Warum fehlen mir auf der IssuingCA sämtliche Berechtigungen?

[toasti 11]

Guten Abend zusammen,

 

im Endspurt meiner Lernphase hau ich mir grad nochmal sämtliche CA Sachen rein und komischerweise habe ich auf einmal nicht mehr genügend Berechtigungen wie es scheint:

 

Ich möchte eine neue CRL veröffentlichen -> Zugriff verweigert 0x80070005 (WIN32:5)

 

Ich möchte in den "Zugriff für Stelleninformationen" meinen manuell erstellen Eintrag für OCSP löschen - das geht, jedoch beim Übernehmen: Zugriff verweigert 0x80070005 (WIN32:5)

 

 

Das gibts doch nicht?

 

Ich bin als Domänen-Admin drauf, bisher lief das alles.

 

Auf der RootCA kann ich das alles machen.

 

Habt ihr eine Idee??

 

In der IssuingCA sind die Domänen-Admins unter "Sicherheit" drin, und zwar mit den Rechten Zertifikate ausstellen und verwalten" und "Zert.-Stelle verwalten". Sollte doch passen, mehr gibts ja nicht?!

 

 

Ich wäre euch so dankbar wenn ihr die entscheidende Lösung hättet.

 

 

Herzlichen Dank!

toasti

 

 

EDIT: Achso, Zertifikate darf ich auch nicht mehr sperren!

[olc 18]

Hi,

 

hast Du vielleicht die CA Rollentrennung aktiviert?

 

Viele Grüße

olc

[toasti 11]

Oh mist, das könnte durchaus sein! Ich hab die letzten Tage mal eine Testprüfung gemacht und da wurde gefragt wie das eingestellt wird. Wusste ich nicht und habs darauf hin glaube ich probiert....

 

Ich werds gleich mal probieren.

 

Danke schon mal für den Tipp! Super!

[toasti 11]

jo, das war es! Herzlichen Dank nochmal!!!

 

Oh man ich geh kaputt...

 

Die Rollentrennung ist doch ganz einfach dazu da, dass ich die Verwaltung der Cert-Stelle aufsplitten kann, oder?

 

Und wo kann ich dann Berechtigungen vergeben, wenn doch im Reiter Sicherheit alles klar war? Einen extra Reiter wie ich schon mal im Netz gesehen habe, finde ich nicht...

[olc 18]

Hi toasti,

 

freut mich, daß es nun funktioniert. :)

 

Die Rollentrennung wird erzwungen, so daß Du nur genau eine Rolle nutzen kannst. Du kannst zwar festlegen, was die jeweilige Rolle kann, jedoch kann ein Nutzer niemals mehr als eine Rolle ausfüllen. Versuchst Du es trotzdem, werden alle Aktionen geblockt.

 

Das ist hard-coded und nicht per ACL änderbar, soweit ich weiß.

 

Viele Grüße

olc

[toasti 11]

OKI, danke für die Info!

 

Zwischenzeitlich hab ich mir andere Dinge auch noch kaputt gemacht, man man...ich könnte ****en!

 

Ich hatte wieder das OCSP Problem, dass ein Fehler kam und habe darauf hin von diesem Link Problem with OCSP

 

das hier probiert:

certutil -setreg CA\CACertPublicationURLs
"1:%windir%\system32\CertSrv\CertEnroll\DEWIAS071.adswork.loc_InterneSubCA.crt\n32:http://DEWIAS071.adswork.loc/ocsp"

 

Natürlich mit geänderten Daten für meine CA.

 

Dadurch hat es mir alle Stelleninformationen raus gehauen...

 

Kann man die Std.-Stellen irgendwie wieder einfügen? Hab von Hand die Sachen eingefügt, dabei bei der RootCA abgeschaut.

 

Und jetzt findet er netmal mehr den AIA-Speicherort 2 (http).

 

Von OCSP ganz zu schweigen, obwohl der virtuelle Pfad im IIS angelegt ist.

 

Was für ne *****...das hat mir alles noch gefehlt 3 Tage vor der Prüfung.

[toasti 11]

Morgen!

 

Heute früh hab ich meine komplette Testumgebung neu gestartet und siehe da, soweit läuft alles, AUßER wieder das alte Problem: OCSP-Speicherort nicht erreichbar.

 

Hab schon alles mögliche ausprobiert, aber es will nicht...