Module Exit – Uwe Gradenegger

Exploitation de l'autorité de certification sans module de sortie

Lorsqu'une autorité de certification est installée, le module de sortie "Windows Default" est automatiquement activé. Celui-ci permet d'envoyer des messages électroniques lors de certains événements de l'autorité de certification. La plupart des entreprises n'utilisent cependant pas du tout cette fonction.

Mais même si le module Exit n'est pas utilisé du tout, il génère des sessions dans la base de données de l'autorité de certification (voir Événement n° 46). Sur les autorités de certification à forte charge cela peut être problématique.

Si les fonctions qu'il offre ne sont pas du tout utilisées (Sous Windows Server Core, le module de sortie „ Windows Default “ ne fonctionne en principe pas.), il peut aussi être complètement désactivé.

Continuer la lecture

Récupération des certificats à partir des données du module de sortie SMTP

Restaurer une autorité de certification après une catastrophe à partir d'une sauvegarde (backup)Si l'on se réfère à l'article 6 de la loi sur la protection des données, il est probable que l'on constate que des certificats ont été émis entre la dernière sauvegarde et la panne du système, avec la perte de données qui s'ensuit.

Ces certificats ne sont pas enregistrés dans la base de données de l'autorité de certification restaurée et ne peuvent donc pas être restaurés en cas de besoin.

Si l'on utilise le module SMTP Exit, on peut au moins déterminer les numéros de série des certificats à partir des e-mails envoyés et les révoquer.

Continuer la lecture

Créer un module de sortie pour l'autorité de certification dans C#

Microsoft Active Directory Certificate Services offre la possibilité de créer ses propres Modules Policy et Exit de développer les fonctionnalités de l'autorité de certification.

Voici les étapes nécessaires pour créer un module Exit dans C# avec Visual Studio 2019. Le module Exit écrira les certificats émis dans un répertoire configurable du système de fichiers.

Continuer la lecture

L'émission de certificats ou de listes de révocation échoue avec le code d'erreur CERTSRV_E_NO_DB_SESSIONS

Supposons le scénario suivant :

L'autorité de certification ne peut pas délivrer de certificats et/ou
L'autorité de certification ne peut pas émettre de listes de blocage.
Au moins un des messages d'erreur suivants est consigné :

ID de l'événement : 53 (Microsoft-Windows-CertificationAuthority)

Active Directory Certificate Services denied request 12345 because An attempt was made to open a Certification Authority database session, but there are already too many active sessions. The server may need to be configured to allow additional sessions. 0x8009400f (-2146877425 CERTSRV_E_NO_DB_SESSIONS). The request was for CN=Rudi Ratlos. Additional information: Denied by Policy Module

ID de l'événement : 130 (Microsoft-Windows-CertificationAuthority)

Active Directory Certificate Services could not create a certificate revocation list. An attempt was made to open a Certification Authority database session, but there are already too many active sessions. The server may need to be configured to allow additional sessions 0x8009400f (-2146877425). This may cause applications that need to check the revocation status of certificates issued by this CA to fail. You can recreate the certificate revocation list manually by running the following command: "certutil -CRL". If the problem persists, restart Certificate Services.

Continuer la lecture

Le module SMTP Exit ne fonctionne pas sur Windows Server Core

Supposons le scénario suivant :

Un service de certification est installé sur Windows Server Core.
Le SMTP fourni avec l'autorité de certification est utilisé. Module de sortie configuré.
Cependant, l'organisme de certification n'envoie pas d'e-mails.
Dans le journal des événements, le Événement n° 46 avec le message d'erreur suivant :

The "Windows default" Exit Module "Initialize" method returned an error. Class not registered The returned status code is 0x80040154 (-2147221164). The Certification Authority was unable to initialize email messaging objects.

Continuer la lecture

Restauration d'une autorité de certification à partir d'une sauvegarde (backup)

La procédure de restauration d'une autorité de certification à partir de la sauvegarde est décrite ci-dessous. Outre les situations de catastrophe, cette procédure fait également partie de la Migration d'une autorité de certification vers un nouveau serveur.

Continuer la lecture

Combinaison du module SMTP Exit avec un serveur SMTP local pour une meilleure résilience

Supposons le scénario suivant :

L'autorité de certification est configurée uniquement pour utiliser le module de sortie SMTP afin d'envoyer des notifications par e-mail sur les événements survenus sur l'autorité de certification.
Le serveur SMTP configuré n'est pas toujours accessible de manière fiable, par exemple parce qu'il n'est pas conçu pour être hautement disponible.
En cas de panne du serveur SMTP, l'autorité de certification ne fonctionnera que très lentement, car les notifications par e-mail ne pourront pas être délivrées. Dans certaines circonstances, le service de l'autorité de certification ne pourra plus démarrer.

Continuer la lecture

Désactiver le module de sortie SMTP d'une autorité de certification

Supposons le scénario suivant :

L'autorité de certification est configurée uniquement pour utiliser le module de sortie SMTP afin d'envoyer des notifications par e-mail sur les événements survenus sur l'autorité de certification.
Le serveur SMTP configuré n'est pas accessible, par exemple en raison d'une panne.

Dans ce cas, le module de sortie ne peut pas délivrer les notifications par e-mail. Il se met en time-out et l'autorité de certification ne fonctionnera plus que très lentement.

Continuer la lecture