Artigo: 281271 - �ltima revis�o: quarta-feira, 25 de Fevereiro de 2009 - Revis�o: 8.0

Configura��o da autoridade de certifica��o para publicar certificados no Active Directory do dom�nio fidedigno

Clique aqui para exibir o artigo traduzido e o artigo original em ingl�s, lado a lado.

Ver isen��o de responsabilidades para tradu��o autom�tica

Ver produtos para os quais este artigo se aplica.

Dica do SistemaEste artigo aplica-se a um sistema operativo diferente do que est� a utilizar. Foi desactivado o conte�do do artigo, que pode n�o ser relevante para si.

Nos seguintes cen�rios, se um utilizador do mesmo dom�nio como uma autoridade de certifica��o (AC) pedir um certificado, o certificado emitido � publicado no Active Directory. No entanto, se o utilizador pertencer a um dom�nio subordinado, este processo n�o tem �xito. Al�m disso, quando os utilizadores do mesmo dom�nio como uma AC pedir um certificado, o certificado emitido n�o pode ser publicado no Active Directory.

cen�rio 1
Neste cen�rio, a AC n�o publica certificados emitidos para objecto de DS do utilizador no dom�nio subordinado quando as seguintes condi��es s�o verdadeiras:

O utilizador est� numa hierarquia de dom�nio de n�vel dois com um principal e um dom�nio subordinado.
A AC empresarial est� localizada no dom�nio principal e o utilizador est� num dom�nio subordinado.
O utilizador no dom�nio subordinado inscrever na AC principal.

Numa hierarquia de dom�nio de n�vel dois com um principal e um dom�nio subordinado, a AC empresarial encontra-se no dom�nio principal e os utilizadores est�o no dom�nio subordinado. Inscrever utilizadores no dom�nio subordinado na AC, o principal e a AC publica certificados emitidos para objecto de DS do utilizador no dom�nio subordinado.

cen�rio 2
Considere o seguinte cen�rio:

O utilizador est� num dom�nio de n�vel �nico ou um dom�nio principal.
A AC empresarial est� localizada no dom�nio principal.
Os controladores de dom�nio n�o tem a correc��o 327825 instalado ou o Windows 2000 Service Pack 4 (SP4) instalado.
O utilizador, no n�vel �nico ou principal de dom�nio, se a autoridade de certifica��o um n�vel ou a autoridade de certifica��o principal.

Neste cen�rio, a autoridade de certifica��o n�o publica certificados emitidos ao objecto de servidor de dom�nio do utilizador no dom�nio um n�vel ou no dom�nio principal.

Voltar ao topo

Causa

Cen�rio 1: Hierarquia do dom�nio n�vel dois

Os utilizadores de dom�nio subordinado n�o tem permiss�es adequadas para inscrever. Mesmo quando o fazem, a AC n�o tem as permiss�es de acesso para publicar o certificado no Active Directory.

Por predefini��o, apenas os utilizadores de dom�nio do mesmo dom�nio que tenha da AC inscrever permiss�es.

Por predefini��o, a AC tem as seguintes permiss�es necess�rias concedidas a utilizadores dentro do respectivo dom�nio:

Ler userCertificate
Escrever userCertificate

A AC no dom�nio principal n�o tem permiss�es para a propriedade userCertificate de utilizadores no dom�nio subordinado.

Voltar ao topo

Cen�rio 2: Dom�nio de n�vel �nico ou dom�nio principal

Por predefini��o no Windows 2000, o objecto AdminSDHolder n�o lhe concede que os editores de certificados grupo as permiss�es necess�rias para contas de utilizador que o processo de AdminSDHolder abrangidas. A lista seguinte cont�m grupos de conta de utilizador protegido no Windows 2000:

Admins da empresa
Admins de esquemas
Admins do dom�nio
Administradores

Depois de aplicar a correc��o descrita no artigo de base de dados de conhecimento da Microsoft 327825 ou depois de instalar o Windows 2000 SP4, a lista seguinte de conta de utilizador grupos no Windows Server 2003 e no Windows 2000 est�o agora protegidos por grupos de contas de utilizador:

Administradores
Operadores de contas
Operadores de servidor
Operadores de impress�o
Operadores de c�pia de seguran�a
Admins do dom�nio
Admins de esquemas
Admins da empresa
Editores de certificados

