Zertifikatsdienste lassen sich nicht starten

[flex001 10]

Hallo zusammen,

 

ich habe seit kurzem das Problem, dass meine Zertifizierungsstelle (auf DC) sich nicht mehr starten lässt:

 

EventID:

 

Ereignistyp: Fehler

Ereignisquelle: CertSvc

Ereigniskategorie: Keine

Ereigniskennung: 63

Datum:

Zeit:

Benutzer: Nicht zutreffend

Computer: ADC1

Beschreibung:

Die Zertifikatdienste wurden nicht gestartet: Dem Client fehlt ein erforderliches Recht. 0x80070522 (WIN32: 1314).

 

Ereignistyp: Fehler

Ereignisquelle: AutoEnrollment

Ereigniskategorie: Keine

Ereigniskennung: 16

Datum:

Zeit:

Benutzer: Nicht zutreffend

Computer: ADC1

Beschreibung:

Die automatische Zertifikatregistrierung für "lokaler Computer" konnte ein Zertifikat "Domänencontroller" (0x80070005) nicht erneuern. Zugriff verweigert

 

Ereignistyp: Fehler

Ereignisquelle: AutoEnrollment

Ereigniskategorie: Keine

Ereigniskennung: 13

Datum:

Zeit:

Benutzer: Nicht zutreffend

Computer: ADC1

Beschreibung:

Die automatische Zertifikatregistrierung für "lokaler Computer" konnte ein Zertifikat "Domänencontroller" (0x80070005) nicht registrieren. Zugriff verweigert

 

dazu gesellt sich folgende DCOM-Meldung alle 30 Min.

 

Ereignistyp: Fehler

Ereignisquelle: DCOM

Ereigniskategorie: Keine

Ereigniskennung: 10016

Datum:

Zeit:

Benutzer: xxx\administrator

Computer: ADC1

Beschreibung:

Durch die Berechtigungseinstellungen (Anwendungsspezifisch) wird der SID (S-1-5-21-84762009-122509280-617630493-500) für Benutzer XXXX\Administrator keine Startberechtigung (Lokal) für die COM-Serveranwendung mit CLSID

{D99E6E73-FC88-11D0-B498-00A0C90312F3}

gewährt. Diese Sicherheitsberechtigung kann mit dem Verwaltungsprogramm für Komponentendienste geändert werden.

 

Ich hab schon folgende Lösung gefunden:

 

Admins-Tipps.de - Event-ID 10016 DCOM nach Windows 2003 SP1

 

... allerdings zeigt der Reg-Eintrag bei mir auf certsrv.admin und nicht auf certsrv.request.

Certsrv.admin habe ich in den Komponentendiensten allerdings gar nicht.

Wie bekomme ich diese Komponente wieder her bzw. was kann ich sonst machen?

 

Vielen Dank.

 

Flex

[olc 18]

Hi,

 

such doch einmal in den Komponentendiensten nach der GUID "{D99E6E73-FC88-11D0-B498-00A0C90312F3}" - die sollte im Normalfall vorhanden sein. Dort vergibst Du dann die entsprechenden Berechtigungen.

 

Viele Grüße

olc

[flex001 10]

Hi,

 

nein, eben nicht.

{D99E6E73-FC88-11D0-B498-00A0C90312F3} ist bei mir Certsrv.admin und die gibt es nicht. Ich habe nur certsrv.request :wink2:

Wie bekomme ich die Certsrv.admin wieder her?

 

Danke

Flex

[olc 18]

Hi Flex,

 

keine Ahnung - mach ein Backup der CA inkl. privaten Schlüsseln, Datenbank und Registry Keys und installiere die CA Rolle neu. Dann wird es wieder angelegt, sollte es fehlen.

 

Was Du sichern mußt, erfährst Du hier: How to move a certification authority to another server

 

Viele Grüße

olc

[flex001 10]

Hi Olc,

 

danke für die Antwort.

Aber wie sichere ich die CA, wenn der Dienst nicht läuft?

Es wird wohl nicht reichen, wenn ich das Verzeichnis + Reg wegsichere :suspect:

[olc 18]

Hi,

 

Du kannst die Kommandozeile bemühen, um die DB und die privaten Schlüssel der CA zu sichern. Schau Dir dazu einmal den Befehl "certutil -backup" an.

 

Wichtig ist, daß Du vor der Deinstallation der Rolle die Datenbank inkl. Logdateien, den privaten Schlüssel + Zertifikat (=PFX) der CA und die CertSrv-Registrierungsschlüssel hast.

 

Viele Grüße

olc