Foutmelding 0x80070005 bij certificaat auto-enroll

Hallo Lars Berg,

De foutcode 0x80070005 (Toegang geweigerd) tijdens automatische inschrijving (auto-enrollment) betekent dat de computeraccounts niet over de juiste machtigingen voor de certificaatsjabloon beschikken. Dit wordt bepaald door de beveiligingsdescriptors van de sjabloon zelf, niet door de ACL van de CA. U moet de betreffende sjabloon openen in de console voor certificaatsjablonen (certtmpl.msc), naar het tabblad Beveiliging gaan en de juiste groep toevoegen (bijvoorbeeld Domain Computers of een specifieke OU-groep) met de machtigingen Lezen, Inschrijven (Enroll) en Automatisch inschrijven (Autoenroll). Deze wijzigingen worden opgeslagen in Active Directory en zijn pas na replicatie beschikbaar voor alle clients.

Controleer daarnaast of in Groepsbeleid (onder Computerconfiguratie → Windows-instellingen → Beveiligingsinstellingen → Beleid voor openbare sleutels → Client voor certificaatservices - Automatische inschrijving) de optie "Verlopen certificaten vernieuwen, certificaten in behandeling bijwerken en ingetrokken certificaten verwijderen" is ingeschakeld. Zonder dit beleid start de automatische inschrijving niet, zelfs niet als de ACL's correct zijn. Er is geen registersleutel om dit af te dwingen; de enige ondersteunde methode verloopt via de beveiligingsdescriptors van de sjabloon en GPO. Zodra de juiste machtigingen zijn toegepast en het beleid actief is, zullen de computers hun certificaten automatisch ophalen bij de volgende beleidsvernieuwing (gpupdate /force).

Als mijn antwoord nuttig voor u is, klik dan op 'Antwoord accepteren' om mij te steunen.

Bedankt,

HL.