De acordo com esta pergunta , eu tenho um ambiente em que os certificados baseados no modelo "Autenticação Kerberos" não podem ser emitidos (há sites remotos sem conectividade direta com a CA, o registro do certificado usa CEP/CES, mas o modelo de autenticação Kerberos exige que a CA conecte-se novamente ao DC solicitante; detalhes completos na pergunta vinculada).
Podemos viver sem esses certificados... mas todos os controladores de domínio continuam solicitando-os quando o registro automático está habilitado.
Tentei desabilitar o modelo, mas os DCs continuam tentando e falhando com o erro "O modelo de certificado solicitado não é suportado por esta CA".
Como posso dizer aos DCs para solicitar apenas um certificado de "Autenticação do controlador de domínio" e parar de tentar obter um certificado de "Autenticação Kerberos"?
Pode haver duas entradas para este problema:
Parte 1: substituição do modelo
Nas configurações do modelo de certificado ( certtmpl.msc ), há a guia Modelos Substituídos , onde você pode especificar uma lista de modelos que são substituídos pelo modelo atual. Essa configuração é usada apenas pelo recurso de registro automático de certificado.
Durante a inscrição automática, o cliente examina cada modelo e verifica se o modelo atual está listado como *substituído* em qualquer outro modelo. Se estiver listado, o modelo atual será ignorado. Este comportamento é definido nas especificações do protocolo [MS-CAESO] , §4.4.5.6.1:
Isso responde à primeira metade da pergunta: por que o modelo de registro automático permitido não é registrado automaticamente. Assim, verifique se nenhum dos modelos está configurado para substituir o
Domain Controller Authenticationmodelo. Se houver, remova-o da lista substituída.E verifique se
Domain Controller Authenticationé adicionado para emissão para CA habilitada para inscrição na web.Parte 2: Cache MS-XCEP
Quando os clientes usam serviços Web de registro de certificado (Microsoft CEP/CES), eles fazem o seguinte:
Readpermissões.A mensagem de resposta tem
nextUpdateHoursque é:O valor padrão é 8 horas. O cliente armazena em cache essa resposta e não pode tentar solicitar uma nova política com a lista de modelos atualizada para esse período. Embora exista um
policiesNotChangedcampo booleano que pode ser usado pelos clientes para pesquisar alterações, mas pela prática posso dizer que os clientes não realizam pesquisas. Em vez disso, eles usam esse bit para determinar se a política em cache deve ser substituída ou não. Esta é apenas a minha opinião, pois qualquer mudança na política tem grande latência nos clientes.Ou, aguarde pelo menos 8 horas e veja se o problema é resolvido automaticamente quando os clientes buscam uma nova política do servidor CEP ou tentam forçar a recuperação da política:
Exclua todo o conteúdo do
%systemdrive%\ProgramData\Microsoft\Windows\X509Enrollmentcomputador de destino (DC) e executepara acionar o registro automático. Durante essa chamada, uma nova política será baixada e o registro automático deverá selecionar o modelo correto.