Zertifizierungsstelle auf DC kann keine Zertifikate mehr ausgeben und zeigt keine Vorlagen mehr an.
Frage
-
Hallo,
Mitte des Jahres mussten wir uns nun endgültig von unserem alten SBS2011 trenne. (Hardwaredefekt)
Zum Glück hatte ich vor alle Rollen für das Active Directory, Exchage Server und Zertifizierungsstelle für die AD auf neue Server migriert.
Jedenfalls dacht eich das. Denn nachdem der alte SBS2011 Server aus dem NEtz genommen wurde, lief und läuft unser System auch bisher Stabil ohne größere Probleme. Ich habe sogar den Eindruck, dass es Stabiler käuft als vorher.
Jetzt ist mit aber bei der Durchsicht der Protokolle aufgefallen, dass dort eine Warnung steht, dass ein selbsterstelltes Zertifikat für den Exchangeserver in wenigen tagen ausläuft.
Dieses wollte ich jetzt erneuern. Dabei erhielt icg aber die Fehelrmeldung, dass der Domainconntroller mit der Zertifizierungsstelle nicht errichbar ist oder dass dieser über keine entsptrechende Vorlage zurm erneuen des Zertifikates besitzt.
Daraufhin schaute ich in der Zertifizierungsstelle auf dem entsprechenden dC nach und erhielt unter "Zertifikatvolagen" folgendes Dild:
Auch aknn ich nicht über den Menüunkt "Neu -> Auszustellende Zertifikatvorlage" keine neuen hinzufügen, da dieser Punkt deaktiviert ist.
Über den Menüpunkt "Verwalten", werden mir aber die vorlagen des Serversangezeigt.
Nur eben leider nicht in der Zertifizierungsstelle.
Im Ereignisprotokoll habe ich dazu nur fülgende Fehlermeldung gefunden:
+ System - Provider [ Name] Microsoft-Windows-CertificationAuthority [ Guid] {6A71D062-9AFE-4F35-AD08-52134F85DFB9} EventID 134 Version 0 Level 4 Task 0 Opcode 0 Keywords 0x8000000000000000 - TimeCreated [ SystemTime] 2020-12-18T09:19:10.803245100Z EventRecordID 33242 Correlation - Execution [ ProcessID] 8744 [ ThreadID] 11216 Channel Application Computer Win2012-CADC.ttdatdom.local - Security [ UserID] S-1-5-18 - EventData CACommonName ttdatdom-SBS2011-SRV-CA ErrorCode Ein erforderliches Zertifikat befindet sich nicht im Gültigkeitszeitraum gemessen an der aktuellen Systemzeit oder dem Zeitstempel in der signierten Datei. 0x800b0101 (-2146762495 CERT_E_EXPIRED) CACertIdentifier 0gefolgt von:
+ System - Provider [ Name] Microsoft-Windows-CertificationAuthority [ Guid] {6A71D062-9AFE-4F35-AD08-52134F85DFB9} EventID 44 Version 0 Level 2 Task 0 Opcode 0 Keywords 0x8000000000000000 - TimeCreated [ SystemTime] 2020-12-18T09:19:10.865751700Z EventRecordID 33243 Correlation - Execution [ ProcessID] 8744 [ ThreadID] 11216 Channel Application Computer Win2012-CADC.ttdatdom.local - Security [ UserID] S-1-5-18 - EventData PolicyModuleDescription Windows-Standard MethodName Initialize ErrorCode 0x80070490 (1168) param4 Die erforderlichen Active Directory-Informationen konnten von den Active Directory-Zertifikatdiensten nicht gefunden werden. ErrorString Element nicht gefunden.
Wann das Problem zu ersten Mal auftriott kann ich leider nicht sagen. Denn wie gasagt, bisher hatte alles funtioniert und nach der Migration der Zertifizierungsstelle, DC, PDC usw. traten bisher auch keien Probleme auf.
Sogar das OWA des Exchange server funktierte ohne Problme, womit wir beim alten SBS2011 immer Probleme mit dem Zertifikat hatten.
Ehrlich gesagt bin ich jetzt Ratlos.
