Эта ошибка может произойти если служба центра сертификации не запущена

An unexpected error has occurred: The Certification Authority Service has not been started.

Your request failed. An error occurred while the server was processing your request.
Contact your administrator for further assistance. 

Request Mode:
newreq - New Request 
Disposition:
(never set) 
Disposition message:
(none) 
Result:
The RPC server is unavailable. 0x800706ba (WIN32: 1722) 
COM Error Info:
CCertRequest::Submit: The RPC server is unavailable. 0x800706ba (WIN32: 1722) 
LastStatus:
The operation completed successfully. 0x0 (WIN32: 0) 
Suggested Cause:
This error can occur if the Certification Authority Service has not been started. 

Robin Wilson

An unexpected error has occurred: The Certification Authority Service has not been started.

Your request failed. An error occurred while the server was processing your request.
Contact your administrator for further assistance. 

Request Mode:
newreq - New Request 
Disposition:
(never set) 
Disposition message:
(none) 
Result:
The RPC server is unavailable. 0x800706ba (WIN32: 1722) 
COM Error Info:
CCertRequest::Submit: The RPC server is unavailable. 0x800706ba (WIN32: 1722) 
LastStatus:
The operation completed successfully. 0x0 (WIN32: 0) 
Suggested Cause:
This error can occur if the Certification Authority Service has not been started. 

Robin Wilson

В этой статье я рассмотрю следующие темы о тонкостях и лучших практиках для реализации PKI от Microsoft — Active Directory Certificate Services:

• Общие представления о PKI
• Автоматический запрос сертификатов
• Ручная установка сертификата корневого ЦС
• Проверка отзыва сертификатов
• Веб-службы регистрации сертификатов
• Запрос сертификата с альтернативным именем
• Обобщенные лучшие практики
• Полезные ссылки

Общие представления о PKI

Чем более интегрированной, сложной и защищенной становится инфраструктура на Windows Server, тем больше она полагается в добавок к традиционной Active Directory на PKI (Public Key Infrastructure, переводят как инфраструктура открытого ключа) для обеспечения доверительных отношений и проверки подлинности между компьютерами, пользователями и службами. Active Directory Certificate Services — это реализация PKI от Microsoft, которая состоит из следующих элементов:

• Центр сертификации (ЦС, Certification Authority), корневой и подчиненные
• отношения всеобщего доверия к ЦС
• выдаваемые ЦС сертификаты для компьютеров, пользователей и служб
• различные службы поддержки PKI
  • списки отзывов сертификатов (CRL)
  • сетевой ответчик (Online Responder, более прогрессивная альтернатива CRL)
  • Web Enrollment (средство запроса сертификатов через Web)

Автоматический запрос сертификатов

От центра сертификации нет толку, если клиентские компьютеры в вашей сети не имеют к нему доверия и/или не получают сертификаты. При установке ЦС в домене Active Directory по умолчанию должны создаваться групповые политики, которые прописывают доверие клиентов к корневому ЦС и автоматический запрос сертификатов компьютера у него. Однако, при некоторых сценариях эти политики необходимо настраивать вручную и в этом поможет статья TechNet Configure Computer Certificate Autoenrollment.

Ручная установка сертификата корневого ЦС

Если в среде Active Directory и локальной сети доверие к корневому центру сертификации настраивается автоматически, то для доверия к ЦС со стороны недоменных удаленных компьютеров необходимо установить сертификат ЦС в их хранилище Доверенные корневые центры сертификации. Иначе либо будут выдаваться предупреждения о потенциальной опасности подписанного неизвестно кем сертификата, либо вообще соединения с таким сервером будут отклонятся, как, например, в случае с Remote Desktop Services Gateway будет выдаваться такая ошибка:

Нужно учесть, что сертификат вашего корневого ЦС нужно устанавливать не в хранилище текущего пользователя, а в хранилище локального компьютера, так как только его содержимое действует на всех пользователей и системные учетные записи. Существует несколько способов добавить сертификат ЦС в хранилище локального компьютера.

Через MMC

Открыть MMC с правами администратора » добавить оснастку Сертификаты » выбрать в качестве области Локальный компьютер » импортировать нужный сертификат в хранилище Доверенные корневые центры сертификации. Более подробно в статье TechNet Manage Trusted Root Certificates.

Через свойства сертификата

Запустить командную строку с правами админа » вызвать в ней с:pathtocert.crt » откроется окно свойств сертификата » нажать кнопку Установить » отметить галку Показывать физические хранилища » выбрать хранилище для установки сертификата Доверенные корневые центры сертификации » Локальный компьютер.

