Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit
GELÖST

Zertifikatsserver, Sperrliste, UnavailabeConfigDN

Frage Microsoft Windows Server

Mitglied: Kaffeepause

Kaffeepause (Level 1) - Jetzt verbinden

20.12.2011, aktualisiert 16:29 Uhr, 6400 Aufrufe, 1 Kommentar

Ich setze eine neue Stammzertifizierungsstelle (Root CA) auf und kann deren Sperrliste nicht ins AD importieren (DC=UnavailableConfigDN).

Hallo,

ich versuche eine neue Zertifizierungsstruktur in einer neuen Domäne aufzubauen.

Die Stammzertifizierungsstelle (Root CA) wurde installiert (Server 2008 Datacenter Edition) und ist nicht Mitglied der Domäne.

Allerdings wird von der Stammzertifizierungsstelle keine korrekte Sperrliste erstellt, so dass ich wiederum diese Sperrliste nicht ins AD importieren und damit auch keine ausstellende Zertifizierungsstelle (Issuing CA) erstellen kann.

In der Sperrliste taucht in den Eigenschaften der Eintrag auf:
01.
[1]Standort 
02.
     Name des Verteilungspunktes: 
03.
          Vollst. Name: 
04.
               URL=ldap:///CN=Meine%20Firma,CN=Server01,CN=CDP,CN=Public%20Key%20Services,CN=Services,DC=UnavailableConfigDN?certificateRevocationList?base?objectClass=cRLDistributionPoint
Man sieht, dass hier ein Fehler vorliegt: DC=UnavailabeConfigDN
Die Variable scheint nicht korrekt hinterlegt zu sein, deshalb kann der LDAP-Pfad für die Ablage der Sperrliste nicht generiert und von anderen Zertifizierungsstellen abgefragt werden.

Bei der Installation der Stammzertifizierungsstelle (Root CA) habe ich allerdings ein PostinstallationsSkript ausgeführt, das diese Variable setzt.

Hier das Postinstallationskript

01.
::Declare Configuration NC 
02.
certutil -setreg CA\DSConfigDN "CN=Configuration,DC=firma,DC=intern" 
03.
certutil -setreg CA\DSDomainDN "DC=firma,DC=intern" 
04.
 
05.
certutil -setreg CA\CRLPeriodUnits 30 
06.
certutil -setreg CA\CRLPeriod "Weeks" 
07.
certutil -setreg CA\CRLDeltaPeriodUnits 0 
08.
certutil -setreg CA\CRLDeltaPeriod "Days" 
09.
 
10.
::CDP Pfade setzen 
11.
certutil -setreg CA\CRLPublicationURLs "65:%windir%\system32\CertSrv\CertEnroll\%%3%%8%%9.crl\n79:ldap:///CN=%%7%%8,CN=%%2,CN=CDP,CN=Public Key Services,CN=Services,%%6%%10" 
12.
 
13.
::AIA Pfad setzen 
14.
certutil -setreg CA\CACertPublicationURLs "1:%windir%\system32\CertSrv\CertEnroll\%%1_%%3%%4.crt\n3:ldap:///CN=%%7,CN=AIA,CN=Public Key Services,CN=Services,%%6%%11" 
15.
 
16.
::Auditing einschalten 
17.
certutil -setreg CA\AuditFilter 127 
18.
 
19.
::Laufzeit für erstellte Zertifikate 
20.
certutil -setreg CA\ValidityPeriodUnits 5 
21.
certutil -setreg CA\ValidityPeriod "Years" 
22.
 
23.
::Neustart Zertifikatsdienst 
24.
 
25.
net stop certsvc & net start certsvc
Hier wird sowohl die DSConfigDN gesetzt (erste Code-Zeile), als auch später der LDAP-Pfad der CDP.

Versuche ich trotzdem, diese Sperrliste mit dem Befehl
01.
certutil -dspublish -f "certcrl.crl"
ins AD zu importieren, schlägt dieser Vorgang fehl.

01.
ldap: 0xa: 0000202B: RefErr: DSID-031007EF, data 0, 1 access points 
02.
        ref 1: 'unavailableconfigdn' 
03.
 
04.
CertUtil: -dsPublish-Befehl ist fehlgeschlagen: 0x8007202b (WIN32: 8235) 
05.
CertUtil: Eine Referenzauswertung wurde vom Server zurückgesendet.)
Damit kann ich auch die untergeordnete ausstellende Zertifizierungsstelle (Issuing CA) nicht starten (also den Dienst).

Hab gegoogelt und gegoogelt, hab aber entweder nur Beiträge gefunden, die am Ende nicht gelöst wurden, oder Beiträge, bei denen der Ersteller einen Punkt bei der Einrichtung der Root CA vergessen hatte. Beides bringt mich leider nicht weiter.

Hat noch jemand Ansätze?

Viele Grüße,
die Kaffeepause
Mitglied: Kaffeepause
13.01.2012 um 09:49 Uhr
Hat sich erledigt.

Man muss in der Offline-Root-Zertifikatsstelle in die Eigenschaften gehen und dort bei "Erweiterungen" die Punkte "ldap" und "file" als Verteilungsorte entfernen.

Dann passt das auch.

Hat in der mir vorliegenden Dokumentation gefehlt, steht aber in verschiedenen Internet-Anleitungen.


PS: Hab auch beim neuen Versuch ein Postinstallationsskript OHNE den AIA- und CDP-Bereich verwendet. Denn in dem mir vorliegenden Skript wurden dort die Verteilungspfade festgelegt, unter anderem auch im Active Directory (LDAP). Die Root-CA ist jedoch kein Mitglied der Domäne, kann das also gar nicht prüfen. Das schien mir also falsch. Möglicherweise war dieses mir vorliegende Skript nicht für die Root-CA gedacht, sondern für die Issuing-CA. Denn dort ist der Verteilungspunkt im Active Directory sinnvoll.
Bitte warten ..
Neuester Wissensbeitrag
Humor (lol)

Linkliste für Adventskalender

(3)

Information von nikoatit zum Thema Humor (lol) ...

Heiß diskutierte Inhalte
Windows Server
DHCP Server switchen (25)

Frage von M.Marz zum Thema Windows Server ...

SAN, NAS, DAS
gelöst HP-Proliant Microserver Betriebssystem (14)

Frage von Yannosch zum Thema SAN, NAS, DAS ...

Grafikkarten & Monitore
Win 10 Grafikkarte Crash von Software? (13)

Frage von Marabunta zum Thema Grafikkarten & Monitore ...

Windows 7
Verteillösung für IT-Raum benötigt (12)

Frage von TheM-Man zum Thema Windows 7 ...