit Fehlermeldung „The revocation status of the authentication certificate could not be determined.“ »
La demande d'un certificat via le Certificate Enrollment Web Service (CES) échoue avec le code d'erreur "WS_E_SERVER_REQUIRES_NEGOTIATE_AUTH".
Supposons le scénario suivant :
- Un Certificate Enrollment Web Service (CES) est mis en œuvre sur le réseau.
- Une demande de certificat est envoyée au CES.
- La demande de certificat échoue avec le message d'erreur suivant :
The remote endpoint requires HTTP authentication scheme 'negotiate'. 0x803d001f (-2143485921 WS_E_SERVER_REQUIRES_NEGOTIATE_AUTH)Continuer la lecture de « Die Beantragung eines Zertifikats über den Certificate Enrollment Web Service (CES) schlägt fehl mit dem Fehlercode „WS_E_SERVER_REQUIRES_NEGOTIATE_AUTH“ »
La demande d'un certificat via le Certificate Enrollment Web Service (CES) échoue avec le code d'erreur "WS_E_INVALID_FORMAT".
Supposons le scénario suivant :
- Un Certificate Enrollment Web Service (CES) est mis en œuvre sur le réseau.
- Une demande de certificat est envoyée au CES.
- La demande de certificat échoue avec le message d'erreur suivant :
An error occurred while obtaining certificate enrollment policy.Continuer la lecture de « Die Beantragung eines Zertifikats über den Certificate Enrollment Web Service (CES) schlägt fehl mit dem Fehlercode „WS_E_INVALID_FORMAT“ »
Url: https://m2core01.lab2m2.local:443/Policy/Kerberos/service.svc/CEP
Error: The input data was not in the expected format or did not have the expected value. 0x803d0000 (-2143485952 WS_E_INVALID_FORMAT)
La demande d'un certificat via le Certificate Enrollment Web Service (CES) échoue avec le code d'erreur "WS_E_ENDPOINT_NOT_FOUND".
Supposons le scénario suivant :
- Un Certificate Enrollment Web Service (CES) est mis en œuvre sur le réseau.
- Une demande de certificat est envoyée au CES.
- La demande de certificat échoue avec le message d'erreur suivant :
The remote endpoint does not exist or could not be located. 0x803d000d (-2143485939 WS_E_ENDPOINT_NOT_FOUND)Continuer la lecture de « Die Beantragung eines Zertifikats über den Certificate Enrollment Web Service (CES) schlägt fehl mit dem Fehlercode „WS_E_ENDPOINT_NOT_FOUND“ »
La création d'une politique d'enregistrement des certificats (Enrollment Policy) pour le Certificate Enrollment Policy Web Service (CEP) échoue avec le code d'erreur "WS_E_INVALID_FORMAT".
Supposons le scénario suivant :
- Un service web Certificate Enrollment Policy (CEP) est mis en œuvre sur le réseau.
- Une politique d'affiliation est configurée.
- Le test de connexion échoue avec le message d'erreur suivant :
Error: The input data was not in the expected format or did not have the expected value. 0x803d0000 (-2143485952 WS_E_INVALID_FORMAT)Continuer la lecture de « Die Erstellung einer Zertifikatregistrierungsrichtlinie (Enrollment Policy) für den Certificate Enrollment Policy Web Service (CEP) schlägt fehl mit dem Fehlercode „WS_E_INVALID_FORMAT“ »
Configurer le service d'enregistrement des périphériques réseau (NDES) pour qu'il fonctionne avec un compte de service gMSA (Group Managed Service Account)
Pour des raisons de sécurité, il peut être préférable de faire fonctionner NDES avec un compte de service gMSA (Group Managed Service Account) plutôt qu'avec un compte de domaine normal. Cette option présente le charmant avantage de modifier automatiquement le mot de passe du compte et d'éviter ainsi de devoir effectuer cette opération manuellement, ce qui est malheureusement trop souvent oublié.
Continuer la lecture de « Den Registrierungsdienst für Netzwerkgeräte (NDES) für den Betrieb mit einem Group Managed Service Account (gMSA) konfigurieren »Activer la journalisation de débogage pour le service d'enregistrement des périphériques réseau (NDES)
Si l'on essaie de trouver une erreur dans le Network Device Enrollment Service (NDES), il est utile d'activer le Debug Logging.
