Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit
GELÖST

Zertifikatsserver, Sperrliste, UnavailabeConfigDN

Frage Microsoft Windows Server

Mitglied: Kaffeepause

Kaffeepause (Level 1) - Jetzt verbinden

20.12.2011, aktualisiert 16:29 Uhr, 6492 Aufrufe, 1 Kommentar

Ich setze eine neue Stammzertifizierungsstelle (Root CA) auf und kann deren Sperrliste nicht ins AD importieren (DC=UnavailableConfigDN).

Hallo,

ich versuche eine neue Zertifizierungsstruktur in einer neuen Domäne aufzubauen.

Die Stammzertifizierungsstelle (Root CA) wurde installiert (Server 2008 Datacenter Edition) und ist nicht Mitglied der Domäne.

Allerdings wird von der Stammzertifizierungsstelle keine korrekte Sperrliste erstellt, so dass ich wiederum diese Sperrliste nicht ins AD importieren und damit auch keine ausstellende Zertifizierungsstelle (Issuing CA) erstellen kann.

In der Sperrliste taucht in den Eigenschaften der Eintrag auf:
01.
[1]Standort 
02.
     Name des Verteilungspunktes: 
03.
          Vollst. Name: 
04.
               URL=ldap:///CN=Meine%20Firma,CN=Server01,CN=CDP,CN=Public%20Key%20Services,CN=Services,DC=UnavailableConfigDN?certificateRevocationList?base?objectClass=cRLDistributionPoint
Man sieht, dass hier ein Fehler vorliegt: DC=UnavailabeConfigDN
Die Variable scheint nicht korrekt hinterlegt zu sein, deshalb kann der LDAP-Pfad für die Ablage der Sperrliste nicht generiert und von anderen Zertifizierungsstellen abgefragt werden.

Bei der Installation der Stammzertifizierungsstelle (Root CA) habe ich allerdings ein PostinstallationsSkript ausgeführt, das diese Variable setzt.

Hier das Postinstallationskript

01.
::Declare Configuration NC 
02.
certutil -setreg CA\DSConfigDN "CN=Configuration,DC=firma,DC=intern" 
03.
certutil -setreg CA\DSDomainDN "DC=firma,DC=intern" 
04.
 
05.
certutil -setreg CA\CRLPeriodUnits 30 
06.
certutil -setreg CA\CRLPeriod "Weeks" 
07.
certutil -setreg CA\CRLDeltaPeriodUnits 0 
08.
certutil -setreg CA\CRLDeltaPeriod "Days" 
09.
 
10.
::CDP Pfade setzen 
11.
certutil -setreg CA\CRLPublicationURLs "65:%windir%\system32\CertSrv\CertEnroll\%%3%%8%%9.crl\n79:ldap:///CN=%%7%%8,CN=%%2,CN=CDP,CN=Public Key Services,CN=Services,%%6%%10" 
12.
 
13.
::AIA Pfad setzen 
14.
certutil -setreg CA\CACertPublicationURLs "1:%windir%\system32\CertSrv\CertEnroll\%%1_%%3%%4.crt\n3:ldap:///CN=%%7,CN=AIA,CN=Public Key Services,CN=Services,%%6%%11" 
15.
 
16.
::Auditing einschalten 
17.
certutil -setreg CA\AuditFilter 127 
18.
 
19.
::Laufzeit für erstellte Zertifikate 
20.
certutil -setreg CA\ValidityPeriodUnits 5 
21.
certutil -setreg CA\ValidityPeriod "Years" 
22.
 
23.
::Neustart Zertifikatsdienst 
24.
 
25.
net stop certsvc & net start certsvc
Hier wird sowohl die DSConfigDN gesetzt (erste Code-Zeile), als auch später der LDAP-Pfad der CDP.

Versuche ich trotzdem, diese Sperrliste mit dem Befehl
01.
certutil -dspublish -f "certcrl.crl"
ins AD zu importieren, schlägt dieser Vorgang fehl.

01.
ldap: 0xa: 0000202B: RefErr: DSID-031007EF, data 0, 1 access points 
02.
        ref 1: 'unavailableconfigdn' 
03.
 
04.
CertUtil: -dsPublish-Befehl ist fehlgeschlagen: 0x8007202b (WIN32: 8235) 
05.
CertUtil: Eine Referenzauswertung wurde vom Server zurückgesendet.)
Damit kann ich auch die untergeordnete ausstellende Zertifizierungsstelle (Issuing CA) nicht starten (also den Dienst).

Hab gegoogelt und gegoogelt, hab aber entweder nur Beiträge gefunden, die am Ende nicht gelöst wurden, oder Beiträge, bei denen der Ersteller einen Punkt bei der Einrichtung der Root CA vergessen hatte. Beides bringt mich leider nicht weiter.

Hat noch jemand Ansätze?

Viele Grüße,
die Kaffeepause
Mitglied: Kaffeepause
13.01.2012 um 09:49 Uhr
Hat sich erledigt.

Man muss in der Offline-Root-Zertifikatsstelle in die Eigenschaften gehen und dort bei "Erweiterungen" die Punkte "ldap" und "file" als Verteilungsorte entfernen.

Dann passt das auch.

Hat in der mir vorliegenden Dokumentation gefehlt, steht aber in verschiedenen Internet-Anleitungen.


PS: Hab auch beim neuen Versuch ein Postinstallationsskript OHNE den AIA- und CDP-Bereich verwendet. Denn in dem mir vorliegenden Skript wurden dort die Verteilungspfade festgelegt, unter anderem auch im Active Directory (LDAP). Die Root-CA ist jedoch kein Mitglied der Domäne, kann das also gar nicht prüfen. Das schien mir also falsch. Möglicherweise war dieses mir vorliegende Skript nicht für die Root-CA gedacht, sondern für die Issuing-CA. Denn dort ist der Verteilungspunkt im Active Directory sinnvoll.
Bitte warten ..
Neue Wissensbeiträge
Sicherheits-Tools

Sicherheitstest von Passwörtern für ganze DB-Tabellen

(1)

Tipp von gdconsult zum Thema Sicherheits-Tools ...

Peripheriegeräte

Was beachten bei der Wahl einer USV Anlage im Serverschrank

(9)

Tipp von zetboxit zum Thema Peripheriegeräte ...

Windows 10

Das Windows 10 Creators Update ist auf dem Weg

(6)

Anleitung von BassFishFox zum Thema Windows 10 ...

Heiß diskutierte Inhalte
Exchange Server
Exchange 2016 Standard Server 2012 R2 Hetzner Mail (36)

Frage von Datsspeed zum Thema Exchange Server ...

Batch & Shell
gelöst ZIP-Archive nach Dateien durchsuchen und Pfade ausgeben (33)

Frage von evinben zum Thema Batch & Shell ...

Verschlüsselung & Zertifikate
Mit Veracrypt eine zweite interne (non-system) Festplatte verschlüsseln (10)

Frage von Bernulf zum Thema Verschlüsselung & Zertifikate ...

C und C++
Methode multiple return values (8)

Frage von mayho33 zum Thema C und C ...