Voltar ao topo

Resolu��o

Cen�rio 1: Hierarquia do dom�nio n�vel dois

Para permitir que os utilizadores de dom�nio subordinado obter certificados e mant�-las publicada no Active Directory, siga estes passos:

Defina as permiss�es no modelo da AC para permitir pedidos de inscri��o. O utilizador defina permiss�es de objecto para permitir que a AC publicar o certificado. Altere AdminSDHolder para emitir as permiss�es de objecto de utilizador para os utilizadores que s�o administradores.
O utilizador defina permiss�es de objecto para permitir que a AC publicar o certificado. Altere AdminSDHolder para emitir as permiss�es de objecto de utilizador para os utilizadores que s�o administradores.
Altere AdminSDHolder para emitir as permiss�es de objecto de utilizador para os utilizadores que s�o administradores.

Nota Primeiro tem de instalar ferramentas de suporte do Windows Professional ou o CD-ROM do Windows Server.

Para permitir os utilizadores de dom�nio subordinado obter certificados e que publicada no Active Directory

Definir permiss�es na AC para permitir aos utilizadores no dom�nio subordinado pedir um certificado. por predefini��o, este deve ser local.
1. Abrir o snap-in Autoridade de certifica��o, clique com o bot�o direito do rato a AC e, em seguida, clique em Propriedades .
2. No separador seguran�a , certifique-se de que o grupo Utilizadores autenticados tem permiss�o para pedir certificados.
Definir permiss�es em modelos de certificado aplic�vel para permitir aos utilizadores no dom�nio subordinado inscrever.

Nota Tem de ser sess�o iniciada dom�nio de raiz com direitos de administrador de dom�nio.
1. Abra o snap-in Servi�os e locais do Active Directory.
2. Clique em Ver e clique em Mostrar n� de servi�os .
3. Expanda a pasta de n� de servi�os, expanda Servi�os de chave p�blica e, em seguida, clique em Modelos de certificado .
4. No painel de detalhes, seleccione o modelo pretendido ou modelos. Por exemplo, clique com o bot�o direito do rato o modelo de certificado de utilizador e, em seguida, clique em Propriedades .
5. No separador seguran�a , conceda inscrever permiss�es para o grupo pretendido, tal como Utilizadores autenticados .
Configure o m�dulo de sa�da AC para publicar certificados no Active Directory.
1. No snap-in Autoridade de certifica��o, clique com o bot�o direito do rato a AC e, em seguida, clique em Propriedades .
2. No separador ' M�dulo de sa�da , clique em Configurar .
3. Nas propriedades do m�dulo de sa�da, clique para seleccionar a caixa de Permitir que os certificados sejam publicados no Active Directory .
no controlador de dom�nio subordinado:

Nota Em dom�nios do Windows 2000 e dom�nios do Windows Server 2003 que tenham sido actualizados a partir do Windows 2000, o grupo de editores de certificados � um grupo global do dom�nio. Tem de adicionar manualmente o grupo de editores de certificados para cada dom�nio subordinado.

dom�nios do Windows Server 2003

Pode activar os utilizadores de dom�nio subordinado para obter certificados e de modo a publicadas nos dom�nios do Windows Server 2003 actualizados. Para efectuar este procedimento, alterar o tipo de grupo para Dom�nio Local e incluir o servidor da AC do dom�nio principal. Este procedimento cria a mesma configura��o que est� presente num dom�nio Windows Server 2003 freshly instalado. A interface de utilizador (UI) n�o permite alterar o tipo de grupo. No entanto, pode utilizar o comando dsmod para alterar o grupo Editores de certificados de um grupo global do dom�nio a um grupo local de dom�nio. Para o fazer, utilize a seguinte sintaxe:
dsmod group Group Distinguished Name - �mbito l
Nota Em alguns casos, n�o pode alterar groupType directamente a partir do global ao grupo local de dom�nio. Neste caso, ter� de alterar o grupo global para um grupo universal e alterar o grupo universal para um grupo local de dom�nio. Para o fazer, siga estes passos:
1. Escreva o seguinte comando e, em seguida, prima ENTER:
  dsmod group Group Distinguished Name - �mbito u
  Este comando altera o grupo global num grupo universal.
2. Escreva o seguinte comando e, em seguida, prima ENTER:
  dsmod group Group Distinguished Name - �mbito l
  Este comando altera o grupo universal a um grupo local de dom�nio.
dom�nios do Windows 2000

