La demande d'un certificat via le Certificate Enrollment Web Service (CES) échoue avec le code d'erreur "WS_E_ENDPOINT_FAILURE"

Supposons le scénario suivant :

On essaie de demander un certificat via un Certificate Enrollment Web Service (CEP) d'une autorité de certification intégrée à Active Directory (Enterprise Certification Authority).
L'opération échoue avec le message d'erreur suivant :

The remote endpoint could not process the request. 0x803d000f (-2143485937 WS_E_ENDPOINT_FAILURE)

Les services web d'enregistrement des certificats (Certificate Enrollment Policy Web Service, CEP et Certificate Enrollment Web Service, CES) permettent de demander et de renouveler automatiquement les certificats d'une autorité de certification via une interface web. Il n'est donc pas nécessaire de contacter directement l'autorité de certification par Remote Procedure Call (RPC). Pour une description plus détaillée, voir l'article "Bases de la demande de certificat via Certificate Enrollment Web Services (CEP, CES)„ .

L'erreur se produit lorsque l'application web (le "point final") ne répond pas correctement ("failure"). C'est généralement le cas lorsque l'application web CES ne peut pas démarrer. Dans ce cas, le Événement n° 2 sont consignées.

Causes possibles

Connaissez-vous TameMyCerts? TameMyCerts est un add-on pour l'autorité de certification Microsoft (Active Directory Certificate Services). Il étend la fonction de l'autorité de certification et permet de Application de la réglementationIl s'agit d'un logiciel de gestion des certificats qui permet d'automatiser l'émission de certificats en toute sécurité. TameMyCerts est unique dans l'écosystème Microsoft, a déjà fait ses preuves dans d'innombrables entreprises du monde entier et est disponible sous une licence libre. Il peut téléchargé via GitHub et être utilisé gratuitement. Une maintenance professionnelle est également proposée.

Les causes possibles peuvent être

Le serveur CES pointe vers une autorité de certification inexistante.
Le compte de service CES ne peut pas s'authentifier auprès de l'interface DCOM de l'autorité de certification.
Le compte de service CES ne peut pas s'authentifier auprès de l'interface RPC/DCOM de l'autorité de certification, ou la connexion est bloquée par un pare-feu.

Détails : le serveur CES pointe vers une autorité de certification inexistante

L'autorité de certification configurée peut être vérifiée dans "CAConfig" dans la section "Application Settings" pour la méthode d'authentification CES dans la console de gestion Internet Information Services (IIS).

Détails : le compte de service CES doit avoir le droit de demander des certificats auprès de l'autorité de certification.

Un droit manquant devrait être consigné dans le journal des événements sur le serveur CES.

Détails : le compte de service CES ne peut pas s'authentifier auprès de l'interface RPC/DCOM de l'autorité de certification ou la connexion est bloquée par un pare-feu.

CES effectue une demande de certificat régulière via DCOM. Lors du premier démarrage de l'application Web CES, la GetCAProperty contre l'autorité de certification. Pour les deux, les ports de pare-feu pour les Demande de certificat via DCOM est nécessaire.

Les erreurs qui peuvent survenir en raison d'un problème de connexion réseau ou d'authentification à l'interface RPC/DCOM provoquent le code d'erreur RPC_S_SERVER_UNAVAILABLE.

Pour une description détaillée de toutes les causes possibles, voir l'article "La demande de certificat échoue avec le message d'erreur "The certificate request could not be submitted to the certification authority. Error : The RPC server is unavailable. 0x800706ba (WIN32 : 1722 RPC_S_SERVER_UNAVAILABLE)"„ .

Liens complémentaires :

Autorisations de sécurité Windows requises pour le service web d'enregistrement des certificats (CES)