certutil -ping не удается с таймаутом в 30 секунд – что делать?

Question 1

Хранилище сертификатов на моем компьютере с Win7 постоянно зависает. Наблюдайте:

C:\>1.cmd

C:\>certutil -?   | findstr /i ping
  -ping             -- Пинг интерфейса запросов служб сертификатов Active Directory
  -pingadmin        -- Пинг интерфейса администрирования служб сертификатов Active Directory

C:\>set PROMPT=$P($t)$G

C:\(13:04:28.57)>certutil -ping
CertUtil: команда -ping завершилась неудачно: 0x80070002 (WIN32: 2)
CertUtil: Указанный файл не найден.

C:\(13:04:58.68)>certutil -pingadmin

CertUtil: команда -pingadmin завершилась неудачно: 0x80070002 (WIN32: 2)
CertUtil: Указанный файл не найден.

C:\(13:05:28.79)>set PROMPT=$P$G

C:\>

Пояснения:

Первая команда показывает, что у certutil есть параметры –ping и –pingadmin
Попытка использования любого параметра ping завершается с таймаутом в 30 секунд (текущее время видно в приглашении)

Это серьезная проблема. Она мешает всей защищенной связи в моем приложении. Если кто-то знает, как это можно исправить – пожалуйста, поделитесь.

Спасибо.

П.С.

1.cmd – это просто пакет этих команд:

certutil -? | findstr /i ping
set PROMPT=$P($t)$G
certutil -ping
certutil -pingadmin
set PROMPT=$P$G

EDIT1

Мне удалось установить единственный API Windows, который вызывает проблему – DsGetDcName

Согласно windbg, команда certutil -ping вызывает ее так:

PDOMAIN_CONTROLLER_INFO pdci;
DWORD ret = ::DsGetDcName(NULL, NULL, NULL, NULL, DS_DIRECTORY_SERVICE_PREFERRED, &pdci);

На моей рабочей станции это приводит к таймауту в 30 секунд, после чего возвращается код ошибки 1355, который является ERROR_NO_SUCH_DOMAIN Нет доступного контроллера домена для указанного домена или домен не существует.

На другом компьютере, который случайно является Windows Server 2003, он возвращает почти мгновенно с правильным именем контроллера домена внутри возвращенной структуры DOMAIN_CONTROLLER_INFO.

Теперь вопрос: что не хватает на моей рабочей станции, чтобы этот API мог найти правильный контроллер домена?

Question 2

Пожалуйста, проверьте следующее:

Можете ли вы выполнить certutil -ping -config "cadnsname\CA логическое имя" с пострадавших хостов?
Кто имеет разрешения на запрос сертификатов в CA (изменил ли кто-то “Authenticated Users” на “Domain Users”)?
Посмотрите на разрешения DCOM, чтобы убедиться, что “Authenticated Users” имеют правильные разрешения на CA. Разрешения DCOM на CA для группы доступа DCOM служб сертификатов:

Уровень разрешений доступа -> Локальный доступ – Разрешить, Удаленный доступ – Разрешить
Уровень разрешений запуска и активации -> Удаленный запуск – Разрешить, Удаленная активация – Разрешить

Для получения дополнительных сведений вы можете обратиться к указанному ниже URL для устранения неполадок.

http://blogs.technet.com/b/askds/archive/2007/11/06/how-to-troubleshoot-certificate-enrollment-in-the-mmc-certificate-snap-in.aspx

certutil -ping не удается с таймаутом в 30 секунд – что делать?

Вопрос или проблема

Ответ или решение