Si l'on souhaite demander ou renouveler des certificats sur un client Windows via la console de gestion Microsoft (MMC), plusieurs options s'offrent à nous ; bien qu'elles permettent toutes d'atteindre l'objectif, elles présentent toutefois des comportements différents. Nous allons aborder ces différences ci-après.
Continuer la lecture de « Was ist der Unterschied zwischen „Beantragen“ und „Erneuern“ eines Zertifikates im Windows-Ökosystem »Étiquette : Autoenrollment
Que se passe-t-il si un utilisateur a demandé plusieurs certificats ?
J'ai récemment été confronté au phénomène suivant : en raison d'une logique de demande défectueuse, plusieurs utilisateurs avaient demandé de nouveaux certificats à intervalles réguliers.
Le modèle de certificat était configuré pour que les demandes de certificat entrantes soient approuvées par un gestionnaire de certificats, c'est-à-dire qu'il n'y avait pas de délivrance automatique des certificats. Les demandes de certificat devaient être vérifiées à l'aide d'un code spécifique, puis approuvées.
On pourrait s'attendre à ce que (puisque toutes les demandes de certificats sont finalement acceptées) les utilisateurs trouvent plusieurs certificats du même type dans leur liste de certificats (et dans les applications qui les utilisent). Or, ce n'est pas le cas.
Continuer la lecture de « Was passiert, wenn ein Benutzer mehrere Zertifikate beantragt hat? »Principes de base : remplacement (superseding) des modèles de certificat
Avec l'introduction des modèles de certificats de la version 2 avec Windows XP et Windows Server 2003, une option a été ajoutée permettant à un modèle de certificat d'en remplacer un ou plusieurs autres.
Cela permet de remplacer les certificats émis par ceux d'un autre modèle de certificat ou de regrouper plusieurs modèles de certificats en un seul.
Continuer la lecture de « Grundlagen: Ersetzen (Superseding) von Zertifikatvorlagen »La demande de certificats de bureau à distance échoue avec le message d'erreur „ Les autorisations sur le modèle de certificat ne permettent pas à l'utilisateur actuel de s'inscrire pour ce type de certificat. “
Supposons le scénario suivant :
- Les machines sont Configuré via une stratégie de groupe pour demander des certificats pour l'hôte de session Bureau à distance..
- Les certificats ne sont toutefois pas demandés.
- Dans le journal des événements du système concerné, le Événement avec l'ID 1064 de la source Terminalservices-RemoteConnectionManager sont consignées :
The RD Session Host server cannot install a new template-based certificate to be used for Transport Layer Security (TLS) 1.0\Secure Sockets Layer (SSL) authentication and encryption. The following error occurred: The permissions on the certificate template do not allow the current user to enroll for this type of certificate.Continuer la lecture de « Die Beantragung von Remotedesktop-Zertifikaten schlägt fehl mit Fehlermeldung „The permissions on the certificate template do not allow the current user to enroll for this type of certificate.“ »
La demande de certificats de bureau à distance échoue avec le message d'erreur „ Le modèle de certificat demandé n'est pas pris en charge par cette autorité de certification. “
Supposons le scénario suivant :
- Les machines sont Configuré via une stratégie de groupe pour demander des certificats pour l'hôte de session Bureau à distance..
- Cependant, les certificats ne sont pas demandés ou les certificats existants expirent sans être renouvelés.
- Dans le journal des événements du système concerné, l'événement avec l'ID 1064 de la source Terminalservices-RemoteConnectionManager est consigné :
The RD Session Host server cannot install a new template-based certificate to be used for Transport Layer Security (TLS) 1.0\Secure Sockets Layer (SSL) authentication and encryption. The following error occurred: The requested certificate template is not supported by this CA.Continuer la lecture de « Die Beantragung von Remotedesktop-Zertifikaten schlägt fehl mit Fehlermeldung „The requested certificate template is not supported by this CA.“ »
La liste locale des certificats des autorités de certification racines de confiance n'est pas synchronisée à partir d'Active Directory.
Supposons le scénario suivant :
- Une hiérarchie d'autorités de certification est établie dans le réseau et l'autorité de certification racine est représentée dans la partition de configuration de la structure globale Active Directory.
- Les membres du domaine sont configurés pour exécuter le processus d'auto-inscription et ainsi mettre à jour les autorités de certification racine de confiance à partir de la partition de configuration.
- Cependant, ce processus ne fonctionne pas avec certains clients. Les certificats de l'autorité de certification racine ne sont pas téléchargés automatiquement et enregistrés dans le magasin de confiance local.
- Conséquence les demandes de certificats peuvent échouer, par exemple parce que la hiérarchie des autorités de certification n'est pas fiable.
Les demandes de certificat pour le répondeur en ligne (OCSP) échouent sporadiquement avec le message d'erreur „ La fonction de révocation n'a pas pu vérifier la révocation du certificat. 0x80092012 (-2146885614 CRYPT_E_NO_REVOCATION_CHECK) “.“
Supposons le scénario suivant :
- Un répondeur en ligne (OCSP) est configuré dans le réseau.
