Istemci sertifikalarýný bir <a0>Web</a0> sitesinde gerektiriyorsa veya Windows Server 2003'te ýAS'ý kullanýrsanýz istemcilerinin baðlantý yapýlamýyor

Aþaðýdaki senaryolarda göz önünde bulundurun.

Senaryo 1

• Istemci baðlantýlarý þifrelemek için Güvenli Yuva Katmaný (SSL) protokolünü kullanan bir Microsoft ýnternet ýnformation Services (IIS) 6.0 Web sitesi var.
• Istemci sertifikalarý kullanýlmasýný iste seçeneðini Güvenli iletiþim kutusunda <a0>WebSiteName özellikleri</a0> iletiþim kutusunun seçilir.

Bu senaryoda, aþaðýdaki belirtilerle karþýlaþabilirsiniz:

• Istemcileri Web sitesine baþarýyla baðlanamaz.
• Web sitesini barýndýran Microsoft Windows Server 2003 tabanlý bir bilgisayarda, aþaðýdaki uyarý olayý kaydedilir:

  Olay türü: uyarý
  Olay kaynaðý: Schannel
  Olay kategorisi: yok
  Olay KIMLIÐI: 36885
  Date: date
  Time: time
  Kullanýcý:
  Bilgisayar: COMPUTERNAME
  Açýklama: istemci kimlik doðrulamasý için isteyen, bu sunucu, güvenilen sertifika yetkilileri listesini istemciye gönderir. Istemci, sunucu tarafýndan güvenilen bir istemci sertifikasý seçmek için bu listeyi kullanýr. Þimdilik, bu sunucu, liste çok uzun ulaþmýþsa, çok sayýda sertifika yetkililerini güvenir. Bu liste, bu nedenle fazlalýklar atýldý. Bu makinenin yöneticisi istemci kimlik doðrulamasý için güvenilen sertifika yetkililerini gözden geçirin ve gerçekten güvenilmesi gerekmez, kaldýrýn.

Not Varsayýlan olarak, güvenli kanal (Schannel) uyarý olaylarý günlüðe kaydedilir. Schannel olaylarýný günlüðe kaydetme için yapýlandýrma hakkýnda daha fazla bilgi için "Ek bilgi" bölümüne bakýn.

Senaryo 2

Kablosuz að için kimlik doðrulamayý destekleyecek þekilde Microsoft ýnternet kimlik doðrulama hizmeti (IAS) çalýþtýran Microsoft Windows Server 2003 tabanlý bir bilgisayar kullanarak. Bu senaryoda, aþaðýdaki belirtilerle karþýlaþabilirsiniz:

• IAS sunucusu baþarýyla istemcilerin kimliðini doðrulayamýyor. Bu nedenle, kablosuz istemci bilgisayarlarýn kablosuz aða baþarýlý bir þekilde baðlanamýyor.
• IAS sunucusunda, aþaðýdakine benzer BIR uyarý olayý kaydedilir:

  Olay türü: uyarý
  Olay kaynaðý: IAS
  Olay kategorisi: yok
  Olay KIMLIÐI: 2
  Date: date
  Time: time
  Kullanýcý:
  Bilgisayar: COMPUTERNAME
  Açýklama: Kullanýcý jsmith@contoso.com eriþim engellendi.
  Tam olarak nitelenmiþ-kullanýcý-adý CONTOSOS\jsmith NAS-IP-adresi = 10.20.30.40 =
  NAS tanýmlayýcýsý = WL1234 1
  Adlý-istasyon-kimliði 0016.462c.1650 =
  Arama-istasyon-kimliði 0012.f05b.a795 =
  Istemci kolay adý = WL1234 1
  Istemci IP adresi 10.20.30.40 =
  NAS-Baðlantý noktasý-türü kablosuz - IEEE 802.11 =
  NAS-Baðlantý noktasý 10037 proxy-ilke-adý = tüm kullanýcýlar için Windows kimlik doðrulamasýný kullan =
  Kimlik doðrulama saðlayýcýsý Windows =
  Kimlik doðrulama sunucusu <undetermined>=
  Ilke adý kablosuz að eriþim ilkesi =
  Kimlik doðrulama türü EAP =
  EAP-türü = akýllý kart veya diðer sertifika
  Neden kodu 266 =
  Nedeni = alýnan ileti beklenmeyen veya hatalý biçimlendirilmiþ teslim edilemiyor.
  Daha fazla bilgi için Yardým ve Destek Merkezi'ne bakýn: http://go.microsoft.com/fwlink/events.asp.
  Veri: 0000: 26 09 80 03 &...?

