Что делать если недоступны все шаблоны сертификатов?

Question

[WSGlebKavash]

При попытке выпустить сертификат через доменный CS (AD DC) при помощи остнастки "сертификаты" недоступен ни один

шаблон:

При этом если поставить галочку, то все шаблоны будут

недоступны:

Проблема проявляется как при попытке выдать сертификат от имени пользователя, так и

от имени компьютера:

Я создал три своих шаблона,

настроил к ним права доступа, но они тоже недоступны.
Почему не работает "Службы сертификации Active Directory" и как это правильно настроить?

Answer 1

[CityCat4]

Глеб, скорее всего ты в процесс экспериментов что-то такое перенастроил, что делает шаблоны недоступными. Проверь изменения, откати назад.

Comments

[WSGlebKavash]

CityCat4, К слову, это не работает с самого момента установки "Службы сертификации Active Directory".
Что делать?

[CityCat4]

WSGlebKavash, то есть ты ей ни разу не пользовался, не выпускал ни одного сертификата?

[WSGlebKavash]

CityCat4, На Windows Server - ни разу и никогда.

[CityCat4]

WSGlebKavash, Сертификат самого CA выпущен? Настройки сделаны? (что за настройки - я сам не знаю, потому как ни разу его с нуля не подымал, но гугл точно знает :)

[WSGlebKavash]

CityCat4,

Сертификат самого CA выпущен? Настройки сделаны?

Все службы полностью настроены и работают. Настройку проводил через "Диспетчер серверов".
Но вот только оно не работает.

[WSGlebKavash]

CityCat4, А так я могу взять сертификат CA и через openssl всё подписать. Но ActiveDirectory такие сертификаты не примет.

[CityCat4]

В оснастке "Шаблоны сертификатов" есть что? Видишь там шаблоны?

Кстати - а накуа тебе сертификаты в AD? Для почты? Их можно и так туда помещать.

[WSGlebKavash]

CityCat4,

Видишь там шаблоны?

Там все шаблоны доступны.

Кстати - а накуа тебе сертификаты в AD?

Я тоже над этим думаю. openssl удобнее. Да, там надо собирать много информации из разных источников, структурировать, составлять индивидуальный план. Но в перспективе это будет проще.
Плюс по ошибкам много информации, в большинстве случаев есть ответы на все вопросы.
Единственное сертификат CA в таком случае сам не распространится по доменным компьютерам, придётся делать костыли, но по крайней мере всё будет работать.

[CityCat4]

WSGlebKavash, Для распространения сертификата CA используется групповая политика. У тебя, кстати, сертификат CA для виндового CA создан?

[WSGlebKavash]

CityCat4,

У тебя, кстати, сертификат CA для виндового CA создан?

Да, создан и работает. Он доступен в остнастке "сертификаты" microsoft management console.
Я прошёл все этапы настройки "Службы сертификации Active Directory". Но работать оно почему-то отказывается.

[CityCat4]

WSGlebKavash, ну так забей. Ты так и не сказал - накуа тебе именно виндовая CA. Ну то есть для чего ты собираешься использовать сертификаты - может там виндовая CA вовсе и не нужна?

[WSGlebKavash]

CityCat4,

накуа тебе именно виндовая CA

Для интеграции с доменом AD.

Ну то есть для чего ты собираешься использовать сертификаты

Во внешней зоне, то есть при подключении к серверам из интернета используются сертификаты, подписанные доверенным ЦС. Во внутренней зоне, то есть при подключении к серверам из локальной сети используются сертификаты, подписанные CA предприятия. И надо, чтоб все компьютеры домена доверяли этому CA.
Плюс планируем внутреннюю концеляю перевсти на ЭЦП, подписанные Enterprise CA.

[CityCat4]

Распихай нужный тебе CA по машинам с помощью групповой политики в хранилище корневых сертификатов, у нас вот так сделано. Я какое-то время пользовался виндовой CA, но потом отказался - долго, сложно, криво, свои поля не добавить.
Да, для RDP все равно сертификаты не выпустить, ну по крайней мее у мня не получилось.