Wie kann ich das Problem beheben. Denn in wenigen Tagen läuft das betroffene Exchangeserver Zwertifikat und das Domainserverzertifikat aus. Ich habe darum die Angst, dass dann garnichts mehr läuft in unserem Netz.Ich wäre für jede Hilfe sehr Dankbar.
viele Grüße
Heiko Witt
Heiko
Alle Antworten
-
Hallo,
vielen Dank für die Antwort. Da bin ich etwas beruhigt.
Nur das mit den 20 min wird bei mir wohl nichts. Ich mache soetwas nur alle paar Jahre einmal.
Ich habe die Zertifizierungsstelle einmal neu gestarter. Leider sind keine weiteren erhellenden Meldungen in den Eventlogs zu sehen.
Nur 3 Meldungen beziehen sich auf die Zertifizierungsstelle:
- System - Provider [ Name] Microsoft-Windows-CertificationAuthority [ Guid] {6A71D062-9AFE-4F35-AD08-52134F85DFB9} EventID 134 Version 0 Level 4 Task 0 Opcode 0 Keywords 0x8000000000000000 - TimeCreated [ SystemTime] 2020-12-18T12:47:58.532005200Z EventRecordID 33328 Correlation - Execution [ ProcessID] 1432 [ ThreadID] 1436 Channel Application Computer Win2012-CADC.ttdatdom.local - Security [ UserID] S-1-5-18 - EventData CACommonName ttdatdom-SBS2011-SRV-CA ErrorCode Ein erforderliches Zertifikat befindet sich nicht im Gültigkeitszeitraum gemessen an der aktuellen Systemzeit oder dem Zeitstempel in der signierten Datei. 0x800b0101 (-2146762495 CERT_E_EXPIRED) CACertIdentifier 0gefolgt von:
- System - Provider [ Name] Microsoft-Windows-CertificationAuthority [ Guid] {6A71D062-9AFE-4F35-AD08-52134F85DFB9} EventID 44 Version 0 Level 2 Task 0 Opcode 0 Keywords 0x8000000000000000 - TimeCreated [ SystemTime] 2020-12-18T12:47:58.908564500Z EventRecordID 33329 Correlation - Execution [ ProcessID] 1432 [ ThreadID] 1436 Channel Application Computer Win2012-CADC.ttdatdom.local - Security [ UserID] S-1-5-18 - EventData PolicyModuleDescription Windows-Standard MethodName Initialize ErrorCode 0x80070490 (1168) param4 Die erforderlichen Active Directory-Informationen konnten von den Active Directory-Zertifikatdiensten nicht gefunden werden. ErrorString Element nicht gefunden.und
- System - Provider [ Name] Microsoft-Windows-CertificationAuthority [ Guid] {6A71D062-9AFE-4F35-AD08-52134F85DFB9} EventID 26 Version 0 Level 4 Task 0 Opcode 0 Keywords 0x8000000000000000 - TimeCreated [ SystemTime] 2020-12-18T12:47:59.005867500Z EventRecordID 33330 Correlation - Execution [ ProcessID] 1432 [ ThreadID] 1436 Channel Application Computer Win2012-CADC.ttdatdom.local - Security [ UserID] S-1-5-18 - EventData CACommonName ttdatdom-SBS2011-SRV-CA DCSpecifier DC= DCName Win2016-DC.ttdatdom.locales sind also nur die bekannten Meldungen.
Ich habe mir auch das Zertifikat der CA angesehen. Dieses ist noch bis 27.04.2022 gültig:
Da das Zertifikat 2017 erstellt wurde, also mit der Erstellung der Damaine, liegen in dem Verzeichnis aucvh keine anderen Versionen drin.
Das einzige, was mir als Ursache einfällt, ist dass der neue DC-Server, auf welcher die CA läuft, einen anderen Namen als der alte SBS2011 Server hat.
Bei der Migration hatte ich damals eine Anleitung dafür, die ich jetzt leider nicht mehr wiederfinde. an diese hatte ich mich gehalten und es hat ja damals auch funktioneirt und die Vorlagen waren vorhanden.
viele Grüße,
Heiko
Heiko
