Impossível emitir certificados com arquivamento de chave devido a certificados KRA expirados

Question

Impossível emitir certificados com arquivamento de chave devido a certificados KRA expirados

Calos Terna 40

Configurei especificamente modelos de certificado que exigem o arquivamento de chave privada (Key Archival) na nossa Autoridade de Certificação (CA).

O modelo está publicado, nada funciona.

Nenhuma solicitação de certificado é concluída com sucesso, os usuários e servidores recebem sistematicamente o erro: "The CA could not archive the private key".

Nenhum certificado de agente de recuperação de chaves (Key Recovery Agent - KRA) parece estar válido após a verificação dos modelos expirados na CA.

Nenhuma ajuda clara fornecida pelos logs habituais do visualizador de eventos.

As páginas de suporte padrão da Microsoft não fornecem orientações diretas sobre o procedimento exato para atualizar esses certificados e revalidar o serviço da CA.

Preciso urgentemente restabelecer a emissão desses certificados. Como podemos renovar os certificados KRA e atualizar as configurações da CA?

0 comentários

1 resposta

Sua resposta

Answer 1

Olá,

o erro “The CA could not archive the private key” ocorre porque a Autoridade de Certificação não possui nenhum certificado válido de Key Recovery Agent (KRA) configurado. Quando um modelo exige arquivamento de chave privada, o CA precisa usar um certificado KRA confiável para armazenar a chave no banco de dados. Se todos os certificados KRA expiraram, nenhuma solicitação pode ser concluída.

O procedimento correto é renovar os certificados KRA e reconfigurar a CA para utilizá‑los. Primeiro, emita novos certificados de Key Recovery Agent a partir do modelo “Key Recovery Agent” publicado na CA. Esse modelo deve estar configurado para permitir inscrição apenas a contas administrativas específicas. Depois de emitir o novo certificado, instale‑o no repositório de certificados do computador que atua como CA, em Cert:\LocalMachine\My.

Em seguida, abra o snap‑in da CA (certsrv.msc), clique com o botão direito na autoridade de certificação, vá em Propriedades e na aba Recovery Agents adicione o novo certificado KRA. É essencial que pelo menos um certificado válido esteja listado e marcado como confiável. Após aplicar, reinicie o serviço de Certificate Services (net stop certsvc && net start certsvc) para que a configuração seja carregada.

Se você precisa manter continuidade, emita pelo menos dois certificados KRA diferentes e configure ambos na CA, garantindo redundância. Isso evita que a emissão pare novamente caso um deles expire. Também é recomendável configurar alertas de expiração para os certificados KRA, já que sem eles o arquivamento de chave privada falha silenciosamente.

Depois de atualizar os certificados KRA e reiniciar o serviço, as solicitações de certificado que exigem arquivamento de chave privada devem ser processadas normalmente e o erro desaparecerá.

Domic Vo.