Continuer la lecture de « Debug Protokollierung für den Registrierungsdienst für Netzwerkgeräte (NDES) aktivieren »Modifier le mot de passe statique du Network Device Enrollment Service (NDES)
Supposons le scénario suivant :
- Un serveur NDES est configuré sur le réseau.
- Le serveur NDES est configuré pour utiliser un mot de passe statique.
- Le mot de passe statique doit être modifié.
Le service d'enregistrement des périphériques réseau (NDES) consigne le message d'erreur "The Network Device Enrollment Service cannot be started (0x80070002). The system cannot find the file specified".
Supposons le scénario suivant :
- Un serveur NDES est configuré sur le réseau.
- L'erreur HTTP 500 (Internal Server Error) est signalée lors de l'appel de la page web de demande NDES (mscep) et de la page web d'administration NDES (certsrv/mscep_admin).
- Il s'agit de la Événement n° 2 enregistré dans le journal des événements de l'application :
The Network Device Enrollment Service cannot be started (0x80070002). The system cannot find the file specified.Continuer la lecture de « Der Registrierungsdienst für Netzwerkgeräte (NDES) protokolliert die Fehlermeldung „The Network Device Enrollment Service cannot be started (0x80070002). The system cannot find the file specified.“ »
Renouveler les certificats d'autorité d'enregistrement (RA) pour le service d'enregistrement des périphériques réseau (NDES)
Lorsque NDES est en service depuis un certain temps (typiquement deux ans), on est confronté au défi de renouveler les certificats Registration Authority (RA). Ce processus n'est malheureusement pas forcément résolu de manière intuitive et est donc décrit plus en détail dans cet article.
Continuer la lecture de « Die Registration Authority (RA) Zertifikate für den Registrierungsdienst für Netzwerkgeräte (NDES) erneuern »Le service d'enregistrement des périphériques réseau (NDES) consigne le message d'erreur "The Network Device Enrollment Service cannot retrieve one of its required certificates (0x80070057). The parameter is incorrect".
Supposons le scénario suivant :
- Un serveur NDES est configuré sur le réseau.
- L'erreur HTTP 500 (Internal Server Error) est signalée lors de l'appel de la page web de demande NDES (mscep) et de la page web d'administration NDES (certsrv/mscep_admin).
- Les événements n 2 et 10 enregistré dans le journal des événements de l'application :
The Network Device Enrollment Service cannot be started (0x80070057). The parameter is incorrect.
The Network Device Enrollment Service cannot retrieve one of its required certificates (0x80070057). The parameter is incorrect.Continuer la lecture de « Der Registrierungsdienst für Netzwerkgeräte (NDES) protokolliert die Fehlermeldung „The Network Device Enrollment Service cannot retrieve one of its required certificates (0x80070057). The parameter is incorrect.“ »
Configurer le Network Device Enrollment Service (NDES) pour qu'il fonctionne sans mot de passe
Il existe des situations dans lesquelles il n'est pas possible d'utiliser un NDES avec des mots de passe changeants. C'est généralement le cas lorsqu'il n'existe pas de solution de gestion pour les appareils à gérer ou lorsque celle-ci ne peut pas gérer les mots de passe changeants. Certaines solutions ne peuvent pas du tout gérer un mot de passe.
Dans ce cas, on peut configurer NDES pour qu'il ne génère ni ne demande de mot de passe.
Continuer la lecture de « Den Network Device Enrollment Service (NDES) für den Betrieb ohne Passwort konfigurieren »Principes de base des infrastructures à clés publiques (PKI)
Une infrastructure à clé publique comprend tous les composants (matériel, logiciel, personnes et processus) nécessaires à l'utilisation de certificats numériques. Une PKI se compose d'une ou de plusieurs autorités de certification (CA). Les tâches d'une PKI sont notamment les suivantes
- garantir l'authenticité des clés, c'est-à-dire établir un lien compréhensible entre une clé et son origine afin d'empêcher tout abus
- la révocation des certificats, c'est-à-dire s'assurer que les clés mises hors service ou compromises (par exemple volées) ne peuvent plus être utilisées
- Garantie de l'obligation (non-répudiation), c'est-à-dire, par exemple, que le propriétaire d'une clé ne peut pas nier qu'elle lui appartient.
- Imposer des directives (en anglais policies), c'est-à-dire des procédures standardisées pour l'utilisation des certificats.
Français 
Deutsch 
English