Numéro d'article: 281271 - Dernière mise à jour: mercredi 25 février 2009 - Version: 8.0

Configuration d'autorité de certification à publier des certificats dans Active Directory du domaine approuvé

Affichage côte à côteCliquez ici si vous souhaitez afficher en côte à côte l?article anglais et sa traduction automatique en français
Traduction automatiqueATTENTION : Cet article est issu du système de traduction automatique
Voir les produits auxquels s'applique cet article
A noterCet article s'applique à un système d'exploitation différent de celui que vous utilisez. Le contenu de l'article qui ne vous concerne peut-être pas est désactivé.

Sommaire

Agrandir tout | Réduire tout

Symptômes

Dans les scénarios suivants, si un utilisateur du même domaine tant qu'autorité de certification (CA) demande un certificat, le certificat émis est publié dans Active Directory. Toutefois, si l'utilisateur provient d'un domaine enfant, ce processus n'aboutit pas. En outre, lorsque les utilisateurs du même domaine en tant qu'autorité de certification demandent un certificat, le certificat émis peut-être ne pas être publié dans Active Directory.

Scénario 1
Dans ce scénario, l'autorité de certification ne publie pas les certificats émis à objet de service d'annuaire de l'utilisateur dans le domaine enfant lorsque les conditions suivantes sont trues :
  • L'utilisateur est dans une hiérarchie de domaine de deux niveaux avec un parent et un domaine enfant.
  • L'autorité de certification d'entreprise se trouve sur le domaine parent et l'utilisateur est dans le domaine enfant.
  • L'utilisateur dans le domaine enfant inscrire à l'autorité de certification parente.
Dans une hiérarchie de domaine de deux niveaux avec un parent et un domaine enfant, l'autorité de certification d'entreprise se trouve dans le domaine parent et les utilisateurs se trouvent dans le domaine enfant. Les utilisateurs du domaine enfant s'inscrire dans le parent de l'autorité de certification, et l'autorité de certification publie des certificats délivrés sur l'objet de l'utilisateur DS dans le domaine enfant.

Scénario 2
Envisagez le scénario suivant :
  • L'utilisateur est dans un domaine de niveau unique ou un domaine parent.
  • L'autorité de certification d'entreprise se trouve sur le domaine parent.
  • Les contrôleurs de domaine ne sont installé de correctif 327825 ou Windows 2000 Service Pack 4 (SP4) est installé.
  • L'utilisateur, soit dans le seul niveau ou parent du domaine, s'inscrit dans l'autorité de certification de niveau ou l'autorité de certification parente.
Dans ce scénario, l'autorité de certification ne publie pas les certificats émis à objet de serveur de domaine de l'utilisateur dans le domaine de niveau unique ou dans le domaine parent.
Retour au début

Cause

Scénario 1: Hiérarchie du domaine au niveau deux

Les utilisateurs du domaine enfant n'aient pas les autorisations appropriées inscrire. Même lorsqu'ils le font, l'autorité de certification n'a pas autorisations d'accès publier le certificat à Active Directory.

Par défaut, uniquement les utilisateurs de domaine du domaine même que l'autorité de certification ont inscrivent autorisations.

Par défaut, l'autorité de certification possède les autorisations nécessaires suivantes accordées sur les utilisateurs au sein de son domaine :
  • Lire userCertificate
  • Écrire userCertificate
L'autorité de certification dans le domaine parent n'a pas d'autorisations à la propriété userCertificate sur les utilisateurs du domaine enfant.
Retour au début

Scénario 2 : Domaine de niveau unique ou le domaine parent

Par défaut dans Windows 2000, l'objet AdminSDHolder n'accorde pas que les autorisations nécessaires pour les comptes d'utilisateurs qui sont couverts par le processus AdminSDHolder de groupe Cert Publishers. La liste suivante contient les groupes de comptes utilisateur protégé dans Windows 2000 :
  • Administrateurs de l'entreprise
  • Administrateurs du schéma
  • Les administrateurs du domaine
  • Administrateurs
Après avoir appliqué le correctif décrit dans l'article 327825 de la base de connaissances Microsoft ou après l'installation de Windows 2000 SP4, la liste suivante de compte d'utilisateur des groupes dans Windows Server 2003 et dans Windows 2000 sont désormais protégées par groupes de comptes d'utilisateur :
  • Administrateurs
  • Opérateurs de compte
  • Opérateurs de serveur
  • Opérateurs d'impression
  • Opérateurs de sauvegarde
  • Les administrateurs du domaine
  • Administrateurs du schéma
  • Administrateurs de l'entreprise
  • Éditeurs de certificats
Retour au début