• IAS sunucusunda aþaðýdaki uyarý olayý benzer bir olay kaydedilir:

  Olay türü: uyarý
  Olay kaynaðý: Schannel
  Olay kategorisi: yok
  Olay KIMLIÐI: 36885
  Date: date
  Time: time
  Kullanýcý:
  Bilgisayar: COMPUTERNAME
  Açýklama: istemci kimlik doðrulamasý için isteyen, bu sunucu, güvenilen sertifika yetkilileri listesini istemciye gönderir. Istemci, sunucu tarafýndan güvenilen bir istemci sertifikasý seçmek için bu listeyi kullanýr. Þimdilik, bu sunucu, liste çok uzun ulaþmýþsa, çok sayýda sertifika yetkililerini güvenir. Bu liste, bu nedenle fazlalýklar atýldý. Bu makinenin yöneticisi istemci kimlik doðrulamasý için güvenilen sertifika yetkililerini gözden geçirin ve gerçekten güvenilmesi gerekmez, kaldýrýn.

Not Varsayýlan olarak, güvenli kanal (Schannel) uyarý olaylarý günlüðe kaydedilir. Schannel olaylarýný günlüðe kaydetme için yapýlandýrma hakkýnda daha fazla bilgi için "Ek bilgi" bölümüne bakýn.

Web sunucusu veya IAS sunucusu, güvenilen kök sertifika listesini fazla giriþ varsa, bu sorun oluþabilir. Aþaðýdaki koþullar doðruysa, sunucu, bir güvenilen sertifika yetkilileri listesini istemciye gönderir:

• Sunucu, Aktarým Katmaný Güvenliði (TLS) kullanýr. / SSL protokolü að trafiðini þifrelemek için.
• El Sýkýþma Kimlik doðrulama iþlemi sýrasýnda kimlik doðrulamasý için istemci sertifikasý gereklidir.

Bu bir güvenilen sertifika yetkililerinin listesi, sunucu istemci sertifikasýný kabul edebileceði yetkililerini temsil eder. Sunucu tarafýndan doðrulanmasý için <a0></a0>, istemci sunucunun listesinden bir kök sertifikasýna sertifika zincirindeki var olan bir sertifika olmalýdýr.

Schannel güvenlik paketi destekleyen güvenilir sertifika yetkilileri listesini en büyük boyutu, 12,228 (0x3000) þu anda olan bayt.

Schannel, yerel bilgisayardaki güvenilen kök sertifika yetkilileri deposuna arayarak güvenilir sertifika yetkilileri listesi oluþturur. Her istemci kimlik doðrulamasý amacýyla güvenilir sertifika listeye eklenir. Bu liste boyutu 12,228 baytý aþýyorsa, Schannel uyarý olay KIMLIÐI 36855 günlüðe kaydeder. Daha sonra Schannel güvenilen kök sertifika listesini keser ve bu kesilmiþ listesi istemci bilgisayara gönderir.

Istemci bilgisayarýn güvenilen kök sertifika listesini kesilmiþ aldýðýnda, istemci bilgisayarý sertifika zincirindeki bir güvenilen sertifika verenin aldýðý sahip olmayabilirsiniz. Örneðin, istemci bilgisayarýn güvenilen kök sertifika güvenilir sertifika yetkililerini listesinden Schannel kesildi karþýlýk gelen bir sertifika olabilir. Bu nedenle, IAS sunucusunun istemci kimlik doðrulamasý yapamaz.

