Нет сертификата, доступного при регистрации от имени

Question

У меня есть один контроллер домена WinServer 2008 и сервер CA на нем. Я вхожу в систему с учетной записью администратора и хочу запросить сертификат "от имени" пользователя моего DC.

для этого я сначала продублировал следующие шаблоны сертификатов:

• умный вход
• умный пользователь
• зачисление агента

Я изменил конфигурацию и разрешение для новых шаблонов, чтобы учетная запись администратора могла читать, записывать и регистрировать эти шаблоны.

После создания этих новых шаблонов и назначения разрешений и конфигурации из оснастки mmc и сертификата, для сертификатов учетной записи пользователя и для раздела "Личные" мы запросили новый сертификат для учетной записи администратора, чтобы сделать его агентом регистрации, как показано ниже:

затем он генерируется без проблем, и мы хотим запросить сертификат от имени пользователя с этим новым сертификатом. Но в "Выберите сертификат агента регистрации" и когда мы нажимаем кнопку "Обзор", у нас возникает проблема, потому что нет сертификата для выбора, как показано ниже:

нет доступных сертификатов на выбор

Я прочитал много документов в Интернете, но я не нашел причины, чтобы решить эту проблему!

Answer 1

Вам необходимо получить сертификат агента регистрации в локальном хранилище пользователей (certmgr.msc)/ в магазине компьютеров (certlm.msc) для запроса от имени. Это делается путем установки количества подписей на шаблоне.

Если количество подписей не равно 0, вы не можете зарегистрироваться - потому что сначала вам нужен сертификат агента регистрации...

1. Установите количество подписей в шаблоне сертификата агента подачи заявок на 0.
2. Зарегистрируйте сертификат агента регистрации - диалоговое окно не появится
3. Установите количество подписей в другом шаблоне сертификата на 1.
4. Зарегистрируйте сертификат на основе шаблона в шаге 3. Появится диалоговое окно. Выберите сертификат, зарегистрированный на шаге 2. Готово

Answer 2

У меня такая же проблема (не могу выбрать существующий сертификат регистрации).

Решение (возможно):

Проверьте доступ к опубликованному crl и / или обновите кеш crl на рабочей станции регистрации.

Из повышенной командной строки:

1. Удалить старый кеш: certutil -urlcache crl delete
2. Повторная синхронизация кеша crl: certutil -setreg chain\ChainCacheResyncFiletime @now