Résolution

Scénario 1: Hiérarchie du domaine au niveau deux

Pour activer les utilisateurs du domaine enfant obtenir des certificats et publication vers Active Directory, procédez comme suit :
  1. Définir les autorisations sur le modèle de l'autorité de certification pour autoriser les demandes d'inscription. Définir l'utilisateur autorisations d'objet pour permettre à l'autorité de certification pour publier le certificat. Modifier AdminSDHolder pour pousser les autorisations d'objet utilisateur vers les utilisateurs qui sont des administrateurs.
  2. Définir l'utilisateur autorisations d'objet pour permettre à l'autorité de certification pour publier le certificat. Modifier AdminSDHolder pour pousser les autorisations d'objet utilisateur vers les utilisateurs qui sont des administrateurs.
  3. Modifier AdminSDHolder pour pousser les autorisations d'objet utilisateur vers les utilisateurs qui sont des administrateurs.
Remarque Vous devez tout d'abord installer les outils de support dans le Windows Professionnel ou le Windows Server CD-ROM.

Pour permettre les utilisateurs de domaine enfant d'obtenir des certificats et la publication vers Active Directory

  1. Définir des autorisations sur l'autorité de certification pour permettre aux utilisateurs du domaine enfant de demander un certificat. Par défaut, cela doit être en place.
    1. Ouvrez le composant logiciel enfichable Autorité de certification, cliquez avec le bouton droit sur l'autorité de certification, puis cliquez sur Propriétés.
    2. Sous l'onglet sécurité, assurez-vous que le groupe Utilisateurs authentifiés est autorisé à demander des certificats.
  2. Définir des autorisations sur les modèles de certificats applicables pour permettre aux utilisateurs du domaine enfant de s'inscrire.

    Remarque Vous devez avoir ouvert une session le domaine racine avec des droits d'administrateur de domaine.
    1. Ouvrez le composant logiciel enfichable Active Directory Sites et services.
    2. Cliquez sur affichage, puis cliquez sur Afficher le n?ud des services.
    3. Développez le dossier du n?ud des services, développez Public Key Services, puis cliquez sur Modèles de certificats.
    4. Dans le volet de détails, sélectionnez le modèle souhaité, ou les modèles. Par exemple, cliquez avec le bouton droit sur le modèle de certificat utilisateur et puis cliquez sur Propriétés.
    5. Sous l'onglet sécurité, octroi inscrire les autorisations au groupe de votre choix, such as Authenticated Users.
  3. Configurer le module de sortie de l'autorité de certification pour publier des certificats dans Active Directory.
    1. Dans le composant logiciel enfichable Autorité de certification, cliquez avec le bouton droit sur l'autorité de certification, puis cliquez sur Propriétés.
    2. Sous l'onglet Module de sortie, cliquez sur configurer.
    3. Dans les propriétés pour le module de sortie, cliquez pour sélectionner la case Autoriser les certificats à publier dans Active Directory.
    Sur le contrôleur de domaine enfant :

    Remarque Dans les domaines Windows 2000 et dans les domaines Windows Server 2003 qui ont été mis à niveau à partir de Windows 2000, le groupe éditeurs de certificats est un groupe global de domaine. Vous devez ajouter manuellement le groupe Cert Publishers à chaque domaine enfant.

    Domaines pour Windows Server 2003

    Vous pouvez activer les utilisateurs de domaine enfant pour obtenir des certificats et que publication dans les domaines Windows Server 2003 mis à niveau. Pour ce faire, remplacez le groupe de Domaine Local et inclure le serveur de l'autorité de certification du domaine parent. Cette procédure crée la même configuration est présente dans un domaine Windows Server 2003 nouvellement installé. L'interface utilisateur (IU) ne permet pas vous changer le type de groupe. Toutefois, vous pouvez utiliser la commande dsmod pour modifier le groupe éditeurs de certificats à partir d'un groupe global de domaine à un groupe local de domaine. Pour ce faire, utilisez la syntaxe suivante :
    dsmod group Group Distinguished Name - scope l
    Remarque Dans certains cas, vous ne pouvez pas modifier groupType directement à partir de global au groupe local de domaine. Dans ce cas, vous devez modifier le groupe global dans un groupe universel et de modifier le groupe universel dans un groupe de domaine local. Pour ce faire, procédez comme suit :
    1. Tapez la commande suivante et appuyez sur ENTRÉE :
      dsmod group Group Distinguished Name - étendue u
      Cette commande modifie le groupe global dans un groupe universel.
    2. Tapez la commande suivante et appuyez sur ENTRÉE :
      dsmod group Group Distinguished Name - scope l
      Cette commande modifie le groupe universel dans un groupe de domaine local.
    Domaines pour Windows 2000