Düzeltme bilgileri

Desteklenen bir düzeltme Microsoft'tan edinilebilir. Ancak, düzeltmenin yalnýzca bu makalede anlatýlan sorunu gidermesi amaçlanmýþtýr. Düzeltmeyi yalnýzca bu sorunla karþýlaþmýþ olan sistemlere uygulayýn. Bu düzeltmeye ek sýnama uygulanabilir. Bu nedenle, bu sorundan ciddi olarak etkilenmiyorsanýz, bu düzeltmeyi içeren bir sonraki Windows Server 2003 hizmet paketini beklemeniz önerilir.

Bu sorunu hemen çözmek için, düzeltmeyi edinmek üzere Microsoft Müþteri Destek Hizmetleri'ne baþvurun. Microsoft Müþteri Destek Hizmetleri'nin telefon numaralarýnýn tam listesi ve destek ücretleriyle ilgili bilgi için, aþaðýdaki Microsoft Web sitesini ziyaret edin:Not Özel durumlarda, Microsoft Destek Uzmaný özel bir güncelleþtirmenin sorununuzu çözümleyeceðini belirlerse, destek aramalarý için normalde uygulanan ücretler iptal edilebilir. Ek destek sorularýna ve söz konusu güncelleþtirme için geçerli olmayan sorunlara normal destek ücretleri uygulanýr.

ÖNKOÞULLAR

Bu düzeltmeyi uygulamak için <a0></a0>, Windows Server 2003 Service Pack 1 (SP1) veya Windows Server 2003 Service Pack 2'in (SP2) yüklü olmalýdýr.En son Windows Server 2003 hizmet paketini edinme hakkýnda daha fazla bilgi için, Microsoft Bilgi Bankasý'ndaki makaleyi görüntülemek üzere aþaðýdaki makale numarasýný týklatýn:

Yeniden baþlatma gereksinimi

Bu düzeltmeyi uyguladýktan sonra bilgisayarý yeniden baþlatmanýz gerekir.

Düzeltme Deðiþtirme Bilgileri

Bu düzeltme baþka bir düzeltmenin yerini almaz.

DOSYA BÝLGÝLERÝ

Bu düzeltmenin Ýngilizce sürümü, aþaðýdaki tabloda listelenen dosya özniteliklerine (veya daha yeni dosya özniteliklerine) sahiptir. Bu dosyalarýn tarihleri ve saatleri Koordinatlý Evrensel Saat'e (UTC) göre listelenir. Dosya bilgilerini görüntülediðinizde yerel saate dönüþtürülür. UTC ve yerel saat arasýndaki farký bulmak için <a0></a0>, Denetim Masasý'ndaki tarih ve saat öðesinde saat dilimi sekmesini kullanýn.

Windows Server 2003, x 86 tabanlý sürümleri SP1 ile

Windows Server 2003, x 86 tabanlý sürümleri ile SP2

Windows Server 2003 x 64 tabanlý sürümleri SP1 ile

Windows Server 2003 x 64 tabanlý sürümleri ile SP2

Windows Server 2003 SP1, ýtanium tabanlý sürümleri

Windows Server 2003 SP2, ýtanium tabanlý sürümleri

Bu soruna geçici bir çözüm bulmak için <a0></a0>, aþaðýdaki yöntemlerden durumunuza uygun olanýný kullanýn.

