ID do artigo: 281271 - �ltima revis�o: quarta-feira, 25 de fevereiro de 2009 - Revis�o: 8.0

Configura��o de autoridade de certifica��o para publicar certificados no Active Directory do dom�nio confi�vel

Clique aqui para exibir o artigo traduzido e o artigo original em ingl�s, lado a lado.

Exibir Aviso de Isen��o de Tradu��o Autom�tica

Exibir os produtos aos quais esse artigo se aplica.

Dica do SistemaEste artigo aplica-se a um sistema operativo diferente do que est� a utilizar. Foi desactivado o conte�do do artigo, que pode n�o ser relevante para si.

Nas seguintes situa��es, se um usu�rio do mesmo dom�nio como uma autoridade de certifica��o (CA) solicita um certificado, o certificado emitido ser� publicado no Active Directory. No entanto, se o usu�rio for de um dom�nio filho, esse processo n�o � bem-sucedido. Al�m disso, quando os usu�rios do mesmo dom�nio como uma autoridade de certifica��o solicitarem um certificado, o certificado emitido n�o pode ser publicado no Active Directory.

cen�rio 1
Nesse cen�rio, a autoridade de certifica��o n�o publica certificados emitidos para objeto de DS do usu�rio no dom�nio filho quando as seguintes condi��es forem verdadeiras:

O usu�rio � uma hierarquia de dom�nio de n�vel dois com um pai e um dom�nio filho.
A CA corporativa est� localizada no dom�nio pai e o usu�rio est� no dom�nio filho.
O usu�rio no dom�nio filho registrar-se na autoridade de certifica��o pai.

Em uma hierarquia dom�nio de n�vel dois com um pai e um dom�nio filho, CA corporativa est� localizada no dom�nio pai e os usu�rios est�o no dom�nio filho. Registrar usu�rios no dom�nio filho na autoridade de certifica��o, pai e a autoridade de certifica��o publica certificados emitidos para objeto de DS do usu�rio no dom�nio filho.

cen�rio 2
Considere o seguinte cen�rio:

O usu�rio est� em um dom�nio de n�vel �nico ou um dom�nio pai.
A CA corporativa est� localizada no dom�nio pai.
Os controladores de dom�nio n�o tem hotfix 327825 instalado ou o Windows 2000 Service Pack 4 (SP4) instalado.
O usu�rio, no n�vel �nico ou dom�nio pai, registra a autoridade de certifica��o de n�vel �nico ou a autoridade de certifica��o pai.

Nesse cen�rio, a autoridade de certifica��o n�o publicar� os certificados emitidos ao objeto de servidor de dom�nio do usu�rio no dom�nio de n�vel �nico ou no dom�nio pai.

Voltar para o in�cio

Causa

Cen�rio 1: Hierarquia de dom�nio n�vel dois

Os usu�rios do dom�nio filho n�o tem permiss�es adequadas para se registrar. Mesmo quando isso acontecer, a autoridade de certifica��o n�o tem as permiss�es de acesso para publicar o certificado no Active Directory.

Por padr�o, somente usu�rios de dom�nio do mesmo dom�nio que a autoridade de certifica��o tenha permiss�es de registro.

Por padr�o, a autoridade de certifica��o tem as seguintes permiss�es necess�rias concedidas a usu�rios em seu dom�nio:

Ler userCertificate
Gravar userCertificate

A autoridade de certifica��o no dom�nio pai n�o tem permiss�es para a propriedade userCertificate sobre os usu�rios no dom�nio filho.

Voltar para o in�cio

Cen�rio 2: Dom�nio de n�vel �nico ou dom�nio pai

Por padr�o no Windows 2000, o objeto AdminSDHolder n�o concede que as permiss�es necess�rias para contas de usu�rio que s�o abordadas em processo AdminSDHolder de grupo Editores de certificados. A lista a seguir cont�m grupos de conta de usu�rios protegidos do Windows 2000:

Administra��o de empresa
Administradores de esquema
Administradores de dom�nio
Administradores

Depois de aplicar o hotfix descrito no artigo da Base de dados de Conhecimento da Microsoft 327825 ou ap�s a instala��o do Windows 2000 SP4, a lista a seguir da conta de usu�rio grupos no Windows Server 2003 e no Windows 2000 s�o agora protegidos grupos de conta de usu�rio:

