Re: Nicht mehr existente Zertifizierungsstelle
- From: "Helmut Schneider" <jumper99@xxxxxx>
- Date: Tue, 27 Feb 2007 19:58:00 +0100
Jürgen <Jrgen@xxxxxxxxxxxxxxxxxxxxxxxxx> wrote:
Es gibt einen Win2000 Server DC(Std) der eine AD integrierte
Zertifizierugsstelle hat. (Damit wird OWA usw. betrieben).
Es gab einen Win2k3 DC Server der ebenfalls eine Zertifizierungsstelle
betrieben hat.
Es gibt einen weiteren Win2k3 DC Server, der als Betriebsmaster läuft.
Der Win2k3 Server, der eine Zertifizierungsstelle betrieben hat, wurde
via DCPromo heruntergestuft. Damit wurde auch die Zertifizierungsstelle
deinstalliert.
Nun kommt der "relativ harmlose Fehler" ID13-Autoenrollment, kein Zugrif
auf aktualisierung des Domänencontroller Zertifikates. Was bei Event-ID
geschrieben war habe ich bereits getestet (Rechte Komponentendienste...)
hat aber nichts genützt. Mit PKIView.msc habe ich mir die
Zertifizierungsstelle angesehen, und festgestellt es gibt zwei Stellen,
die eine heist Exchange.Domäne, die andere hat den Firmennamen. Die
letztere hat als CA einen Server, den es schon seit über einem Jahr
nicht mehr gibt. Der heruntergestufte Server hat dieser CA angehört.
Nun hat der noch existente Win2K3 ein Domänencontrollerzertifikat von der
CA, die es nicht mehr gibt. Die 2000 Zertifikatsstelle existiert aber
noch. Ich habe nun versucht, via Cermgr.msc (Computer) das "Eigene
Zertifikat", welches noch als Stelle den nicht mehr existenten Server
hat, durch ein neues von der 2000 Zertifizierungsstelle zu ersetzen, er
gibt mir aber nicht die möglichkeit (grau hinterlegt und in der Auswahl
nur die alte CA) die CA zu wechseln, er will als CA immer den nicht
mehr existenten Server. (Oder kann ich das Domänencontroller Zertifikat
einfach löschen) Ich denke fast, das früher zwei
Stammzertifizierungsstellen in der gleichen Domäne liefen...
Das Zertfikat kannst Du löschen. Schau in allen GPOs zusätzlich unter
Comp-Win-Sec-PKPol, dass dort nirgends das alte Zertifikat weiter verteilt
wird. Wenn Du gerade dabei bist, verteile dort auch das neue Zetifikat und
vor allem den EFS Recovery Agent. Man weiss nie, wann man den braucht.
Überprüfe das alles an den Rechnern mit Hilfe von rsop.msc.
Unabhängig von allem wirst Du aber (ausser mit adsiedit) das alte (und auch
das neue) Zertifikat nicht mehr los, es ist Teil Deines Active Directory.
Am Besten wäre es, Du hättest das alte Zertifikat noch mitsamt private Key,
dann würdest Du die alten Zertifikate revoken und zum Schluss das Root
Zertifikat. Das sollte man immer so machen, abgelaufene Zertifikate
verschwinden nicht einfach, sondern müssen revoked werden und die letzte CRL
veröffentlicht.
Naja, solange man nicht EFS einsetzt, tut es nicht wirklich weh.
Ich würde Dir generell aber Raten, die CA auf einem 2k3 laufen zu lassen, da
hast Du mehr Möglichkeiten und bist gegen den Verlust eines Keys besser
gewappnet.
Gruß, Helmut
.
- Prev by Date: Re: BenutzerInfo weiterverwenden
- Next by Date: Exchange cache Modus per GPO
- Previous by thread: BenutzerInfo weiterverwenden
- Next by thread: Exchange cache Modus per GPO
- Index(es):
Relevant Pages
|