Yöntem 1: bazý güvenilen kök sertifikalarý Kaldýr

Güvenilen kök sertifikalarýný bazýlarý ortamýnýzda kullanýlan, Web sunucusu veya IAS sunucusu bunlarý kaldýrýn. Bunu yapmak için þu adýmlarý izleyin:

1. Baþlat ' ý týklatýn, Çalýþtýr ' ý týklatýn, mmc yazýn ve Tamam ' ý týklatýn.
2. Dosya menüsünde, Ek Bileþen Ekle/Kaldýr'ý týklatýn ve sonra Ekle ' yi týklatýn.
3. Tek baþýna ek bileþen iletiþim kutusunda,Sertifikalar ' ý týklatýn ve sonra Ekle ' yi týklatýn.
4. Bilgisayar hesabý ' ný týklatýn, sonra ileri ' yi týklatýn ve sonra da <a2>son</a2>'u týklatýn.
5. Kapat ' ý týklatýn ve sonra da Tamam ' ý týklatýn.
6. Microsoft Yönetim Konsolu'nu (MMC) ek bileþenindeki Konsol kökü altýnda Sertifikalar (yerel bilgisayar) geniþletin, Güvenilen kök sertifika yetkilileri geniþletin ve Sertifikalar ' ý týklatýn.
7. Sahip olan güvenilen kök sertifikalarý kaldýrýn. Bunu yapmak için <a0></a0>, bir sertifikayý sað týklatýn, sonra da Sil ' i týklatýn ve sertifikanýn kaldýrýlmasýný onaylamak için Evet ' i týklatýn.

Not Windows tarafýndan gereken bazý kök sertifikalarý vardýr. Daha fazla bilgi için, Microsoft Bilgi Bankasý'ndaki makaleyi görüntülemek üzere aþaðýdaki makale numarasýný týklatýn:

Yöntem 2: Yerel bilgisayardaki güvenilen sertifika yetkilileri listesini yok saymak için Grup ilkesi yapýlandýrma

IAS sunucusu veya Web sunucusu bir etki alanýnýn üyesiyse, yoksaymasýný saðlamak için bir ilke oluþturabilirsiniz yerel bilgisayardaki güvenilen sertifika yetkilileri listesi. Etkilenen sunucularýný ve istemcilerini, kuruluþ kök sertifika yetkilileri deposunda bulunan sertifikalar yalnýzca, bu ilke uygulandýðýnda, güven. Bu nedenle, bilgisayarlarýn ayrý ayrý deðiþtirmeniz gerekmez.

Not Yalnýzca tüm istemci bilgisayarlarý ayný Active Directory dizin hizmeti etki alaný veya Active Directory ormanýnda, bu yöntem çalýþýr. Grup ilkesi, ayný Active Directory ormanýnda olan bilgisayarlara uygulanmaz.

Bu ilkeyi oluþturmak için <a0></a0>, aþaðýdaki adýmlarý izleyin.

Adým 1: Grup ilkesi nesnesi oluþturun...

1. Bir etki alaný denetleyicisinde oturum açýn ve sonra da Active Directory Kullanýcýlarý ve Bilgisayarlarý aracýný baþlatýn. Bunu yapmak için <a0></a0>, Baþlat ' ý týklatýn, Çalýþtýr ' ý týklatýn, ardýndan dsa.msc yazýn ve Tamam ' ý týklatýn.
2. Grup ilkesi nesnesini yapýlandýrmak istediðiniz kapsayýcýyý sað týklatýn ve sonra da Özellikler ' i týklatýn. Örneðin, etki alaný kapsayýcýsýný sað týklatýn ve bir kuruluþ birimi kapsayýcýyý sað týklatýn.
3. Grup ilkesi sekmesini týklatýn ve sonra da Yeni'yi týklatýn.
4. Ilke için açýklayýcý bir ad yazýn ve ENTER tuþuna basýn.
5. Grup ilkesi Nesne Düzenleyicisi'ni baþlatmak için Düzenle ' yi týklatýn.
6. Bilgisayar Yapýlandýrmasý ' ný, Windows Ayarlarý ' ný geniþletin, Güvenlik ayarlarý ' ný ve sonra da Ortak anahtar ilkeleri ' ni týklatýn.
7. Güvenilen kök sertifika yetkilileri ' ý sað týklatýn ve sonra da Properties ' i týklatýn.
8. Kuruluþ kök sertifika yetkilileri ' ý týklatýn ve sonra Tamam ' ý týklatýn.
9. Grup ilkesi Nesne Düzenleyicisi'ni kapatýn.
10. ObjectName özellikler iletiþim kutusunu kapatmak için Tamam ' ý týklatýn.

