Mobiele apparaten kunnen geen certificaten ontvangen via NDES (HTTP 500 op SCEP-server)

Hi Wout Vanasten,

Om de identiteit te herconfigureren, open je Internet Information Services Manager via inetmgr, selecteer je Application Pools en open je Geavanceerde Instellingen voor de SCEP-pool. Werk de eigenschap Identity bij met de inloggegevens van je serviceaccount en zet de Load User Profile-instelling op True, wat ervoor zorgt dat het worker-proces gebruikersregister-hives en cryptografische providers in het geheugen kan laden.

Vervolgens verleen we het serviceaccount de vereiste systeemrechten. Open lusrmgr.msc en voeg het account toe aan de lokale IIS_IUSRS groep. Open het Lokale Beveiligingsbeleid via secpol.msc, navigeer naar User Rights Assignment onder Local Policies en controleer dat het account zowel Log on als batchjob is toegekend, zodat IIS het worker-proces kan uitvoeren, als Impersonate a client na authenticatie, wat veilige afhandeling van clientverzoeken mogelijk maakt. Als deze rechten ontbreken, zal IIS het application pool worker-proces niet starten.

De cruciale stap die de HTTP 500-fout oplost, is het herstellen van privésleutelrechten. Open de Local Computer Certificate Store via certlm.msc, ga naar Persoonlijk en selecteer Certificaten. Zoek de twee NDES Registration Authority-certificaten, specifiek het CEP-encryptiecertificaat en het Exchange Enrollment Agent-certificaat. Klik met de rechtermuisknop op elk certificaat, selecteer Alle taken, klik op Privésleutels beheren, voeg je serviceaccount toe en ken het leesrechten toe. Zonder leestoegang registreert NDES Event ID 2 of Event ID 10 met foutcode 0x80070005 (Toegang wordt geweigerd) onder de Microsoft-Windows-NetworkDeviceEnrollmentService-bron in het applicatie-gebeurtenislogboek. Bevestig dat het account ook lees- en inschrijfrechten heeft op de certificaatsjablonen die in het register zijn aangegeven onder HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\MSCEP, en voer vervolgens iisreset uit vanuit een administratieve opdrachtprompt om de diensten opnieuw te starten.

Ik hoop dat dit antwoord je nuttige informatie heeft opgeleverd. Als dat zo is, klik dan op "antwoord accepteren". Mocht je vragen hebben, laat gerust een reactie achter.

VPHAN