Через командную строку

Потребуется утилита CertMgr, с помощью нее нужно выполнить следующую команду:

certmgr.exe -add -c «с:pathtocert.crt» -s -r localMachine root

Проверка отзыва сертификатов

Некоторые сетевые службы (удаленные рабочие столы, DirectAccess, L2TP и SSTP VPN), которые используют сертификаты для проверки подлинности сервера, требуют проверки этих сертификатов на легитимность (но отозваны ли они центром сертификации). В окружении локальной сети с такими проверками проблем не возникает, так как списки отзыва сертификатов опубликованы в Active Directory и по локальным адресам центра сертификации.

Ситуация меняется, если легитимность сертификата пытаются проверить из интернета, где, естественно, ни Active Directory, ни локальные адреса центров сертификации не доступны. И самое неприятное в том, что доверие системы к сертификату, выданному доверенным центром, но не проверенному на легитимность, еще ниже, чем к неизвестному или самоподписанному. Например соединение с удаленным рабочим столом отклоняется, выдавая ошибку:

Для решения проблемы доступности проверки отзыва сертификатов из интернета необходимо опубликовать любую из следующих служб:

• CRL (Certificate Revocation List, список отзыва сертификатов) на веб-сервере, регулярно обновляемый
• Online Responder (сетевой ответчик, доступный начиная с Windows Server 2008 редакции Enterprise), который функционирует примерно также, как и предыдущий вариант, но по более прогрессивному протоколу OCSP (но через HTTP)

Для работы обоих вариантов необходимо, чтобы в центре сертификации были заблаговременно настроены доступные из интернета адреса этих служб, так как эти адреса жестко прописываются в каждом выдаваемом сертификате.

За инструкциями по настройки ЦС для размещения CRL в интернете обращайтесь к статье TechNet Configuring Certificate Revocation. От себя лишь замечу хитрость: если ваш домен имеет доступное из интернета DNS-имя (то есть argon.com.ru, а не argon.local), а на сервер с корневым ЦС установлена опция Web Enrollment, то ЦС уже настроен на публикацию своих CRL по адресу http://server.argon.com.ru/CertEnroll. Поэтому для полноценной работы CRL достаточно просто опубликовать в интернете порт HTTP по доменному имени server.argon.com.ru.

Настройка и публикация Online Responder немного сложнее, но подробно описана в статьях TechNet Online Responder и Setting Up Online Responder Services in a Network. Тут уже никаких хитростей и настроек по умолчанию нет, честно устанавливаете роль на нужный сервер, конфигурируете эту роль, публикуете HTTP-сайт в интернете и настраиваете ЦС на включение информации об Online Responder’e в публикуемые сертификаты.

Проверить правильность функционирования проверки отзыва (CRL или OCSP) любого сертификата можно с помощью следующей команды:

certutil -url name.cer

где name.cer — имя выданного сертификата.

Следует иметь ввиду, что проверка отзыва по протоколу OCSP проходит успешно только в том случае, если сертификат ЦС, выдавшего проверяемый сертификат, установлен в хранилище доверенных сертификатов локального компьютера.

Веб-службы регистрации сертификатов

Они же Certificate Enrollment Web Services, если по-английски. Весьма полезная роль, которая позволяет:

• запрашивать сертификаты пользователями без участия администратора
• предоставлять по требованию сертификат корневого ЦС
• выполнять особые уже подготовленные запросы (Custom Request), например для веб-серверов под управлением Linux или других сетевых устройств
• делать это все через интернет
• сам Web Enrollment может работать на отличном от ЦС компьютере, что повышает безопасность корневого ЦС

Установка и настройка Web Enrollment проста и тривиальна за исключением следующих моментов

• в случае установки Web Enrollment на отличный от ЦС компьютер, необходимо обязательно выполнить шаги, описанные в статье TechNet Configuring Delegation Settings for the Certificate Enrollment Web Service Account, иначе служба не будет работать, выдавая следующую ошибку:

• та же ошибка будет выдаваться, если Web Enrollment работает на одном сервере с ISA Server / Forefront TMG, в их системных правилах нужно отключить Enforce strict RPC compliance и разрешить протокол RPC во внутреннюю сеть.
• при публикации Web Enrollment в интернете необходимо включить требование работы через SSL для веб-приложения CertSrv в консоли IIS

Запрос сертификата с альтернативным именем

Насущный вопрос при публикации внутренних служб предприятия в интернете — создание сертификатов со списком альтернативных имен DNS (Subject Alternative Name, SAN).