Pode utilizar o Assistente de delega��o para manualmente adicionar certificado Publisher grupo o dom�nio raiz a cada objecto de utilizador no dom�nio subordinado. Para o fazer, siga estes passos:
1. Abra o snap-in computadores e utilizadores do Active Directory e, em seguida, clique com o bot�o direito do rato no n� de dom�nio.
2. Clique em Delegar controlo . O Assistente de delega��o � iniciado. No Assistente siga estes passos:
  1. Clique em seguinte , clique em Adicionar e, em seguida, adicione o grupo Editores de certificados do dom�nio principal.
  2. Clique em seguinte , clique em criar uma tarefa personalizada para delegar e, em seguida, clique em seguinte .
  3. Seleccione a caixa de verifica��o apenas os seguintes objectos na pasta .
  4. Clique em objectos de utilizador e, em seguida, clique em seguinte .
  5. Clique em propriedades espec�ficas , clique em Ler userCertificate e, em seguida, clique em Escrever userCertificate .
  6. Clique em seguinte e, em seguida, clique em conclu�do .
Abra o snap-in computadores e utilizadores do Active Directory e, clique com o bot�o direito do rato no n� de dom�nio.
Clique em Delegar controlo , altura em que o Assistente de delega��o � iniciado. No assistente:
1. Clique em seguinte , clique em Adicionar e, em seguida, adicione o grupo Editores de certificados do dom�nio principal. Clique em seguinte .
2. Seleccione a op��o criar uma tarefa personalizada para delegar e, em seguida, clique em seguinte .
3. Seleccione apenas os seguintes objectos na pasta .
4. Seleccione a op��o de objectos de utilizador e, em seguida, clique em seguinte .
5. Seleccione a op��o propriedades espec�ficas .
6. Seleccione a op��o Ler userCertificate .
7. Seleccione a op��o Escrever userCertificate .
8. Clique em seguinte e, em seguida, clique em conclu�do .
No controlador de dom�nio subordinado, numa linha de comandos, execute os seguintes dois comandos manter as aspas:
dsacls "cn = adminsdholder, cn = system, dc = your domain, dc = com"/G"CA's domain \Cert fabricantes: WP; userCertificate"
dsacls "cn = adminsdholder, cn = system, dc = your domain, dc = com"/G"CA's domain \Cert fabricantes: RP; userCertificate"
Neste caso, dc = your domain, dc = com � o nome distinto (DN, Distinguished Name) do dom�nio subordinado, e em que CA's Domain � o nome de dom�nio onde est� localizada a AC.
Nota Windows Server 2003 SP1 fornece um novo grupo de seguran�a, CERTSVC_DCOM_ACCESS. O utilizador ou computador que efectuam o pedido do dom�nio principal ou subordinado tem de ser membro deste grupo para conseguir obter este certificado.

No servidor de AC, numa linha de comandos, execute os seguintes tr�s comandos:
certutil - setreg SetupStatus - SETUP_DCOM_SECURITY_UPDATED_FLAG
net stop certsvc
net start certsvc
Para obter mais informa��es sobre o grupo de seguran�a CERTSVC_DCOM_ACCESS, clique no n�mero de artigo que se segue para visualizar o artigo na Microsoft Knowledge Base:
927066� (http://support.microsoft.com/kb/927066/ ) Mensagem de erro quando um computador cliente pede um certificado a partir de um computador com o Windows Server 2003 com Service Pack 1: "n�o ser� iniciado o assistente devido a um ou mais das seguintes condi��es"
Para obter mais informa��es sobre como adicionar utilizadores e servidores num ambiente de floresta cruzada para o grupo de seguran�a CERTSVC_DCOM_ACCESS, clique no n�mero de artigo que se segue para visualizar o artigo na Microsoft Knowledge Base:
961298� (http://support.microsoft.com/kb/961298/ ) Inscri��o autom�tica n�o funciona no ambiente de floresta entre

Voltar ao topo

Cen�rio 2: Dom�nio de n�vel �nico ou dom�nio principal

No controlador de dom�nio de n�vel ou num controlador de dom�nio principal, numa linha de comandos, execute os seguintes dois comandos, manter as aspas:

dsacls "cn = adminsdholder, cn = system, dc dc=<your domain>,dc=<com> "/G" <CA's domain> \Cert editores: WP; userCertificate "

dsacls "cn = adminsdholder, cn = system, dc dc=<your domain>,dc=<com> "/G" <CA's domain> \Cert editores: RP; userCertificate "

Onde dc = your domain, dc = com � o nome distinto (DN, Distinguished Name) do dom�nio subordinado, e em que CA's Domain � o nome de dom�nio onde est� localizada a AC.

