Impossible d'installer le service d'enregistrement des périphériques réseau (NDES) sur un site dont les contrôleurs de domaine sont en lecture seule.

Supposons le scénario suivant :

• Un service d'enregistrement des périphériques réseau (NDES) doit être mis en œuvre sur le réseau.
• Sur le site Active Directory du serveur NDES, il n'y a que des contrôleurs de domaine en lecture seule (angl. Read Only Domain Controller, RODC).
• La configuration du rôle NDES échoue avec le message d'erreur suivant :

Failed to add the following certificate templates to the enterprise Active Directory Certificate Service or update security settings on those templates:
EnrollmentAgentOffline 
CEPEncryption
IPSEC(Offline request)
A referral was returned from the server. 0x8007202b (WIN32:8235 ERROR_DS_REFERRAL)

Le service d'enregistrement des périphériques réseau (Network Device Enrollment Service, NDES) offre la possibilité de demander des certificats auprès d'une autorité de certification pour les périphériques qui ne disposent pas d'un identifiant dans Active Directory (par exemple les périphériques réseau tels que les routeurs, les commutateurs, les imprimantes, les clients légers ou les smartphones et tablettes). Pour une description plus détaillée, voir l'article "Principes de base du service d'enregistrement des périphériques réseau (Network Device Enrollment Service, NDES)„ .

Connaissez-vous TameMyCerts? TameMyCerts est un add-on pour l'autorité de certification Microsoft (Active Directory Certificate Services). Il étend la fonction de l'autorité de certification et permet de Application de la réglementationIl s'agit d'un logiciel de gestion des certificats qui permet d'automatiser l'émission de certificats en toute sécurité. TameMyCerts est unique dans l'écosystème Microsoft, a déjà fait ses preuves dans d'innombrables entreprises du monde entier et est disponible sous une licence libre. Il peut téléchargé via GitHub et être utilisé gratuitement. Une maintenance professionnelle est également proposée.

La routine d'installation NDES modifie entre autres le certificateTemplates Attribut sur l'objet pKIEnrollmentService de l'autorité de certification choisie.

Pour de telles opérations, les contrôleurs de domaine en lecture seule renvoient simplement le client vers des contrôleurs de domaine en écriture. Il incombe donc au client (dans ce cas, la routine d'installation NDES) de suivre ce renvoi, ce qui n'est pas le cas ici (car non implémenté).

Une fois de plus on voit que NDES n'a plus été développé depuis Windows Server 2003 et que les Active Directory Certificate Services nécessitent de plus en plus de solutions de contournement au fur et à mesure qu'ils vieillissent.

Une solution possible installer le service d'enregistrement des périphériques réseau (NDES) sans les droits d'Enterprise AdministratorLes adaptations nécessaires peuvent alors être effectuées ou omises manuellement.

Liens complémentaires :

• Installer le service d'enregistrement des périphériques réseau (NDES) sans les droits d'Enterprise Administrator
• Principes de base du service d'enregistrement des périphériques réseau (Network Device Enrollment Service, NDES)
• Bases de la demande manuelle et automatique de certificats via Lightweight Directory Access Protocol (LDAP) et Remote Procedure Call / Distributed Common Object Model (RPC/DCOM)
• Limites des services de certificats Microsoft Active Directory

Sources externes

• Active Directory Certificate Services (AD CS) : Service d'inscription des périphériques réseau (NDES) (Microsoft Corporation)
• L'installation de NDES échoue (Forums Microsoft TechNet)