CA Server umgezogen, jetzt Fehlermeldung

[Saegenjupp 0]

Hallo zusammen,

 

bekomme auf Memberservern folgende Melungen:

 

Ereignis-ID: 6 Bei der automatischen Zertifikatregistrierung für lokales System ist ein Fehler aufgetreten (0x800706ba) Der RPC-Server ist nicht verfügbar.

 

Ereignis-ID: 13Die Zertifikatregistrierung für Lokales System konnte sich nicht für ein Zertifikat Machine mit der Anforderungs-ID N/A von XXXXXXXXXXXXXXXXXXXXXX (Der RPC-Server ist nicht verfügbar. 0x800706ba (WIN32: 1722 RPC_S_SERVER_UNAVAILABLE)) registrieren.

 

Ereignis-ID: 82 Fehler bei der Zertifikatregistrierung für Lokales System bei der Authentifizierung für alle URLs für den Registrierungsserver, der folgender Richtlinien-ID zugeordnet ist: {3E3E7628-D887-496A-A670-635AC8E3FF04} (Der RPC-Server ist nicht verfügbar. 0x800706ba (WIN32: 1722 RPC_S_SERVER_UNAVAILABLE)). Fehler bei der Registrierung für Vorlage: Machine

 

Den Dienst habe ich von einem alten DC auf einen neuen übertragen. Auch gepingt bekomme ich den Dienst:

 

U:\>certutil -ping FQDN
Verbindung mit FQDN wird hergestellt...
Server "XYZ": Die Schnittstelle ICertRequest2 ist aktiv.
CertUtil: -ping-Befehl wurde erfolgreich ausgeführt.

 

Was wird das sein ?

 

[Nobbyaushb 1.464]

Moin,

was bedeutet in diesem Zusammenhang umgezogen?

 

Gibt hier eine gute Anleitung, mal gegenprüfen

https://blogs.technet.microsoft.com/canitpro/2014/11/11/step-by-step-migrating-the-active-directory-certificate-service-from-windows-server-2003-to-2012-r2/

bearbeitet 7. März 2018 von Nobbyaushb

[Saegenjupp 0]

https://blogs.technet.microsoft.com/canitpro/2014/11/11/step-by-step-migrating-the-active-directory-certificate-service-from-windows-server-2003-to-2012-r2/

 

Genau nach dieser Anleitung bin ich vorgegangen. Irgendwie scheint der Dienst ja da zu sein. Gepingt bekomme ich ihn ja. Arbeitet aber wohl nicht so wie er soll....

[zahni 550]

Ich rate mal: Die "Abrufer"  sind ältliche  Windows  Versionen? Microsoft hat diese API  entweder mit 2008R2  oder 2012 geändert. Ältere Systeme wie 2008 ohne R2  können über diese  API nichts mehr abrufen.

Musst Du halt  manuell machen.

bearbeitet 7. März 2018 von zahni

[Saegenjupp 0]

vor 4 Minuten schrieb zahni:

Ich rate mal: Die "Abrufer"  sind ältliche  Windows  Versionen? Microsoft hat diese API  entweder mit 2008R2  oder 2012 geändert. Ältere Systeme wie 2008 ohne R2  können über diese  API nichts mehr abrufen.

Musst Du halt  manuell machen.

Was genau muss ich manuell machen ? Ich bin von 2003 auf 2012 R2 nach der genannten Anleitung.

[Saegenjupp 0]

Liegt das an dem Template ?  Laut der Anleitung soll das "PC Certificate" gewählt werden. Dieses steht mir nicht zur Verfügung.

 

[NorbertFe 2.027]

Das dürfte wohl Computerzertifikat meinen. Hab grad keine englischsprachige CA im Zugriff. Aber der Screenshot sieht eh aus, als wären da schon eine Menge "manuell" angelegter Templates vorhanden. Siehe Schreibfehler bei "PC Authatication". ;)

 

Bye

Norbert

[Saegenjupp 0]

Genau, sieht jetzt bei mir wie folgt aus. Muss ich manuell dann das entsprechende Template erstellen ? Oder reicht das so wie ich es momentan habe ?

[NorbertFe 2.027]

Du stellst ja Fragen. Man erstellt Templates, weil man sie benötigt. Alle Default Templates die man NICHT benötigt stellt eine CA auch nicht aus. Die werden also entfernt aus der CA (nicht als Template). Wie wäre es denn erstmal zu hinterfragen, ob du eine CA wirklich benötigst? Denn wenn da ein Nein als Antwort rauskommt, dann würde ich den Aufwand nicht treiben. Wenn ein Ja als Antwort kommt, sollte man eben auch etwas in die Materie eintauchen.

 

Bye

Norbert

[zahni 550]

Ich meine  welche Windows-Version die Geräte haben, welche  die Zertifikate haben.

[Saegenjupp 0]

Ja, CA brauche ich. Die ungenutzten Templates sind mir ja egal, ich bin mir nur nicht sicher ob ein passendes für die Server bereits besteht, da die Templates aus der Anleitung sich nicht mit meinen decken.

Noch weiß ich nicht warum ich diese Fehlermeldungen bekomme. Ein fehlendes Template erschien mir da plausibel.

vor 2 Minuten schrieb zahni:

Ich meine  welche Windows-Version die Geräte haben, welche  die Zertifikate haben.

Hauptsächlich viele weitere 2012R2. Aber auch ältere Kisten. Ich würde fast behaupten von jedem OS ist noch was dabei neue Server tauchen im certsrv noch nicht auf. Also irgedwie arbeitet er noch nicht, ist aber erreichbar.

[NorbertFe 2.027]

vor 6 Minuten schrieb Saegenjupp:

Die ungenutzten Templates sind mir ja egal,

Sollten sie aber nicht. Aber das wirst du dann schon irgendwann merken. Und wenn du nicht weißt, welche und wofür du du benötigst, sollte dir das ebenfalls zu denken geben. ;)

 

vor 22 Minuten schrieb Saegenjupp:

Ja, CA brauche ich.

Wofür denn? Rein interessehalber, da dann eventuell auch sinnvollere Antworten gegeben werden können.

 

Bye

Norbert

[zahni 550]

vor 23 Minuten schrieb Saegenjupp:

 

Hauptsächlich viele weitere 2012R2. Aber auch ältere Kisten. Ich würde fast behaupten von jedem OS ist noch was dabei neue Server tauchen im certsrv noch nicht auf. Also irgedwie arbeitet er noch nicht, ist aber erreichbar.

Wo tritt der Fehler denn auf.?

[Saegenjupp 0]

vor 22 Stunden schrieb zahni:

Wo tritt der Fehler denn auf.?

Bemerkt habe ich den Fehler an einem 2012R2 Server den ich neu aufgesetzt habe. Dann habe ich im CA DC nachgesehen, dort wurden nach dem Umzug keine Zertifikate mehr ausgestellt.

[zahni 550]

Und der "CA DC"  ist  auch Windows 2012R2? Ist sichergestellt, dass  die  neue  CA im AD korrekt veröffentlicht wurde? Nicht  das sich  die Clients  noch zum alten Server  verbinden wollen.

Ansonsten gibt es zum Fehler  bei Google viele Treffer, z.B.

 

https://www.mysysadmintips.com/windows/servers/481-certificate-enrollment-error-0x800706ba-the-rpc-server-is-unavailable

bearbeitet 8. März 2018 von zahni