SCEP Certificate Enrollment CA Access Denied

Question

SCEP Certificate Enrollment CA Access Denied

ATONIO FEDIN 60

Los dispositivos móviles fallan durante el SCEP certificate enrollment y el servidor NDES devuelve HTTP 500 al procesar la solicitud.

El comportamiento apunta posiblemente a un problema de permisos de la NDES service account sobre los objetos certificate template de la Certification Authority (CA).

¿Cómo podemos verificar mediante AD CS / Active Directory que la cuenta de servicio de NDES tiene los permisos requeridos sobre los CA certificate templates? En particular, ¿qué ACLs / Access Control Entries (ACEs) y permisos específicos deberíamos validar para descartar un problema de autorización durante el enrollment?

0 comentarios

1 respuesta

Su respuesta

Answer 1

Hola ATONIO FEDIN,

Un HTTP 500 durante el proceso de SCEP enrollment puede indicar un problema de permisos, por lo que, como primer paso, verifica que el application pool de NDES se esté ejecutando con la domain service account prevista.

En la consola de Certification Authority, abre las propiedades de la CA y verifica que esta cuenta tenga el permiso Request Certificates, sin ninguna entrada Deny explícita que pueda entrar en conflicto.

A continuación, abre el certificate template desde la consola de Certificate Templates y confirma, en la pestaña Security, que la cuenta de servicio de NDES, o un security group que la contenga, tenga los permisos Read y Enroll sobre el template.

También verifica que la cuenta sea miembro del grupo local IIS_IUSRS en el servidor NDES y revisa los permisos heredados de los grupos para detectar cualquier Deny ACE que pueda prevalecer sobre una entrada Allow.

Una vez confirmados los ACLs, asegúrate de que el template correcto esté publicado en la issuing CA y ejecuta el NDES configuration validation script de Microsoft para comprobar conjuntamente la configuración de la service account, la CA y el certificate template.

Espero que esta respuesta te haya sido útil. Si consideras útil la información proporcionada, haz clic en “Accept Answer” para indicarme que ha respondido a tu consulta.