Zertifikat für Unter CA ausstellen

[bouncer86 5]

Hallo,

 

ich habe in einer Testumgebung nun eine RootCA erstellt.(Enterprise CA). Nun möchte ich eine Sub CA erstellen, welche die Zertifikate an die Clients und Computer ausgibt. Ich möchte aber, dass das UnterCA Zertifikat nur 1 Tag gültig ist.(Testzwecke)

 

Nun habe ich in meiner RootCA die Vorlage "Untergeordnete Zertifizierungsstelle" dupliziert und veröffentlicht. Sowie dem Computerobjekt die Berechtigung auf das Zertifikat gegeben.

 

Über die mmc kann ich nun das Zertifikat beantragen und ausstellen, aber meine CA will ein anderes Zertifikat haben, bzw. ein neues beantragen.

 

Dabei erhalte ich aber nun die Meldung, dass der Benutzer nicht berechtigt ist, dass Zertifikat zu beantragen.

 

Allerdings bin ich mit dem haupt Administrator angemeldet und dieser hat registrierungsrechte auf der doppelten Vorlage.

 

Wie ist denn der richtige Weg um ein Unterstellen Zertifikat auszustellen?

[wilgin 11]

Hallo,

 

wie hast du den die Unter CA installiert? Wenn du die Rolle installierst, wirst du ja gefragt welche RootCA du verwenden willst, oder? Danach erfolgt die Registrierung automatisch.

 

(Um welches Betriebssystem handelt es sich 2003 / 2008 / 2012)

 

vg

Wilfried

[bouncer86 5]

ja, ich habe die über die rollen installiert. Ist Win 2008 R2 Enterprise.

Wie gesagt möchte gerne die eigene Vorlage mit einer Laufzeit von einem Tag für die CA erstellen.

 

 

Habe nun die Sub CA entfernt und neu hinzugefügt. Dabei habe gesagt, dass die Anforderung als Datei gespeichert werden soll.

 

 

Diesen Request habe ich dann im web Portal der Root CA eingereicht und das Template Kopie von Unterzertifizierungsstelle ausgewählt.

 

Doch ich erhalte dann im Eventlog folgende Fehlermeldung:

Die Anforderung 11 wurde abgelehnt, da Die Anforderung enthält widersprüchliche Vorlageninformationen. 0x80094802 (-2146875390). Die Anforderung war für CN=contoso-ISSUINGCA-CA, DC=contoso, DC=local. Weitere Informationen: Verweigert vom Richtlinienmodul  0x80094802, Die Anforderung spezifiziert in Konflikt stehende Zertifikatvorlagen: SubCA/Kopie von Untergeordnete Zertifizierungsstelle.

 

Achja, das Template ist ein Win 2008 Enterprise Template.

 

Achja, wenn ich die Standardvorlage "Untergeordnete CA" nutze, kann ich das Zertifikat einwandfrei ausstellen lassen.

 

Auf was muss ich denn achten, wenn ich ein eigenes Template für die CA nutzen möchte?

bearbeitet 2. September 2013 von bouncer86

[bouncer86 5]

Mh ich konnte leider selbst nichts dazu finden. Aber es muss doch möglich sein, ein Unterca Template zu duplizieren.. und entsprechend auszurollen?!

[bouncer86 5]

Habe was gefunden, und zwar muss man bevor die Rolle der Sub CA installiert wird eine Datei capolicy.inf im Windows Verzeichnis erstellen und dort den Namen des Templates anlegen. Dann die Rolle installieren, die Root CA auswahlen und anschließend wird das Zertifikat sauber beantragt und installiert

[samsam 14]

Moin,

 

hier sind zwei sehr gute Artikel:

Step by Step Guide - Single Tier PKI Hierarchy Deployment

AD CS Step by Step Guide: Two Tier PKI Hierarchy Deployment

 

MFG