Voltar ao topo

Ponto Da Situa��o

A Microsoft confirmou que este � um problema no Windows 2000 Server e no Windows Server 2003.

Voltar ao topo

Mais Informa��o

Quando um utilizador de um dom�nio subordinado n�o tiver �xito na inscri��o, � gerado o seguinte erro no registo de eventos de aplica��es de AC:

Event Type:     Warning 
Event Source:   CertSvc 
Event Category: None 
Event ID:       53 
Date:           08/14/2000 
Time:           05:13:00 
User:           N/A 
Computer:       <Root CA name> 
Description: 
Certificate Services denied request <request #> because Access is denied.
0x80070005 (WIN32: 5).  The request was for (Unknown Subject).  Additional
information: Denied by Policy Module

Se as ACL estiverem definidas para que o utilizador pode inscrever-se, mas a AC n�o tem permiss�es para publicar do utilizador Active Directory, � gerado ao seguinte erro no registo de eventos de aplica��es de AC:

Event Type:     Error 
Event Source:   CertSvc 
Event Category: None 
Event ID:       46 
Date:           08/14/2000 
Time:           05:13:00 
User:           N/A 
Computer:       <Root CA name> 
Description: 
The "Enterprise and Stand-alone Exit Module" Exit Module "Notify" method
returned an error. Access is denied. The returned status code is
0x80070005 (5).  The Certification Authority was unable to publish the
certificate for Child\User to the Directory Service.  Access is denied.

(0x80070005)

Voltar ao topo

A informa��o contida neste artigo aplica-se a:

Microsoft Windows Server 2003 Standard Edition
Microsoft Windows Server 2003 Enterprise Edition
Microsoft Windows 2000 Server
Microsoft Windows 2000 Advanced Server

Voltar ao topo

kbmt kbcertservices kbprb KB281271 KbMtpt

Voltar ao topo

Tradu��o autom�tica

IMPORTANTE: Este artigo foi traduzido por um sistema de tradu��o autom�tica (tamb�m designado por Machine translation ou MT), n�o tendo sido portanto revisto ou traduzido por humanos. A Microsoft tem artigos traduzidos por aplica��es (MT) e artigos traduzidos por tradutores profissionais. O objectivo � simples: oferecer em Portugu�s a totalidade dos artigos existentes na base de dados do suporte. Sabemos no entanto que a tradu��o autom�tica n�o � sempre perfeita. Esta pode conter erros de vocabul�rio, sintaxe ou gram�tica? erros semelhantes aos que um estrangeiro realiza ao falar em Portugu�s. A Microsoft n�o � respons�vel por incoer�ncias, erros ou estragos realizados na sequ�ncia da utiliza��o dos artigos MT por parte dos nossos clientes. A Microsoft realiza actualiza��es frequentes ao software de tradu��o autom�tica (MT). Obrigado.

Clique aqui para ver a vers�o em Ingl�s deste artigo: 281271� (http://support.microsoft.com/kb/281271/en-us/ )

Voltar ao topo

This site in other countries/regions:

Configura��o da autoridade de certifica��o para publicar certificados no Active Directory do dom�nio fidedigno

Nesta p�gina

Sintomas

Causa

Cen�rio 1: Hierarquia do dom�nio n�vel dois

Cen�rio 2: Dom�nio de n�vel �nico ou dom�nio principal

Resolu��o

Cen�rio 1: Hierarquia do dom�nio n�vel dois

Para permitir os utilizadores de dom�nio subordinado obter certificados e que publicada no Active Directory

Cen�rio 2: Dom�nio de n�vel �nico ou dom�nio principal

Ponto Da Situa��o

Mais Informa��o

A informa��o contida neste artigo aplica-se a:

Palavras-chave:�

Outros Sites de Suporte

Comunidades

Obtenha Ajuda Agora

Tradu��es de Artigos

Centros de suporte relacionados