...
Подготовка шаблонов сертификатов
| Anchor | ||||
|---|---|---|---|---|
|
...
Помимо сертификатов для конечных устройств, у службы NDES имеются собственные служебные сертификаты (Registration Authority Certificates), необходимые для работы сервиса. Эти сертификаты по умолчанию выпускаются сроком на 2 года. После истечения этого срока могут возникнуть проблемы с восстановлением работоспособности службы NDES даже после перевыпуска данных сертификатов. Чтобы избежать данных проблем сертификаты после окончания срока действия нужно перевыпускать выполнив последовательность дейтсвий описанную ниже.
Алгоритм перевыпуска сертификатов
| Note |
|---|
| Если дубликаты шаблонов не создавались в процессе развертывания сервиса рекомендуется создать дубликаты, как описано в разделе "Подготовка шаблонов сертификатов" |
Выпуск сертификата Шифрования CEP (Хранилище компьютера)
Этот сертификат машинный, перевыпуск простой.
- Нажмите Win + R и введите
certlm.msc(Локальный компьютер). - Перейдите в Личное -> Сертификаты.
- Нажмите правой кнопкой -> Все задачи -> Запросить новый сертификат.
- Выберите шаблон Шифрование CEP для NDES (CEPEncryptionNDES) и выпустите его.
Выпуск сертификата Агента заявок (Хранилище пользователя)
| Note |
|---|
| Выполнять это нужно под той учетной записью, которой на Центре Сертификации даны права на чтение и заявку этого шаблона (обычно это сервисная учетная запись NDES или администратор). |
...
Другие возможные проблемы
Проблема | Симптомы | Причина | Решение
|
|---|---|---|---|
Ошибка HTTP 500 или 503 при открытии страницы mscep.dll | Пул приложений SCEP останавливается сразу после обращения. В логах IIS фиксируется статус 503. | IIS не может запустить процесс от имени сервисной учетной записи, либо не загружен профиль. | В Локальной политике безопасности дайте ndes право Вход в качестве пакетного задания. В пуле IIS установите Загрузить профиль пользователя в True. |
Ошибки Event ID 29, 31 или 32 от источника NDES | Служба сообщает, что не может получить требуемые сертификаты. | NDES не может выписать себе сертификаты при старте, либо указаны неверные имена шаблонов. | Проверьте системные имена шаблонов в реестре. Убедитесь, что ndes имеет права Чтение и Заявка, и шаблоны опубликованы на ЦС. |
Устройства получают HTTP 401 (Unauthorized) | Сетевое оборудование не может получить сертификат (ошибки 401.x в логах IIS). | Неверная настройка методов аутентификации в IIS. | В IIS (приложение certsrv/mscep) отключите Проверку подлинности Windows и включите Анонимную проверку подлинности. |
Запросы зависают ("Pending") или "RPC Server Unavailable" | Запросы остаются в папке Ожидающие запросы ЦС. | В шаблоне включено ручное одобрение, или заблокирован RPC-трафик между NDES и ЦС. | Снимите флажок "Требуется одобрение" в шаблоне. Откройте порты TCP 135 и динамические порты RPC (TCP 49152-65535). |
Исчерпание лимита паролей при массовом развертывании | Часть устройств успешно получает сертификаты, остальные отклоняются по таймауту. | NDES по умолчанию кэширует не более 5 динамических паролей (срок жизни 60 минут). | В реестре увеличьте значение параметра PasswordMax (например, до 50) и PasswordValidity. |
Внезапная остановка сервиса (Истекли RA-сертификаты) | Сервис перестал обрабатывать SCEP-запросы. Event ID 30, 31, 33. | Истек срок действия служебных сертификатов агента регистрации NDES. | Откройте certlm.msc -> Личные -> Сертификаты. Запросите новые сертификаты вручную, используя соответствующие шаблоны. |
Конфликт старых и новых RA-сертификатов | Служба не функционирует. Ошибка о наличии нескольких сертификатов (Multiple certificates found). | NDES обнаружил в хранилище как старые, так и новые сертификаты с требуемыми OID. | Удалите старые/невалидные сертификаты агента регистрации (должно остаться строго 2). Выполните iisreset. |
Нет доступа к закрытому ключу сертификатов RA | Ошибки о недоступности криптопровайдера. | ndes не имеет прав на чтение закрытых ключей перевыпущенных служебных сертификатов. | В certlm.msc (Управление закрытыми ключами) добавьте учетную запись ndes и предоставьте ей права Чтение на оба сертификата. |
Ошибка SSL/TLS на стороне клиента | Оборудование не может установить HTTPS соединение с NDES. | Проблемы с SSL-сертификатом веб-сервера IIS (самоподписан, истек, не совпадает SAN). | В IIS проверьте Привязки (Bindings). Для HTTPS используйте валидный сертификат, выданный доверенным ЦС, с корректным SAN. |