Désactiver le module de sortie SMTP d'une autorité de certification

Supposons le scénario suivant :

• L'autorité de certification est configurée uniquement pour utiliser le module de sortie SMTP afin d'envoyer des notifications par e-mail sur les événements survenus sur l'autorité de certification.
• Le serveur SMTP configuré n'est pas accessible, par exemple en raison d'une panne.

Dans ce cas, le module de sortie ne peut pas délivrer les notifications par e-mail. Il se met en time-out et l'autorité de certification ne fonctionnera plus que très lentement.

Connaissez-vous TameMyCerts? TameMyCerts est un add-on pour l'autorité de certification Microsoft (Active Directory Certificate Services). Il étend la fonction de l'autorité de certification et permet de Application de la réglementationIl s'agit d'un logiciel de gestion des certificats qui permet d'automatiser l'émission de certificats en toute sécurité. TameMyCerts est unique dans l'écosystème Microsoft, a déjà fait ses preuves dans d'innombrables entreprises du monde entier et est disponible sous une licence libre. Il peut téléchargé via GitHub et être utilisé gratuitement. Une maintenance professionnelle est également proposée.

Dans l'Observateur d'événements de Windows, le Événement n° 46 sont consignées.

The "Windows default" Exit Module "Initialize" method returned an error. The transport failed to connect to the server. The returned status code is 0x80040213 (-2147220973). The Certification Authority was unable to send an email notification for EXITEVENT_STARTUP to admins1@fabrikam.com,admin2@fabrikam.com.

Dans un tel cas, il est judicieux de désactiver le module de sortie SMTP.

Cela peut se faire en annulant tous les événements.

Les événements qui déclenchent une notification par e-mail sont définis dans la valeur de registre suivante.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration\{Name-der-Zertifizierungsstelle}\ExitModules\CertificateAuthority_MicrosoftDefault.Exit\smtp\EventFilter

Si la valeur est fixée à "0", tous les événements sont annulés.

La commande de ligne de commande suivante permet également d'annuler tous les événements.

certutil -setreg exit\smtp\eventfilter 0

Pour que les modifications prennent effet, le service d'autorité de certification doit être redémarré.

Alternative : désactiver complètement le module Exit

Es ist auch möglich, das Exit Modul komplett zu deaktivieren. Siehe Artikel „Exploitation de l'autorité de certification sans module de sortie„ .

Liens complémentaires :

• Combinaison du module SMTP Exit avec un serveur SMTP local pour une meilleure résilience
• Exploitation de l'autorité de certification sans module de sortie