По умолчанию ЦС на Windows Server не настроен на выдачу сертификатов, содержащих SAN. Чтобы включить эту функцию на компьютере с ЦС нужно выполнить:

certutil -setreg policyEditFlags +EDITF_ATTRIBUTESUBJECTALTNAME2
net stop certsvc
net start certsvc

Запрос через консоль MMC

Начиная с Windows Server 2008 появилась возможность запросить сертификат с SAN через MMC-консоль Сертификаты, для этого…

• В консоли управления ЦС для шаблона сертификата Веб-сервер назначить права на запрос и чтение для учетки компьютера, запрашивающего сертификат.
• Компьютер, с которого создается запрос, должен входить в домен, в котором опубликован ЦС
• Создать запрос по шаблону веб-сервера → в свойствах запроса указать список альтернативных DNS-имен на вкладке Субъект → Дополнительное имя → DNS.

Запрос через утилиту certreq

Более гибким и универсальным способом запроса сертификатов с SAN является следующий, использующий утилиту certreq. Чтобы создать сертификат нужно действовать по следующему алгоритму:

1. Подготовить текстовый файл request.inf запроса сертификата со следующим содержанием.

2. На машине, для которой предполагается запрашивается сертификат, выполнить команду

certreq -new request.inf

Нам предложат сохранить подготовленный файл запроса в формате .req. Одновременно с этим в хранилище сертификатов компьютера будет сохранен закрытый ключ для будущего сертификата.

3. Отправить запрос центру сертификации и получить в ответ .cer файл. Для этого можно воспользоваться MMC-конcолью управления Certification Authority (и указать .req файл) либо Web Enrollment (в окно расширенного запроса вставить содержимое .req файла и выбрать шаблон веб-сервера).

4. Выполнить установку полученного сертификата на целевой компьютер следующей командой

certreq -accept request.cer

5. PROFIT. В результате описанных действий в хранилище сертификатов компьютера будет создан сертификат с закрытым ключом, пригодный для авторизации сервера по нескольким именами, прописанным .inf файле.

Обобщенные лучшие практики

Приведу пример рациональной реализации PKI на предприятии для поддержки передовых служб Windows Server 2008 R2

• На контроллере домена развернут корневой центр сертификации
• Если организации велика, то создано несколько подчиненных ЦС, выделенных для определенных целей (по назначению сертификата, по филиалу организации, для распределения нагрузки…)
• В групповых политиках настроено доверие к корневому ЦС и автоматический запрос сертификатов доменный компьютеров
• На пограничном компьютере-члене домена развернуты и опубликованы с помощью Forefront TMG в интернете службы:
  • Web Enrollment для установки сертификата ЦС и запроса личных сертификатов с недоменных компьютеров
  • Online Responder для проверки отзыва сертификатов по протоколу OCSP
• Опубликованы в интернете с использованием сертификатов с SAN следующие сетевые службы, опирающиеся на использование сертификатов и проверку их отзыва:
  • Remote Desktop Gateway
  • Outlook Web Access
  • DirectAccess
  • SharePoint

Полезные ссылки

• PKI предприятия
• How to configure the Windows Server 2008 CA Web Enrollment Proxy
• How to add a Subject Alternative Name to a secure LDAP certificate
• How to Request a Certificate With a Custom Subject Alternative Name
• Устанавливаем Certification Authority — Vadims Podans’s blog
• OCSP (часть 1), OCSP (часть 2) — Vadims Podans’s blog

BlackRaven	#1 Оставлено : 12 августа 2015 г. 12:12:03(UTC)
Статус: Активный участник Группы: Участники Зарегистрирован: 22.09.2011(UTC) Сообщений: 34 Откуда: Киров, Россия Сказал «Спасибо»: 3 раз	Добрый день. При восстановлении сервера из резервной копии Центр Сертификации стал ругаться: «Не удается найти указанный файл. Модуль политики отсутствует или неправильно зарегистрирован…» Что можно сделать? Отредактировано пользователем 12 августа 2015 г. 12:13:43(UTC)  | Причина: Не указана
	WWW

Molostvov	#2 Оставлено : 12 августа 2015 г. 12:17:25(UTC)
Статус: Сотрудник Группы: Участники Зарегистрирован: 14.03.2013(UTC) Сообщений: 448 Откуда: Москва Сказал(а) «Спасибо»: 2 раз Поблагодарили: 95 раз в 85 постах	Добрый день. Какие ошибки в журнале? Служба сертификации в службах есть вообще?