    Vous pouvez utiliser l'Assistant Délégation pour ajouter manuellement des groupe de CERT Publisher du domaine racine à chaque objet utilisateur dans le domaine enfant. Pour ce faire, procédez comme suit :
    1. Ouvrez le composant logiciel enfichable Active Directory utilisateurs et ordinateurs, puis cliquez avec le bouton droit sur le n?ud du domaine.
    2. Cliquez sur déléguer le contrôle. L'Assistant Délégation démarre. Dans l'Assistant, procédez comme suit :
      1. Cliquez sur suivant, cliquez sur Ajouter et ajoutez le groupe éditeurs de certificats à partir du domaine parent.
      2. Cliquez sur suivant et cliquez sur créer une tâche personnalisée à déléguer, puis cliquez sur suivant.
      3. Activez la case à cocher seulement des objets suivants dans le dossier.
      4. Cliquez sur objets utilisateur, puis cliquez sur suivant.
      5. Cliquez sur propriété spécifique, cliquez sur Read userCertificate, puis cliquez sur Write userCertificate.
      6. Cliquez sur suivant, puis cliquez sur terminé.
  4. Ouvrez le composant logiciel enfichable Active Directory utilisateurs et ordinateurs et cliquez avec le bouton droit sur le n?ud du domaine.
  5. Cliquez sur Délégation de contrôle, à moins que l'Assistant délégation démarre. Dans l'Assistant :
    1. Cliquez sur suivant, cliquez sur Ajouter et ajoutez le groupe Éditeurs de certificats à partir du domaine parent. Cliquez sur suivant.
    2. Sélectionnez l'option créer une tâche personnalisée à déléguer, puis cliquez sur suivant.
    3. Sélectionnez seulement des objets suivants dans le dossier.
    4. Sélectionnez l'option objets utilisateur, puis cliquez sur suivant.
    5. Sélectionnez l'option spécifique aux propriétés.
    6. Sélectionnez l'option Read userCertificate.
    7. Sélectionnez l'option Write userCertificate.
    8. Cliquez sur suivant, puis cliquez sur terminé.
  6. Sur le contrôleur de domaine enfant, à invite de commandes, exécutez les deux commandes suivantes, en conservant les guillemets :
    dsacls "cn = adminsdholder, cn = system, dc = your domain, dc = com"/G"CA's domain \Cert éditeurs: WP; userCertificate"
    dsacls "cn = adminsdholder, cn = system, dc = your domain, dc = com"/G"CA's domain \Cert éditeurs : RP ; userCertificate"
    Dans ce cas, dc = your domain, dc = com est le nom unique (DN) de votre domaine enfant, et où CA's Domain est le nom de domaine dans lequel se trouve l'autorité de certification.
  7. Remarque Windows Server 2003 SP1 fournit un nouveau groupe de sécurité, CERTSVC_DCOM_ACCESS. L'utilisateur ou ordinateur demandeur à partir du domaine parent ou enfant doit être membre de ce groupe pour pouvoir obtenir ce certificat.

    Sur le serveur de l'autorité de certification, à l'invite de commandes, exécutez les trois commandes suivantes :
    certutil - setreg SetupStatus - SETUP_DCOM_SECURITY_UPDATED_FLAG
    net stop certsvc
    net start certsvc
    Pour plus d'informations sur le groupe de sécurité CERTSVC_DCOM_ACCESS, cliquez sur le numéro ci-dessous pour afficher l'article correspondant dans la base de connaissances Microsoft :
    927066  (http://support.microsoft.com/kb/927066/ ) Message d'erreur lorsqu'un ordinateur client demande un certificat à partir d'un ordinateur qui exécute Windows Server 2003 avec Service Pack 1: "l'Assistant ne peut pas être démarré en raison d'un ou plusieurs des conditions suivantes"
    Pour plus d'informations sur la façon d'ajouter des utilisateurs et les serveurs dans un environnement de forêt croisée pour le groupe de sécurité CERTSVC_DCOM_ACCESS reçoit, cliquez sur le numéro ci-dessous pour afficher l'article correspondant dans la base de connaissances Microsoft :
    961298  (http://support.microsoft.com/kb/961298/ ) L'inscription automatique ne fonctionne pas dans l'environnement entre forêts
Retour au début