Administradores
Operadores de conta
Operadores de servidor
Operadores de impress�o
Operadores de backup
Administradores de dom�nio
Administradores de esquema
Administra��o de empresa
Editores de certificados

Voltar para o in�cio

Resolu��o

Cen�rio 1: Hierarquia de dom�nio n�vel dois

Para permitir que os usu�rios de dom�nio filho obter certificados e as publicada no Active Directory, execute estas etapas:

Defina as permiss�es no modelo da autoridade de certifica��o para permitir solicita��es de inscri��o. Defina permiss�es de objeto para permitir que a CA para publicar o certificado de usu�rio. Altere AdminSDHolder para empurrar as permiss�es de objeto de usu�rio para usu�rios que s�o administradores.
Defina permiss�es de objeto para permitir que a CA para publicar o certificado de usu�rio. Altere AdminSDHolder para empurrar as permiss�es de objeto de usu�rio para usu�rios que s�o administradores.
Altere AdminSDHolder para empurrar as permiss�es de objeto de usu�rio para usu�rios que s�o administradores.

Observa��o Voc� deve primeiro instalar ferramentas de suporte do Windows Professional ou o CD-ROM do Windows Server.

Para permitir que os usu�rios de dom�nio filho obter certificados e as publicada no Active Directory

Definir permiss�es na autoridade de certifica��o para permitir que usu�rios no dom�nio filho solicitar um certificado. por padr�o, isso deve estar no local.
1. Abra o snap-in da autoridade de certifica��o, clique a autoridade de certifica��o com o bot�o direito do mouse e, em seguida, clique em Propriedades .
2. Na guia seguran�a , certifique-se de que o grupo Usu�rios autenticados � permitido para solicitar certificados.
Definir permiss�es em modelos de certificado aplic�vel para permitir que usu�rios no dom�nio filho registrar.

Observa��o Voc� deve fazer logon para o dom�nio raiz com direitos de administrador de dom�nio.
1. Abra o snap-in Servi�os e sites do Active Directory.
2. Clique em Exibir e, em seguida, clique em Mostrar n� de servi�os .
3. Expanda a pasta de n� de servi�os, expanda Servi�os de chave p�blica e, em seguida, clique em Modelos de certificado .
4. No painel de detalhes, selecione o modelo desejado ou modelos. Por exemplo, clique o modelo de certificado de usu�rio com o bot�o direito do mouse e, em seguida, clique em Propriedades .
5. Na guia seguran�a , conceder permiss�es para o grupo desejado, como Usu�rios autenticados de registro.
Configure o m�dulo de sa�da CA para publicar certificados no Active Directory.
1. No snap-in autoridade de certifica��o, clique a autoridade de certifica��o com o bot�o direito do mouse e, em seguida, clique em Propriedades .
2. Na guia M�dulo de sa�da , clique em Configurar .
3. Nas propriedades para o m�dulo de sa�da, clique em para selecionar a caixa Permitir que certificados sejam publicados no Active Directory .
no controlador de dom�nio filho:

Observa��o Em dom�nios do Windows 2000 e em dom�nios do Windows Server 2003 que tenham sido atualizados do Windows 2000, o grupo Editores de certificados � um grupo global de dom�nio. Voc� deve adicionar manualmente o grupo Editores de certificados para cada dom�nio filho.

dom�nios do Windows Server 2003

Voc� pode habilitar os usu�rios de dom�nio filho para obter certificados e que eles publicado em dom�nios do Windows Server 2003 atualizados. Para fazer isso, altere o tipo de grupo para Dom�nio Local e inclua o servidor da CA do dom�nio pai. Esse procedimento cria a mesma configura��o que est� presente em um dom�nio Windows Server 2003 rec�m-instalado. A interface de usu�rio (UI) n�o permite que voc� altere o tipo de grupo. No entanto, voc� pode usar o comando dsmod para alterar o grupo Editores de certificados de um grupo global de dom�nio para um grupo de dom�nio local. Para fazer isso, use a seguinte sintaxe:
dsmod group Group Distinguished Name - escopo l
Observa��o Em alguns casos, voc� n�o pode alterar groupType diretamente de global para grupo de dom�nio local. Nesse caso, voc� precisar� alterar o grupo global em um grupo universal e alterar o grupo universal em um grupo local de dom�nio. Para fazer isso, execute as seguintes etapas:
1. Digite o seguinte comando e pressione ENTER:
  dsmod group Group Distinguished Name - escopo u
  Esse comando altera o grupo global em um grupo universal.
2. Digite o seguinte comando e pressione ENTER:
  dsmod group Group Distinguished Name - escopo l
  Esse comando altera o grupo universal em um grupo de dom�nio local.
dom�nios do Windows 2000

