5
Problem Enterprise PKI
Hallo,
Ich versuchte heute eine Enterprise PKI in einer Lab Umgebung aufzubauen. Aber ich bekam immer den folgenden Fehler:
Can not verify certification chain. Do you wish to ignore the error and continue? The revocation function was unable to check revocation because the revocation server was offline.
Meine Lab Umgebung besteht aus 3 Server. Einem DC einer Subordinate CA (Domain Member Server) und einer Root CA (kein Domain Member).
Nach dieser Anleitung http://mizitechinfo.wordpress.com/2013/08/31/step-by-step-deploying-an- ... ging ich vor.
Könnt Ihr mir helfen um das Problem zu beheben?
Danke für Eure Hilfe.
Viele Grüße
Stefan
Ich versuchte heute eine Enterprise PKI in einer Lab Umgebung aufzubauen. Aber ich bekam immer den folgenden Fehler:
Can not verify certification chain. Do you wish to ignore the error and continue? The revocation function was unable to check revocation because the revocation server was offline.
Meine Lab Umgebung besteht aus 3 Server. Einem DC einer Subordinate CA (Domain Member Server) und einer Root CA (kein Domain Member).
Nach dieser Anleitung http://mizitechinfo.wordpress.com/2013/08/31/step-by-step-deploying-an- ... ging ich vor.
Könnt Ihr mir helfen um das Problem zu beheben?
Danke für Eure Hilfe.
Viele Grüße
Stefan
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 227808
Url: https://administrator.de/contentid/227808
Printed on: April 25, 2024 at 13:04 o'clock
5 Comments
Latest comment
Hallo,
die Fehlermeldung ist doch recht eindeutig:
The revocation function was unable to check revocation because the revocation server was offline
Windows PKI überprüft für die gesamte Kette die CRL Informationen unter dern URLs die in den Zertifikaten angegeben sind. Das klappt bei dir mit mindestens einem Zertifikat nicht, d.h. entweder die eingetragene URI ist falsch oder du hast vergessen die CRL zu den passenden Plätzen zu verteilen. Lösungen gibt es z.B. hier:
http://social.technet.microsoft.com/Forums/windowsserver/en-US/348a9b8d ...
Gruß
Andi
die Fehlermeldung ist doch recht eindeutig:
The revocation function was unable to check revocation because the revocation server was offline
Windows PKI überprüft für die gesamte Kette die CRL Informationen unter dern URLs die in den Zertifikaten angegeben sind. Das klappt bei dir mit mindestens einem Zertifikat nicht, d.h. entweder die eingetragene URI ist falsch oder du hast vergessen die CRL zu den passenden Plätzen zu verteilen. Lösungen gibt es z.B. hier:
http://social.technet.microsoft.com/Forums/windowsserver/en-US/348a9b8d ...
Gruß
Andi
Hallo Andi,
Danke für Deine Antwort.
An so etwas habe ich schon gedacht. Nur verstehe ich noch nicht das warum.
Kannst Du mir bitte da noch etwas auf die Sprünge helfen? In den Anleitungen fand ich immer wieder das die Root CA keinen IIS Server am laufen hat. Aber wird er nicht benötigt um die URL zu testen? https://mizitechinfo.wordpress.com/2013/08/29/step-by-step-deploying-a-s ...
Lg
Stefan
Danke für Deine Antwort.
An so etwas habe ich schon gedacht. Nur verstehe ich noch nicht das warum.
Kannst Du mir bitte da noch etwas auf die Sprünge helfen? In den Anleitungen fand ich immer wieder das die Root CA keinen IIS Server am laufen hat. Aber wird er nicht benötigt um die URL zu testen? https://mizitechinfo.wordpress.com/2013/08/29/step-by-step-deploying-a-s ...
Lg
Stefan
Hallo,
das hängt davon ab welche URL in den Zertifikaten der Kette eingetragen ist. Es kann sich dabei auch um einen ganz anderen und nicht den Root CA Server handeln, dieser muß lediglich eine aktuelle signierte CRL vorhalten oder per OCSP eine gültige Antwort liefern (http://de.wikipedia.org/wiki/Zertifikatsperrliste), http://de.wikipedia.org/wiki/Online_Certificate_Status_Protocol). Alternativ dazu kann man den Check auf zurück gezogene Zertifikate deaktivieren, ist aber dann eher Pfusch*Pfusch.
Gruß
Andi
das hängt davon ab welche URL in den Zertifikaten der Kette eingetragen ist. Es kann sich dabei auch um einen ganz anderen und nicht den Root CA Server handeln, dieser muß lediglich eine aktuelle signierte CRL vorhalten oder per OCSP eine gültige Antwort liefern (http://de.wikipedia.org/wiki/Zertifikatsperrliste), http://de.wikipedia.org/wiki/Online_Certificate_Status_Protocol). Alternativ dazu kann man den Check auf zurück gezogene Zertifikate deaktivieren, ist aber dann eher Pfusch*Pfusch.
Gruß
Andi
Hallo Andi,
ich nutze diese beiden URLs
http://svr02rootca/CertData/<CaName><CRLNameSuffix><Delt ...
http://svr02rootca/CertData/<ServerDNSName>_<CertificateName&g ...
svr02rootca Root CA
svr01dc.domain.loc Domain DC
svr03subCA.domain.loc Sub CA
Root CA ist kein Domainmitglied. Die Erstellung der URLs sind in der Anleitung https://mizitechinfo.wordpress.com/2013/08/29/step-by-step-deploying-a-s ... ab Punkt 25 beschrieben.
Kannst Du bitte mal in die Anleitung schauen und wo Du denkst ist der Fehler. Danke
Viele Grüße
STefan
ich nutze diese beiden URLs
http://svr02rootca/CertData/<CaName><CRLNameSuffix><Delt ...
http://svr02rootca/CertData/<ServerDNSName>_<CertificateName&g ...
svr02rootca Root CA
svr01dc.domain.loc Domain DC
svr03subCA.domain.loc Sub CA
Root CA ist kein Domainmitglied. Die Erstellung der URLs sind in der Anleitung https://mizitechinfo.wordpress.com/2013/08/29/step-by-step-deploying-a-s ... ab Punkt 25 beschrieben.
Kannst Du bitte mal in die Anleitung schauen und wo Du denkst ist der Fehler. Danke
Viele Grüße
STefan
Hallo,
ich hab zur Zeit keine Windows PKI hier und die Anleitung ist im Punkt CRL verteilen nicht sehr detailiert.
Hier werden die Hintergründe zu CDP/CRL etwas genauer ausgeführt, ist allerdings in englisch:
http://blogs.technet.com/b/nexthop/archive/2012/12/17/creating-a-certif ...
Gruß
Andi
ich hab zur Zeit keine Windows PKI hier und die Anleitung ist im Punkt CRL verteilen nicht sehr detailiert.
Hier werden die Hintergründe zu CDP/CRL etwas genauer ausgeführt, ist allerdings in englisch:
http://blogs.technet.com/b/nexthop/archive/2012/12/17/creating-a-certif ...
Gruß
Andi