Scénario 2 : Domaine de niveau unique ou le domaine parent

Sur le contrôleur de domaine de niveau unique ou sur le contrôleur de domaine parent, à l'invite de commandes, exécutez les commandes de deux suivantes, conservant les guillemets :
dsacls "cn = adminsdholder, cn = system, dc dc=<your domain>,dc=<com> "/G" <CA's domain> \Cert éditeurs: WP; userCertificate "
dsacls "cn = adminsdholder, cn = system, dc dc=<your domain>,dc=<com> "/G" <CA's domain> \Cert éditeurs : RP ; userCertificate "
Où dc = your domain, dc = com est le nom unique (DN) de votre domaine enfant, et où CA's Domain est le nom de domaine dans lequel se trouve l'autorité de certification.
Retour au début

Statut

Microsoft a confirmé l'existence de ce problème dans Windows 2000 Server et dans Windows Server 2003.
Retour au début

Plus d'informations

Lorsqu'un utilisateur à partir d'un domaine enfant ne parvient pas à l'inscription, l'erreur suivante est générée dans le journal des événements de l'autorité de certification : 
Event Type:     Warning 
Event Source:   CertSvc 
Event Category: None 
Event ID:       53 
Date:           08/14/2000 
Time:           05:13:00 
User:           N/A 
Computer:       <Root CA name> 
Description: 
Certificate Services denied request <request #> because Access is denied.
0x80070005 (WIN32: 5).  The request was for (Unknown Subject).  Additional
information: Denied by Policy Module
Si les listes de contrôle d'accès sont définies de sorte que l'utilisateur peut inscrire mais l'autorité de certification n'a pas d'autorisations publier sur Active Directory de l'utilisateur, le message d'erreur suivant est généré dans le journal des événements d'application autorité de certification : 
Event Type:     Error 
Event Source:   CertSvc 
Event Category: None 
Event ID:       46 
Date:           08/14/2000 
Time:           05:13:00 
User:           N/A 
Computer:       <Root CA name> 
Description: 
The "Enterprise and Stand-alone Exit Module" Exit Module "Notify" method
returned an error. Access is denied. The returned status code is
0x80070005 (5).  The Certification Authority was unable to publish the
certificate for Child\User to the Directory Service.  Access is denied.

(0x80070005)
Retour au début
Les informations contenues dans cet article s'appliquent au(x) produit(s) suivant(s):
  • Microsoft Windows Server 2003, Standard Edition (32-bit x86)
  • Microsoft Windows Server 2003, Enterprise Edition (32-bit x86)
  • Microsoft Windows 2000 Server
  • Microsoft Windows 2000 Advanced Server
Retour au début
Mots-clés : 
kbmt kbcertservices kbprb KB281271 KbMtfr
Retour au début
Traduction automatiqueTraduction automatique
IMPORTANT : Cet article est issu du système de traduction automatique mis au point par Microsoft (http://support.microsoft.com/gp/mtdetails). Un certain nombre d?articles obtenus par traduction automatique sont en effet mis à votre disposition en complément des articles traduits en langue française par des traducteurs professionnels. Cela vous permet d?avoir accès, dans votre propre langue, à l?ensemble des articles de la base de connaissances rédigés originellement en langue anglaise. Les articles traduits automatiquement ne sont pas toujours parfaits et peuvent comporter des erreurs de vocabulaire, de syntaxe ou de grammaire (probablement semblables aux erreurs que ferait une personne étrangère s?exprimant dans votre langue !). Néanmoins, mis à part ces imperfections, ces articles devraient suffire à vous orienter et à vous aider à résoudre votre problème. Microsoft s?efforce aussi continuellement de faire évoluer son système de traduction automatique.
La version anglaise de cet article est la suivante: 281271  (http://support.microsoft.com/kb/281271/en-us/ )
Retour au début
L'INFORMATION CONTENUE DANS CE DOCUMENT EST FOURNIE PAR MICROSOFT SANS GARANTIE D'AUCUNE SORTE, EXPLICITE OU IMPLICITE. L'UTILISATEUR ASSUME LE RISQUE DE L'UTILISATION DU CONTENU DE CE DOCUMENT. CE DOCUMENT NE PEUT ETRE REVENDU OU CEDE EN ECHANGE D'UN QUELCONQUE PROFIT.