Вопрос или проблема
У меня есть корпоративный центр сертификации, работающий на сервере Windows Server 2012 R2. Веб-интерфейс для ЦС стал показывать ошибку каждый раз, когда я пытаюсь запросить сертификат:
«Не удалось найти шаблоны сертификатов. У вас нет разрешения запрашивать сертификат у этого ЦС, или произошла ошибка при доступе к Active Directory».
ЦС все еще может выдавать сертификаты, запрос сертификата через MMC на ПК работает.
Я, очевидно, гуглил эту ошибку и нашел несколько возможных причин и попробовал советы, которые нашел. На данный момент я:
1) Создал новый пул приложений и убедился, что идентификация пула приложений для веб-сайта – NetworkService, а не ApplicationPoolIdentity.
2) Проверил, что на сайте включена аутентификация Windows, а все другие типы аутентификации отключены.
3) Проверил, что запись sServerConfig в CertDat.inc совпадает с записью DnsHostName в pkiEnrollmentService (так и есть).
4) Проверил права на шаблоны сертификатов.
5) Обновил сервер.
6) Перезагружал сервер.
Все безрезультатно. Я пробовал с учетной записью своего пользователя, у которого есть права администратора домена, и с учетной записью администратора домена, у которого есть права администратора предприятия.
Я проверил журналы событий. Периодически появляется запись, в которой говорится:
Модуль политики «Windows по умолчанию» зафиксировал следующее предупреждение: Соединение Active Directory с local.domain.controller.fqdn было восстановлено к local.domain.controller.fqdn.
Но я не думаю, что это имеет отношение к делу.
Я не знаю, что еще попробовать, есть ли у кого-нибудь предложения?
Большое спасибо.
Сейчас 2023 год, и я мучаюсь с «не удалось найти шаблоны сертификатов…». Это легко решить – просто добавьте свою учетную запись в пользователей домена.
Ответ или решение
Проблема "Не найдены шаблоны сертификатов" в веб-интерфейсе CA Windows Server 2012 R2
Описание проблемы
Вы столкнулись с сообщением об ошибке "Не найдены шаблоны сертификатов. У вас нет разрешений на запрос сертификата у этого CA, или произошла ошибка при обращении к Active Directory" в веб-интерфейсе вашего корпоративного центра сертификации (CA) на Windows Server 2012 R2. Данная проблема возникает, несмотря на то, что выдача сертификатов через консоль MMC работает корректно, и вы обладаете соответствующими правами на уровне домена.
Причины возникновения проблемы
Несмотря на ваши проверки и действия, проблема может заключаться в следующих областях:
-
Проблемы с разрешениями: Несмотря на наличие прав доменного администратора или Enterprise Admin, существует вероятность, что конкретные разрешения для вашего пользователя или группы не настроены корректно для доступа к шаблонам сертификатов.
-
Сетевые проблемы или проблемы с Active Directory (AD): Уведомление в журнале событий о повторном установлении соединения с контроллером домена говорит о возможных перебоях в сети или временных проблемах с AD.
-
Проблемы с аутентификацией: Убедитесь, что учетная запись, используемая в приложении CA, имеет правильные привилегии и доступ к AD.
-
Настройки веб-интерфейса и приложения: Проверка настройки пулов приложений и параметров аутентификации должна обеспечивать правильную функциональность веб-интерфейса.
Решения
Вот несколько шагов, которые вы можете предпринять для устранения проблемы:
-
Добавление учетной записи в группу "Domain Users": Если учётная запись, с которой вы пытаетесь получить сертификат, не находится в группе "Domain Users", это может привести к отсутствию доступа к шаблонам. Простое добавление вашей учетной записи в данную группу может разрешить ситуацию, как указано в нашем втором фрагменте обсуждения.
-
Перепроверка разрешений на шаблоны сертификатов:
- Откройте консоль управления сертификатами (certtmpl.msc).
- Убедитесь, что у вашей учетной записи есть доступ к шаблонам. Вы можете проверить это, щелкнув правой кнопкой мыши по каждому шаблону, затем выбрав "Свойства" и вкладку "Безопасность".
-
Проверка конфигурации приложения на веб-сервере:
- Проверьте, что пул приложений настроен на правильный идентификатор. Убедитесь, что используется "NetworkService".
- Убедитесь, что аутентификация Windows включена, а другие виды аутентификации отключены.
-
Тестирование подключения к Active Directory:
- Убедитесь, что сервер может корректно обращаться к контроллеру домена. Проверьте сетевые настройки и временные задержки.
-
Обновление и перезагрузка: Вы уже выполнили обновление и перезагрузку сервера, что является хорошей практикой при решении подобных проблем. Если ошибка сохраняется, стоит проверить, были ли внесены последние изменения в конфигурацию AD.
-
Анализ журналов событий: Продолжайте отслеживать журналы событий системы и приложения для получения дополнительных подсказок о том, что может вызывать проблему.
Заключение
Если после выполнения всех указанных шагов проблема не решается, возможно, стоит рассмотреть полное переустановка веб-интерфейса CA, либо обратиться за поддержкой к специалистам по Windows Server или в техническую поддержку Microsoft для проведения более глубокого анализа вашей системы. Удачи в решении вашей проблемы!