- Les autorités de certification signalent à intervalles irréguliers que les demandes de certificats pour les certificats de signature de réponse OCSP échouent avec le message d'erreur suivant :
The revocation function was unable to check revocation for the certificate. 0x80092012 (-2146885614 CRYPT_E_NO_REVOCATION_CHECK).Continuer la lecture de « Zertifikatanforderungen für den Onlineresponder (OCSP) schlagen sporadisch fehl mit Fehlermeldung „The revocation function was unable to check revocation for the certificate. 0x80092012 (-2146885614 CRYPT_E_NO_REVOCATION_CHECK)“ »
Déclencher par programme le processus d'auto-enrollment pour l'utilisateur connecté
Supposons le scénario suivant :
- On écrit un script ou une application qui doit déclencher le processus d'auto-inscription pour l'utilisateur actuellement connecté.
- On constate alors que la tâche prévue ne peut pas être exécutée.
- Le message d'erreur est le suivant
The user account does not have permissions to run this task.Continuer la lecture de « Den Autoenrollment Prozess für den angemeldeten Benutzer programmatisch auslösen »
Activer la journalisation pour la demande automatique de certificat (auto-enrollment)
Vous trouverez ci-dessous un aperçu des événements générés par les clients de certificats Windows dans l'observateur d'événements Windows, leur activation et leur identification.
Continuer la lecture de « Protokollierung für die automatische Zertifikatbeantragung (Autoenrollment) aktivieren »Dépannage de la demande automatique de certificat (auto-enrollment) via RPC/DCOM (MS-WCCE)
Supposons le scénario suivant :
- Un modèle de certificat est configuré pour la demande automatique de certificats (auto-inscription).
- Le modèle de certificat est publié sur une autorité de certification intégrée à Active Directory (Enterprise Certification Authority).
- Les utilisateurs ou les ordinateurs configurés pour la demande automatique de certificats ne demandent toutefois pas les certificats comme prévu.
Vous trouverez ci-dessous un guide de dépannage.
Continuer la lecture de « Fehlersuche für die automatische Zertifikatbeantragung (Autoenrollment) via RPC/DCOM (MS-WCCE) »Détails de l'événement ID 95 de la source Microsoft-Windows-CertificateServicesClient-CertEnroll
| Source de l'événement : | Microsoft-Windows-CertificateServicesClient-CertEnroll |
| ID de l'événement : | 95 (0x425A005F) |
| Journal des événements : | Application |
| Type d'événement : | Information |
| Texte de l'événement (en anglais) : | Certificat de connexion installé avec succès pour %1 Demande d'empreinte digitale : %2 Empreinte digitale : %3 Processus : %4 |
| Texte de l'événement (en allemand) : | Le certificat d'enregistrement pour %1 a été installé avec succès. Empreinte digitale requise : %2 Empreinte digitale : %3 Processus : %4 |
Détails de l'événement ID 94 de la source Microsoft-Windows-CertificateServicesClient-CertEnroll
| Source de l'événement : | Microsoft-Windows-CertificateServicesClient-CertEnroll |
| ID de l'événement : | 94 (0xC25A005E) |
| Journal des événements : | Application |
| Type d'événement : | Erreur |
| Texte de l'événement (en anglais) : | Échec de l'installation du certificat de connexion pour %1 Échec de la demande d'empreinte digitale : %2 Empreinte digitale : %3 %4 Processus : %5 %6 |
| Texte de l'événement (en allemand) : | Erreur lors de l'installation du certificat d'enregistrement pour %1 Empreinte digitale requise : %2 Empreinte digitale : %3 %4 Processus : %5 %6 |
Détails de l'événement ID 96 de la source Microsoft-Windows-CertificateServicesClient-CertEnroll
| Source de l'événement : | Microsoft-Windows-CertificateServicesClient-CertEnroll |
| ID de l'événement : | 96 (0xC25A0060) |
| Journal des événements : | Application |
| Type d'événement : | Erreur |
| Texte de l'événement (en anglais) : | Échec de la suppression de la demande de certificat de connexion pour %1 Demande d'empreinte digitale : %2 Processus : %3 %4 |
| Texte de l'événement (en allemand) : | Erreur lors de la suppression de la demande de certificat d'inscription pour %1 Empreinte digitale de la demande : %2 Processus : %3 %4 |
Détails de l'événement ID 98 de la source Microsoft-Windows-CertificateServicesClient-CertEnroll
| Source de l'événement : | Microsoft-Windows-CertificateServicesClient-CertEnroll |
| ID de l'événement : | 98 (0xC25A0062) |
| Journal des événements : | Application |
| Type d'événement : | Erreur |
| Texte de l'événement (en anglais) : | Échec de l'importation du certificat PFX pour %1 Indicateurs : %2 Fournisseur : %3 Conteneur : %4 Processus : %5 %6 |
| Texte de l'événement (en allemand) : | Erreur lors de l'importation du certificat PFX pour %1 Indicateurs : %2 Fournisseur : %3 Conteneur : %4 Processus : %5 %6 |
Détails de l'événement ID 93 de la source Microsoft-Windows-CertificateServicesClient-CertEnroll
| Source de l'événement : | Microsoft-Windows-CertificateServicesClient-CertEnroll |
| ID de l'événement : | 93 (0x425A005D) |
| Journal des événements : | Application |
| Type d'événement : | Information |
| Texte de l'événement (en anglais) : | Création de la demande de certificat de connexion pour %1 réussie pour le modèle %2 pour la clé %3 Demande d'empreinte digitale : %4 Processus : %5 |
| Texte de l'événement (en allemand) : | La demande de certificat d'enregistrement pour %1 pour le modèle %2 pour la clé %3 a été créée avec succès. Empreinte digitale de la demande : %4 Processus : %5 |
Français 
Deutsch 
English