Voc� pode usar o Assistente para delega��o para adicionar manualmente o grupo de editor de certificado do dom�nio raiz a cada objeto de usu�rio no dom�nio filho. Para fazer isso, execute as seguintes etapas:
1. Abra o snap-in Active Directory Users and Computers e, em seguida, clique com o bot�o direito do mouse o n� de dom�nio.
2. Clique em delegar controle . O Assistente de delega��o � iniciado. No assistente execute estas etapas:
  1. Clique em Avan�ar , clique em Adicionar e, em seguida, adicione o grupo Editores de certificados do dom�nio pai.
  2. Clique em Avan�ar , clique em criar uma tarefa personalizada para delegar e, em seguida, clique em Avan�ar .
  3. Marque a caixa de sele��o somente os seguintes objetos na pasta .
  4. Clique em objetos de usu�rio e em seguida, clique em Avan�ar .
  5. Clique em Propriedades espec�ficas , clique em Ler userCertificate e, em seguida, clique em Gravar userCertificate .
  6. Clique em Avan�ar e, em seguida, clique em conclu�do .
Abra o snap-in Active Directory Users and Computers e clique com o bot�o direito do mouse no n� do dom�nio.
Clique em Delegar controle , em que ponto o Assistente de delega��o � iniciado. No Assistente:
1. Clique em Avan�ar , clique em Adicionar e, em seguida, adicione o grupo Editores de certificados do dom�nio pai. Clique em Avan�ar .
2. Selecione a op��o criar uma tarefa personalizada para delegar e, em seguida, clique em Avan�ar .
3. Selecione somente os seguintes objetos na pasta .
4. Selecione a op��o objetos de usu�rio e, em seguida, clique em Avan�ar .
5. Selecione a op��o espec�fico da propriedade .
6. Selecione a op��o Ler userCertificate .
7. Selecione a op��o Gravar userCertificate .
8. Clique em Avan�ar e, em seguida, clique em conclu�do .
No controlador de dom�nio filho, em um prompt de comando, execute os seguintes dois comandos, mantendo as aspas:
dsacls "cn = adminsdholder, cn = system, dc = your domain, dc = com"/G"CA's domain \Cert editores: WP; userCertificate"
dsacls "cn = adminsdholder, cn = system, dc = your domain, dc = com"/G"CA's domain \Cert editores: RP; userCertificate"
Nesse caso, dc = your domain, dc = com � o nome distinto (DN) do seu dom�nio filho, e onde CA's Domain � o nome do dom�nio onde est� localizada a autoridade de certifica��o.
Observa��o Windows Server 2003 SP1 fornece um novo grupo de seguran�a, CERTSVC_DCOM_ACCESS. O usu�rio ou computador solicitante do dom�nio pai ou filho deve ser um membro desse grupo para poder obter esse certificado.

No servidor da CA, em um prompt de comando, execute os seguintes tr�s comandos:
certutil - setreg SetupStatus - SETUP_DCOM_SECURITY_UPDATED_FLAG
net stop certsvc
net start certsvc
Para obter mais informa��es sobre o grupo de seguran�a CERTSVC_DCOM_ACCESS, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
927066� (http://support.microsoft.com/kb/927066/ ) Mensagem de erro quando um computador cliente solicita um certificado de um computador que est� executando o Windows Server 2003 com Service Pack 1: "O assistente n�o pode ser iniciado devido a um ou mais das seguintes condi��es"
Para obter mais informa��es sobre como adicionar usu�rios e servidores em um ambiente floresta cruzada para o grupo de seguran�a CERTSVC_DCOM_ACCESS, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
961298� (http://support.microsoft.com/kb/961298/ ) Inscri��o autom�tica n�o funciona no ambiente de floresta entre

Voltar para o in�cio

Cen�rio 2: Dom�nio de n�vel �nico ou dom�nio pai

No controlador de dom�nio de n�vel �nico ou no controlador de dom�nio pai, em um prompt de comando, execute os dois comandos a seguir, mantendo as aspas:

dsacls "cn = adminsdholder, cn = system, dc=<your domain>,dc=<com> "/G" <CA's domain> \Cert editores: WP; userCertificate "

dsacls "cn = adminsdholder, cn = system, dc=<your domain>,dc=<com> "/G" <CA's domain> \Cert editores: RP; userCertificate "

Onde dc = your domain, dc = com � o nome distinto (DN) do seu dom�nio filho, e onde CA's Domain � o nome do dom�nio onde est� localizada a autoridade de certifica��o.

