Supposons le scénario suivant :
- Un utilisateur envoie une demande de certificat à une autorité de certification.
- La demande de certificat échoue avec le message d'erreur suivant :
Bad Data. 0x80090005 (-2146893819 NTE_BAD_DATA). Denied by Policy Module.
L'organisme de certification va Événement n° 53 mit gleichem Fehlercode protokollieren. Im gleichen Zusammenhang können auch die Ereignisse Nr. 86, 88 et 130 auftreten.
Active Directory Certificate Services denied request 12345 because Bad Data. 0x80090005 (-2146893819 NTE_BAD_DATA). The request was for CN=Rudi Ratlos. Additional information: Error Constructing or Publishing Certificate Resubmitted by INTRA\Administrator
In einigen Fällen wird die Zertifizierungsstelle kein Ereignis protokollieren. Etwa bei einer Offline-Zertifizierungsstelle bei Einreichung der Zertifikatanforderung über die Zertifizierungsstellen-MMC wurde dieses Verhalten beobachtet.
Auch eine Zertifikatbeantragung über VMware AirWatch/Workspace One liefert den gleichen Fehlercode:
COMException while submitting enroll request: Bad Data. (Exception from HRESULT: 0x80090005)
Nebeneffekt: Ebenfalls keine Ausstellung von Sperrlisten mehr möglich
Auch das Ausstellen von Zertifikatsperrlisten auf der Zertifizierungsstelle ist höchstwahrscheinlich ebenfalls nicht mehr möglich.
Wenn durch die Zertifizierungsstelle keine Sperrlisten mehr ausgestellt werden können, droht ein akuter Ausfall der PKI, da bei Ablauf der vorigen Zertifikatsperrliste auch bereits ausgestellte Zertifikate nicht mehr auf ihre Gültigkeit überprüft werden können. Das Problem sollte daher priorisiert behandelt werden oder auf Notfall-Sperrlisten zurückgegriffen werden.
Cause
Connaissez-vous TameMyCerts? TameMyCerts est un add-on pour l'autorité de certification Microsoft (Active Directory Certificate Services). Il étend la fonction de l'autorité de certification et permet de Application de la réglementationIl s'agit d'un logiciel de gestion des certificats qui permet d'automatiser l'émission de certificats en toute sécurité. TameMyCerts est unique dans l'écosystème Microsoft, a déjà fait ses preuves dans d'innombrables entreprises du monde entier et est disponible sous une licence libre. Il peut téléchargé via GitHub et être utilisé gratuitement. Une maintenance professionnelle est également proposée.
Im vorliegenden Fall wurde ein SafeNet Hardware Security Modul (HSM) verwendet.
Der Fehler kann unter Anderem auftreten,
- wenn die Netzwerkverbindung zum Hardware Security Modul unterbrochen wurde und nicht auf den privaten Schlüssel zugegriffen werden kann.
- wenn die Berechtigungen auf dem Slot des HSM nicht mehr stimmen.
- das Passwort für den Slot bzw. die Partition geändert und auf der Zertifizierungsstelle nicht neu eingetragen wurde.
Siehe hierzu auch die LunaKSP.log im Betriebssystemverzeichnis:
ERROR, No registered slots/partitions were found for the user NETWORK SERVICE@NT AUTHORITY!!
Ebenso, sofern aktiviert, das HA Log. Die Schlüsselwörter lauten:
- dropped
- offline
- unable to reach member
Solution
In den meisten Fällen wird ein Neustart des Zertifizierungsstellen-Dienstes ausreichen.
Ein Neustart des Zertifizierungsstellendienstes schlägt unter Umständen mit Fehlercode RPC_S_DUPLICATE_ENDPOINT fehl, wenn keine ausreichende Wartezeit zwischen Stop und Start des Dienstes eingehalten wird.
Unter Umständen wird es nicht reichen, nur den Zertifizierungsstellen-Dienst neu zu starten, sondern es muss der ganze Server neu gestartet werden.
Français 
Deutsch 
English
Les commentaires sont fermés.