Microsoft Certification Authority 2008 - Benutzerzertifikate

[ofodag 10]

Hallo Adminkollegen,

 

folgendes Problem habe ich:

 

Wir haben eine neue Certification Authority unter Windows Server 2008 Enterprise aufgebaut. Nun haben wir alle Userzertifikate ausgerollt (auf eToken von Alladin).

 

Ziel ist es damit einen VPN über Check Point Secure Access (R73 HFA1) aufzubauen. Terminiert werden die User an einem VPN Gateway von Checkpoint die einen AD Connector hat (kann somit in das Active Directory gucken).

 

Das funktioniert auch soweit wunderbar. Nur wenn ich den User aus der OU verschiebe in der er das Zertifikat zugeordnet bekommen hat, kann das Root Zertifikat den User nicht mehr zuordnen. Schiebe ich den User wieder in die OU zurück in der er das Zertifikat zugeordnet bekommen hat funktioniert das ganze wieder.

 

Unter Windows Server 2003 konnte ich den User in eine beliebige OU verschieben und es hat immer funktioniert.

 

Auf der Certification Authority 2008 sehe ich alle Userzertifikate und dort steht auch die OU mit bei in der sich der User befand als er das Zerttifikat ausgerollt bekommen hat, dies war aber auch auf der Certification Authority 2003 so.

 

Gibt es da eine Einstellung in der Certification Authority 2008 das die OU hart in das Userzertifikat geschrieben wird, so dass der User immer in der Ursprungs-OU sein MUSS? Eventuell ist dies auch eine Einstellung im Root Zertifikat !?!?

 

Hoffe jemand hat den entscheidenen Tipp für mich.

 

Danke im Voraus.

 

Gruss Olli

[olc 18]

Hi Olli und willkommen an Board, :)

 

es könnte am Subject des Zertifikats liegen - wenn dort der DN anstatt des CN vermerkt ist, kann es je nach Dienst / Applikation zu dem Effekt kommen.

 

Entferne einmal irrelevante / datenschutztechnisch relevante Daten und poste den Export Dump eines unter 2003 ausgestellten Zertifikats und eines mit 2008 ausgestellten Zertifikats: "certutil -dump Zertifikat.cer"

 

Viele Grüße

olc