Estamos usando o Windows para hospedar nosso servidor CA interno para todos os servidores web internos e outros serviços protegidos por TLS, certificados. Antes da atualização para o servidor 2022, de 2016, se bem me lembro, eu conseguia enviar uma solicitação de certificado para a CA, por meio do desktop, já que o IIS não estava configurado, e obter um certificado emitido. Como muitos desses certificados são para serviços Linux e a solicitação é criada via OpenSSL ou Java, eu uso um arquivo em lote com o seguinte comando para iniciar o processo: certreq -attrib "CertificateTemplate:WebServer".
Após a atualização, tenho recebido o seguinte erro ao tentar obter um certificado emitido.Certificate not issued (Denied) Denied by Policy Module The permissions on the certificate template do not allow the current user to enroll for this type of certificate. 0x80094012 (-2146877422 CERTSRV_E_TEMPLATE_DENIED)
Eu encontrei esta página 4sysops.com e pelo que entendi dela, preciso adicionar o computador que está fazendo a solicitação à página Segurança para o modelo com direitos de Leitura e Registro . Os computadores em questão são caixas Linux e muitos deles não estão no AD, incluindo aquele para o qual estou tentando obter um certificado, então não posso adicionar esse sistema às configurações de segurança. Eu tentei adicionar o servidor CA e o grupo Computadores do Domínio às configurações de segurança do modelo sem nenhuma alteração. Também verifiquei que o grupo Administradores do Domínio , do qual minha conta é membro, tinha os direitos de Leitura e * Registro atribuídos.
E agora, as perguntas. Como posso contornar esse problema? Sou obrigado a adicionar o sistema ao AD? Posso alterar uma configuração em algum lugar para evitar isso? Se isso não for possível, eu precisaria configurar um sub-CA em uma caixa Linux apenas para esses sistemas não AD?
Editar: Adicionei minhas informações de permissão de conta para o modelo.
Certreq.exeA ferramenta usa a conta atualmente logada para autenticar o solicitante na CA. Isso significa que sua conta atualmente logada deve ter permissões de Leitura e Inscrição no modelo.Se você estiver usando o grupo Administradores de Domínio para permissões, esteja ciente de que seu console CMD/PowerShell (onde você executa certreq.exe) deve ser executado em modo elevado, porque o UAC normalmente remove grupos confidenciais do seu token.