Artigo: 294305 - Última revisão: segunda-feira, 3 de Dezembro de 2007 - Revisão: 4.4

O IIS devolve HTTP "403.13 cliente certificados revogados" erro mensagem apesar do certificado não é revogado

Vista lado a ladoClique aqui para exibir o artigo traduzido e o artigo original em inglês, lado a lado.
Tradução automáticaVer isenção de responsabilidades para tradução automática
Ver produtos para os quais este artigo se aplica.
Dica do SistemaEste artigo aplica-se a um sistema operativo diferente do que está a utilizar. Foi desactivado o conteúdo do artigo, que pode não ser relevante para si.

Nesta página

Expandir tudo | Reduzir tudo

Sintomas

Quando navega num Web site que estiver configurado para exigir certificados de cliente, poderá receber a seguinte mensagem de erro HTTP, mesmo se tem a certeza de que não foi revogado o certificado de cliente:
Certificado de cliente 403.13 revogado
Voltar ao topo

Causa

Por predefinição, serviços de informação Internet (IIS) verifica se o certificado de cliente que está a ser apresentado se foi revogado. Isto acontece, transferindo lista de revogação de certificados (CRL o certificado de cliente) a partir da ponto de distribuição um certificado (CDP) listado como parte do certificado de cliente. Se o IIS não conseguir transferir pelo menos as CRL do certificado de cliente, é apresentada a mensagem de erro HTTP no browser do cliente.
Voltar ao topo

Resolução

Para cada certificado na cadeia tem um CDP listado, certifique-se que o IIS está para transferir, pelo menos, uma CRL. Isto normalmente implica ajustar firewall, proxy ou definições de DNS (Domain Name Server) para o tráfego necessário admitir; consoante o protocolo, este pode ser protocolo de transferência de hipertexto (HTTP, Hypertext Transfer Protocol) ou chamada de procedimento remoto (RPC). Tenha em atenção que o servidor Web tem de ser capaz de resolver a CRL, mesmo se o navegador do cliente consegue resolver a CRL porque o servidor Web está a assistir o pedido HTTP que requer o certificado de cliente.

Para evitar a mensagem de erro HTTP 403.13, efectue um dos seguintes procedimentos:
  • Active o IIS transferir a CRL. Para o fazer, siga estes passos:
    1. Elimine quaisquer certificados de cliente duplicados (ou seja, certificados de cliente que são emitidos da mesma autoridade de certificação) do navegador do cliente.
    2. Comece com o certificado de cliente e continuar o caminho de certificação. Cole referência de HTTP de CDP do certificado no browser no servidor. Se o ficheiro a transferir falhar, existe um problema com o CDP. Nota : faça duplo clique sobre cada certificado o caminho de certificação para ver as respectivas propriedades.

    3. Utilize os utilitários de PING, Tracert.exe e Wfetch.exe para identificar nome resolução ou rede latência problemas que surgem quando contactar o problema CDP.
    4. Localizar o endereço IP do problema CDP e adicione uma entrada no ficheiro HOSTS no computador IIS. Isto deve activar o IIS transferir a CRL e resolver o erro.
    5. Repita estes passos para cada certificado no caminho de certificação o certificado de cliente.
  • Se um computador de proxy está envolvido, altere a conta é utilizada para iniciar o IIS numa conta de administrador de domínio e reinicie o serviço de administração do IIS. Se isto resolver o problema, a conta de sistema local ou a conta que é utilizada regularmente para iniciar o IIS, não tem permissões suficientes no servidor proxy para aceder à Internet.
Voltar ao topo

Mais Informação

Para ver CDP do certificado, siga estes passos:
  1. No Microsoft Internet Explorer, clique em Opções da Internet no menu Ferramentas .
  2. No separador conteúdo , clique em certificados .
  3. No separador pessoal , faça duplo clique no certificado de cliente.
  4. Clique no separador Caminho da certificação do certificado de cliente para apresentar cada certificado o caminho.
  5. Faça duplo clique cada um destes certificados e clique no separador Detalhes . O campo de Ponto de distribuição de CRL contém entradas que listam o caminho para transferir o ficheiro de .CRL associado. Nota : Se um CDP não estiver listado, avance para o seguinte certificado superior no caminho.
Se existir uma extensão CDP num certificado que faz parte do caminho de certificação, o IIS tem de conseguir transferir pelo menos as CRL. Se o IIS não consegue resolver a CRL, devolve o erro HTTP 403.13.

exemplo pontos de distribuição da CRL: 
[1]CRL Distribution Point
     Distribution Point Name:
          Full Name:
               URL=http://server.domain.com/CertEnroll/server%20Root%20CA.crl<BR/><BR/>

[2]CRL Distribution Point
     Distribution Point Name:
          Full Name:
               URL=file://\\server2.domain.com\CertEnroll\server2%20Root%20CA.crl
Voltar ao topo

REFERÊNCIAS

Para obter mais informações sobre Wfetch.exe, clique no número de artigo que se segue para visualizar o artigo na Microsoft Knowledge Base:
284285  (http://support.microsoft.com/kb/284285/ ) Como utilizar Wfetch.exe para resolver problemas de ligações HTTP
A propriedade da metabase do IIS CertCheckMode activa ou desactiva a verificação da lista de revogação de certificados (CRL). Quando CertCheckMode estiver definida para um valor superior a 0, a CRL não procura certificados que foram revogados. Quando CertCheckMode for igual a 0, a CRL procura certificados que foram revogados. Para mais informações, consulte o tópico "CertCheckMode" no IIS online ajuda.
Voltar ao topo
A informação contida neste artigo aplica-se a:
  • Microsoft Internet Information Services 6.0
  • Microsoft Internet Information Services 5.0
  • Microsoft Internet Information Services 7.0
Voltar ao topo
Palavras-chave: 
kbmt kbpending kbprb KB294305 KbMtpt
Voltar ao topo
Tradução automáticaTradução automática
IMPORTANTE: Este artigo foi traduzido por um sistema de tradução automática (também designado por Machine translation ou MT), não tendo sido portanto revisto ou traduzido por humanos. A Microsoft tem artigos traduzidos por aplicações (MT) e artigos traduzidos por tradutores profissionais. O objectivo é simples: oferecer em Português a totalidade dos artigos existentes na base de dados do suporte. Sabemos no entanto que a tradução automática não é sempre perfeita. Esta pode conter erros de vocabulário, sintaxe ou gramática? erros semelhantes aos que um estrangeiro realiza ao falar em Português. A Microsoft não é responsável por incoerências, erros ou estragos realizados na sequência da utilização dos artigos MT por parte dos nossos clientes. A Microsoft realiza actualizações frequentes ao software de tradução automática (MT). Obrigado.
Clique aqui para ver a versão em Inglês deste artigo: 294305  (http://support.microsoft.com/kb/294305/en-us/ )
Voltar ao topo