IIS des WSUS findet Enterprise CA nicht

[theonlybrand 0]

Hallo zusammen,

 

ich möchte für meinen WSUS SSL einrichten, habe dazu die Anleitung unter https://www.wsus.de/ssl_kommunikation verwendet.

Jetzt habe ich nur beim Anfordern des Domänenzertifikats das Problem, dass ich meine Enterprise CA nicht finde wenn ich diese bei "Online-Zertifizierungsstelle" angeben soll.

Auch das manuelle eintragen von Zertifizierungsstellenname\Servername funktioniert nicht, denn dann bekomme ich die folgende Fehlermeldung. (siehe Anhang)

 

Hat mir jemand einen Denkanstoß?

Danke euch

 

theonlybrand

 

bearbeitet 20. Februar 2017 von theonlybrand

[Gu4rdi4n 80]

du hast den anhang vergessen ;)

[theonlybrand 0]

so jetzt :D

[zahni 587]

Schau mal hier:

 

https://www.experts-exchange.com/questions/28981150/Windows-Server-2012-R2-Certificate-Authority.html

 

Du findest zum Fehler-Code auch noch andere Treffer bei Google.

 

Kleiner Hinweis: Beim Hashalgorithmus  bitte SHA256 oder  besser auswählen, kein SHA1. Da ist die Anleitung nicht  ganz aktuell...

Siehe https://blogs.technet.microsoft.com/askpfeplat/2015/03/15/sha-1-deprecation-and-changing-the-root-cas-hash-algorithm/

[Sunny61 833]

Kleiner Hinweis: Beim Hashalgorithmus  bitte SHA256 oder  besser auswählen, kein SHA1. Da ist die Anleitung nicht  ganz aktuell...

Ist ja auch aus dem Jahr 2013:

 

WSUS 3.0 SP2 Vers. 6.2.9200.16384 (Juni 2013)

:)

[zahni 587]

Da war doch noch was ... ;)

[theonlybrand 0]

Hab ich gemacht, funktioniert immer noch nicht -.- Muss ich diese Negotiate Authentifizierung vllt rauswerfen?

[zahni 587]

Der Link bezog sich auf die CA und nicht auf den WSUS...

[theonlybrand 0]

da ist das auch konfiguriert

[zahni 587]

Bitte nicht auf der obersten Ebene, sondern auf  /certsrv. Sonst gehen Eventuell andere Dinge, wie das Abrufen der CRL nicht.

Ansonsten Negotiate (Kerberos) nach oben und "Extented Protection" aus. Und mal neu booten.

[theonlybrand 0]

Ok habs hinbekommen, der Benutzer auf dem WSUS war der lokale Admin und nicht Domänenadmin

[NorbertFe 2.283]

Toll wieder jemand der lokale Kennworte identisch setzt. :rolleyes:

[theonlybrand 0]

nein da muss ich dich enttäuschen Norbert ;) Ich hab nur nicht genügend nachgedacht

[NorbertFe 2.283]

Noch mal Glück gehabt, wobei ein Dom Admin nicht für die Administration eines wsus benötigt wird.

[theonlybrand 0]

Die Clients bauen immer noch keine Verbindung zum WSUS auf, habe bereits im Zertifikatspeicher (Lokaler Computer) das Zertifikat des WSUS in den Vertrauenswürdigen Stammzertifizierungsstellen hinterlegt, sowie ein Clientzertifikat. Fehlt mir da noch irgendwas?

Die Gruppenrichtlinie wird korrekt übernommen, die Registryeinträge unter HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate sind auch korrekt mit https://wsusip:8531 (WUServer und WUStatusServer)