BlackRaven	#3 Оставлено : 12 августа 2015 г. 12:24:46(UTC)
Статус: Активный участник Группы: Участники Зарегистрирован: 22.09.2011(UTC) Сообщений: 34 Откуда: Киров, Россия Сказал «Спасибо»: 3 раз	Автор: Molostvov Добрый день. Какие ошибки в журнале? Служба сертификации в службах есть вообще? Служба сертификации в службах есть. Падают две ошибки: то что службы AD не запущены и что невозможно найти указанный файл. Скрины: 02.png (24kb) загружен 23 раз(а). 01.png (23kb) загружен 25 раз(а). 03.png (98kb) загружен 26 раз(а). В модулях политик ЦС отсутствует модуль политик КриптоПро УЦ. Отредактировано пользователем 12 августа 2015 г. 12:35:18(UTC)  | Причина: Не указана
	WWW

Molostvov	#4 Оставлено : 12 августа 2015 г. 12:36:37(UTC)
Статус: Сотрудник Группы: Участники Зарегистрирован: 14.03.2013(UTC) Сообщений: 448 Откуда: Москва Сказал(а) «Спасибо»: 2 раз Поблагодарили: 95 раз в 85 постах	Что в ветке реестра [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesCertSvc] ? Можете отправить в личку.

Molostvov	#5 Оставлено : 12 августа 2015 г. 12:38:57(UTC)
Статус: Сотрудник Группы: Участники Зарегистрирован: 14.03.2013(UTC) Сообщений: 448 Откуда: Москва Сказал(а) «Спасибо»: 2 раз Поблагодарили: 95 раз в 85 постах	А вот увидел «В модулях политик ЦС отсутствует модуль политик КриптоПро УЦ.» А установили ли вы компонент КриптоПро УЦ «Центр Сертификации» ?

BlackRaven	#6 Оставлено : 12 августа 2015 г. 13:10:14(UTC)
Статус: Активный участник Группы: Участники Зарегистрирован: 22.09.2011(UTC) Сообщений: 34 Откуда: Киров, Россия Сказал «Спасибо»: 3 раз	Автор: Molostvov А вот увидел «В модулях политик ЦС отсутствует модуль политик КриптоПро УЦ.» А установили ли вы компонент КриптоПро УЦ «Центр Сертификации» ? Сам центр сертификации установлен. Собственно при запуске службы ЦС ошибка и появляется. Внутри самого ЦС в свойствах на вкладке «Модуль политик» не получается выбрать ничего кроме «Стандартная Windows» Отредактировано пользователем 12 августа 2015 г. 13:16:34(UTC)  | Причина: Не указана
	WWW

Molostvov	#7 Оставлено : 12 августа 2015 г. 13:58:52(UTC)
Статус: Сотрудник Группы: Участники Зарегистрирован: 14.03.2013(UTC) Сообщений: 448 Откуда: Москва Сказал(а) «Спасибо»: 2 раз Поблагодарили: 95 раз в 85 постах	Переустановите компонент КриптоПро УЦ «Центр Сертификации»
1 пользователь поблагодарил Molostvov за этот пост.	BlackRaven оставлено 27.08.2015(UTC)

BlackRaven	#8 Оставлено : 12 августа 2015 г. 14:00:29(UTC)
Статус: Активный участник Группы: Участники Зарегистрирован: 22.09.2011(UTC) Сообщений: 34 Откуда: Киров, Россия Сказал «Спасибо»: 3 раз	Автор: Molostvov Переустановите компонент КриптоПро УЦ «Центр Сертификации» Переустанавливать поверх или с удалением и последующей установкой?
	WWW

Molostvov	#9 Оставлено : 12 августа 2015 г. 14:01:06(UTC)
Статус: Сотрудник Группы: Участники Зарегистрирован: 14.03.2013(UTC) Сообщений: 448 Откуда: Москва Сказал(а) «Спасибо»: 2 раз Поблагодарили: 95 раз в 85 постах	Удалить/Установить

BlackRaven	#10 Оставлено : 12 августа 2015 г. 14:18:51(UTC)
Статус: Активный участник Группы: Участники Зарегистрирован: 22.09.2011(UTC) Сообщений: 34 Откуда: Киров, Россия Сказал «Спасибо»: 3 раз	Автор: Molostvov Удалить/Установить Модуль появился, служба запустилась! Спасибо!
	WWW

Быстрый переход
 

Вы не можете создавать новые темы в этом форуме.

Вы не можете отвечать в этом форуме.

Вы не можете удалять Ваши сообщения в этом форуме.

Вы не можете редактировать Ваши сообщения в этом форуме.

Вы не можете создавать опросы в этом форуме.

Вы не можете голосовать в этом форуме.