Probleme mit Zertifikatsdiensten in 2003 Server

[Justus_ch 10]

Hallo

Hab mal in einer MS-NewsGroup folgendes problem gepostet - und leider keine Antwort erhalten. Kann mir hier vielleicht jemand weiterhelfen?

 

Alle paar Stunden erscheinen im Log die folgenden zwei Einträge:

 

Zuerst CertSvc 77:

Der Richtlinienmodul "Windows-Standard" hat folgende Warnung protokolliert:

Die Active Directory-Verbindung mit DC03 wurde wiederhergestellt mit DC03.

 

Danach AutoEnrollment 21:

Die automatische Zertifikatregistrierung für "lokaler Computer" hat

versucht, sich für ein Zertifikat "Domänencontroller" von der

Zertifizierungsstelle "ZS" auf "dc03.xxx.intra" zu registrieren. Die

Anforderung wartet auf den Abschluss.

 

Im Public Key Management Tool hab ich dann bemerkt, dass der Ordner für

Ausstehende Anfragen koninuierlich gefüllt wird.

Weiter habe ich festgestellt, dass unter "Eigene Zertifikate" die

ausgestellten Zertifikate alle oke sind bis auf den Domänencontroller, auf

welchem auch die Zertifizierungsstelle läuft. Also versuchte ich, dessen

Zertifikat zu erneuern, mit "Zertifikat mit demselben Schlüssel erneuern".

Leider schlägt dies fehl mit der Begründung einem Logeintrag:

 

CertSvc 22:

Die Anforderung 688 konnte aufgrund eines Fehlers nicht ausgeführt werden:

Ein erforderliches Zertifikat befindet sich nicht im Gültigkeitszeitraum

gemessen an der aktuellen Systemzeit oder dem Zeitstempel in der signierten

Datei. 0x800b0101 (-2146762495). Die Anforderung bezog sich auf

CN=dc03.xxx.intra. Weitere Informationen: Fehler beim Verifizieren der

Anforderungssignatur oder des Signierungszertifikats

 

Leider werd ich daraus nicht schlau, was ich machen soll. Kann mir da jemand

weiterhelfen??

Danke und Grüsse

Justus

[ChristianHemker 10]

Hallo,

 

die Uhrzeit des Domänencontrollers stimmt überein mit der Uhrzeit der Zertifizierungsstelle?

[Justus_ch 10]

Hallo,

 

die Uhrzeit des Domänencontrollers stimmt überein mit der Uhrzeit der Zertifizierungsstelle?

 

Hallo.

Naja, die NTP-Synchronisation funktioniert leider tatsächlich nicht richtig, aber da ja Zertifizierungsstelle und Domänencontroller und alles andere auf einem einzigen Server laufen, sollte dies doch eigentlich keine Probleme machen. :suspect:

[ChristianHemker 10]

Wenn alles auf einer Maschine läuft sollte es wirklich egal sein.

Was ist, wenn du das Zertifikat komplett neu anforderst?

[weg5st0 10]

Bei mir steht das nach dem Reboot im Log, wenn beides auf einer Maschine läuft. Die Grurilis werden gezogen, bevor die Zert-Dienste laufen.

Allerdings ist nach ca. 15 Minuten ein Eintrag ala Autoenrollment erfolgreich zu lesen.

[ChristianHemker 10]

Also wenn es nur darum geht, dass kein Autoenrollment mehr stattfinden soll, so kannst du das per GPO für den DC abstellen, bzw. die Berechtigung auf der Vorlage entziehen.