2. Adým: kök sertifikalarý, "Güvenilen kök sertifika yetkilileri" sertifika deposuna Ekle

1. Tüm gerekli kök sertifikalarý yerel bilgisayarda uygun sunucu deposundan ver. Bu, iç sertifika yetkilileri (CA) kök sertifikalarýný ve kuruluþunuzun gerektiren ortak sertifika yetkililerini kök sertifikalarýný içerir.
2. Bir etki alaný denetleyicisinde oturum açýn ve sonra da Active Directory Kullanýcýlarý ve Bilgisayarlarý aracýný baþlatýn.
3. Oluþturduðunuz grup ilke nesnesini içeren kapsayýcýyý sað "Adým 1: oluþturma, bir grup ilkesi nesnesi" bölümünde ve sonra da Properties ' i týklatýn.
4. Grup ilkesi sekmesini týklatýn, Grup ilkesi nesnesini týklatýn ve sonra da <a2>Düzenle</a2>'yi týklatýn.
5. Bilgisayar Yapýlandýrmasý ' ný, Windows Ayarlarý ' ný geniþletin, Güvenlik ayarlarý ' ný ve sonra da Ortak anahtar ilkeleri ' ni týklatýn.
6. Güvenilen kök sertifika yetkilileri [NULL]'ý sað týklatýn ve sonra da Al ' ý týklatýn.
7. Kök sertifikasý veya adým 2a verilen sertifikalarý almak için Sertifika Alma Sihirbazý'ndaki adýmlarý izleyin.
8. Grup ilkesi Nesne Düzenleyicisi'ni kapatýn.
9. ObjectName özellikler iletiþim kutusunu kapatmak için Tamam ' ý týklatýn.

Not Windows tarafýndan gereken bazý kök sertifikalarý vardýr. Bu sertifikalar, oluþturduðunuz ilkesine eklemelisiniz. Daha fazla bilgi için, Microsoft Bilgi Bankasý'ndaki makaleyi görüntülemek üzere aþaðýdaki makale numarasýný týklatýn:

Yöntem 3: Schannel artýk güvenilen kök sertifika yetkilileri listesi, TLS/SSL el sýkýþma iþlemi sýrasýnda göndermek yapýlandýrma

Uyarý Kayýt Defteri Düzenleyicisi'ni veya baþka bir yöntemi kullanarak kayýt defterini hatalý olarak deðiþtirirseniz önemli sorunlar oluþabilir. Bu sorunlar, iþletim sistemini yeniden yüklemenizi gerektirebilir. Microsoft bu sorunlarýn çözülebileceðini garanti etmemektedir. Kayýt defterini kendi sorumluluðunuzda deðiþtiriniz.

Aþaðýdaki kayýt defteri girdisini false olarak ayarlayýn, IIS çalýþtýran sunucu üzerindeki veya IAS sunucusu, bu sorunla karþýlaþýrsýnýz: Varsayýlan olarak, bu giriþ, kayýt defterindeki listelenmiyor. Varsayýlan olarak, bu deðer 1 (doðru) deðeridir. Bu kayýt defteri girdisi, sunucu güvenilir sertifika yetkilileri listesini istemciye gönderir olup olmadýðýný denetleyen bayraðý denetler. Bu kayýt defteri girdisi false olarak ayarladýðýnýzda, sunucu güvenilir sertifika yetkilileri listesini istemciye göndermez. Bu davranýþ, istemci bir sertifika isteði için nasýl tepki vereceðini etkileyebilir. Örneðin, ýnternet Explorer, istemci kimlik doðrulamasý için bir istek alýrsa, ýnternet Explorer listeden bir sunucu olan bir sertifika yetkililerinin bir zincirdeki yalnýzca görünen istemci sertifikalarýný görüntüler. Ancak, sunucu güvenilir sertifika yetkilileri listesini göndermiyorsa, ýnternet Explorer, istemci bilgisayarda yüklü olan istemci sertifikalarýnýn tümünü görüntüler.