Voltar para o in�cio

Situa��o

A Microsoft confirmou que este � um problema no Windows 2000 Server e no Windows Server 2003.

Voltar para o in�cio

Mais Informa��es

Quando um usu�rio de um dom�nio filho n�o tiver �xito em registrar, o seguinte erro � gerado no log de eventos do aplicativo CA:

Event Type:     Warning 
Event Source:   CertSvc 
Event Category: None 
Event ID:       53 
Date:           08/14/2000 
Time:           05:13:00 
User:           N/A 
Computer:       <Root CA name> 
Description: 
Certificate Services denied request <request #> because Access is denied.
0x80070005 (WIN32: 5).  The request was for (Unknown Subject).  Additional
information: Denied by Policy Module

Se as ACLs s�o configuradas para que o usu�rio pode se inscrever, mas a autoridade de certifica��o n�o tem permiss�es para publicar no Active Directory do usu�rio, o seguinte erro � gerado no log de eventos do aplicativo CA:

Event Type:     Error 
Event Source:   CertSvc 
Event Category: None 
Event ID:       46 
Date:           08/14/2000 
Time:           05:13:00 
User:           N/A 
Computer:       <Root CA name> 
Description: 
The "Enterprise and Stand-alone Exit Module" Exit Module "Notify" method
returned an error. Access is denied. The returned status code is
0x80070005 (5).  The Certification Authority was unable to publish the
certificate for Child\User to the Directory Service.  Access is denied.

(0x80070005)

Voltar para o in�cio

A informa��o contida neste artigo aplica-se a:

Microsoft Windows Server 2003, Standard Edition (32-bit x86)
Microsoft Windows Server 2003, Enterprise Edition (32-bit x86)
Microsoft Windows 2000 Server
Microsoft Windows 2000 Advanced Server

Voltar para o in�cio

kbmt kbcertservices kbprb KB281271 KbMtpt

Voltar para o in�cio

Tradu��o autom�tica

IMPORTANTE: Este artigo foi traduzido por um sistema de tradu��o autom�tica (tamb�m designado por Machine Translation ou MT), n�o tendo sido portanto traduzido ou revisto por pessoas. A Microsoft possui artigos traduzidos por aplica��es (MT) e artigos traduzidos por tradutores profissionais, com o objetivo de oferecer em portugu�s a totalidade dos artigos existentes na base de dados de suporte. No entanto, a tradu��o autom�tica n�o � sempre perfeita, podendo conter erros de vocabul�rio, sintaxe ou gram�tica. A Microsoft n�o � respons�vel por incoer�ncias, erros ou preju�zos ocorridos em decorr�ncia da utiliza��o dos artigos MT por parte dos nossos clientes. A Microsoft realiza atualiza��es freq�entes ao software de tradu��o autom�tica (MT). Obrigado.

Clique aqui para ver a vers�o em Ingl�s deste artigo: 281271� (http://support.microsoft.com/kb/281271/en-us/ )

Voltar para o in�cio

This site in other countries/regions:

Configura��o de autoridade de certifica��o para publicar certificados no Active Directory do dom�nio confi�vel

Nesta p�gina

Sintomas

Causa

Cen�rio 1: Hierarquia de dom�nio n�vel dois

Cen�rio 2: Dom�nio de n�vel �nico ou dom�nio pai

Resolu��o

Cen�rio 1: Hierarquia de dom�nio n�vel dois

Para permitir que os usu�rios de dom�nio filho obter certificados e as publicada no Active Directory

Cen�rio 2: Dom�nio de n�vel �nico ou dom�nio pai

Situa��o

Mais Informa��es

A informa��o contida neste artigo aplica-se a:

Palavras-chave:�

Forne�a coment�rios sobre essa informa��o

Outros Sites de Suporte

Comunidades

Obtenha Ajuda Agora

Tradu��es deste artigo

Centros de suporte relacionados