Bu kayýt defteri girdisini ayarlamak için <a0></a0>, aþaðýdaki adýmlarý izleyin:

1. Baþlat ' ý týklatýn, Çalýþtýr ' ý týklatýn, regedit yazýn ve Tamam ' ý týklatýn.
2. Aþaðýdaki kayýt defteri alt anahtarýný bulup týklatýn:
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL
3. Düzen menüsünden Yeni ' nin üzerine gidin ve DWORD deðeri ' ni týklatýn.
4. SendTrustedIssuerList yazýn ve sonra da kayýt defteri girdisini adlandýrmak üzere ENTER tuþuna basýn.
5. SendTrustedIssuerList ' ý sað týklatýn ve sonra Deðiþtir ' i týklatýn.
6. Deðer verisi kutusuna, bu deðer zaten görüntüleniyorsa, 0 yazýn ve Tamam ' ý týklatýn.
7. Kayýt Defteri Düzenleyicisi'nden çýkýn.

SCHANNEL kayýt defteri girdisi hakkýnda daha fazla bilgi için aþaðýdaki Microsoft Web sitesini ziyaret edin:

Microsoft, "Geçerli Olduðu Ürünler" bölümünde listelenen Microsoft ürünlerinde bu sorunun olduðunu onaylamýþtýr.

Windows Server 2003, kök sertifikalarýný güncelleþtirme, Microsoft Windows Update Web sitesinde bir güvenilen sertifika yetkilileri listesini otomatik olarak incelemek için tasarlanmýþtýr. Sonra bu sertifika, bir kullanýcýnýn program tarafýndan doðrulandýktan sonra Windows uygun bir kök sertifikasý yükler.

Not Windows Server 2003'te, sertifika yetkililerinin listesi 12,228 (0x3000) geçemez bayt. Kök sertifikalarýný güncelleþtirme, güvenilir sertifika yetkilileri listesi önemli ölçüde artabilir. Bu nedenle, listeyi çok uzun olabilir. Bu durumda, Windows, liste keser. Bu davranýþ, yetkilendirme sorunlara neden olabilir. Bu senaryoda "Belirtiler" bölümünde açýklanan sorunla karþýlaþabilirsiniz.

Nasýl yapýlýr: Schannel olaylarýný günlüðe kaydetmeyi yapýlandýrmak

Uyarý Kayýt Defteri Düzenleyicisi'ni veya baþka bir yöntemi kullanarak kayýt defterini hatalý olarak deðiþtirirseniz önemli sorunlar oluþabilir. Bu sorunlar, iþletim sistemini yeniden yüklemenizi gerektirebilir. Microsoft bu sorunlarýn çözülebileceðini garanti etmemektedir. Kayýt defterini kendi sorumluluðunuzda deðiþtiriniz.

Sistem günlüðüne uyarý olaylarýný günlüðe Schannel yapýlandýrmak için <a0></a0>, aþaðýdaki kayýt defteri girdisini ayarlayýn:Not 0X3 deðeri uyarý olaylarý ve hata olaylarýný günlüðe Schannel yapýlandýrýr.

Schannel olaylarýn, nasýl yapýlandýrýlacaðý hakkýnda daha fazla bilgi için Microsoft Knowledge Base'deki makaleyi görüntülemek üzere aþaðýdaki makale numarasýný týklatýn:

Daha fazla bilgi için, Microsoft Bilgi Bankasý'ndaki makaleyi görüntülemek üzere aþaðýdaki makale numarasýný týklatýn: Daha fazla bilgi için, Microsoft Bilgi Bankasý'ndaki makaleyi görüntülemek üzere aþaðýdaki makale numarasýný týklatýn: