Certifikatkedjan för den betrodda rotmyndigheten kan inte byggas. Automatisk uppdatering av Trusted Root Certification Authorities certifikatarkiv på Windows-datorer som inte har direkt åtkomst till Internetlistan över betrodda certifikat

Nycklar -f -f används för att tvinga fram en uppdatering av alla filer i målkatalogen.

Som ett resultat av att köra kommandot kommer många filer med en total volym på cirka en halv megabyte att dyka upp i nätverksmappen som vi angav:

Enligt det tidigare nämnda artiklar , syftet med filerna är följande:

• Fil autrootstl.cab innehåller förtroendelistor för tredjepartscertifikat;
• Fil disallowedcertstl.cab innehåller en certifikatförtroendelista med opålitliga certifikat;
• Fil disallowedcert.sst innehåller ett lager av serialiserade certifikat, inklusive opålitliga certifikat;
• Filer med namn som thumbprint.crt innehåller rotcertifikat från tredje part.

Så, de filer som är nödvändiga för driften av den automatiska uppdateringsmekanismen har tagits emot, och vi går nu vidare till att implementera ändringar i driftschemat för just denna mekanism. För detta, som alltid, kommer policyer för domängrupp till vår hjälp. Active Directory (GPO), även om du kan använda andra centraliserade hanteringsverktyg, är allt vi behöver göra på alla datorer att ändra, eller snarare lägga till, bara en registerparameter RootDirURL i tråden HKLM\Software\Microsoft\SystemCertificates\AuthRoot\AutoUpdate, som kommer att bestämma sökvägen till vår nätverkskatalog, där vi tidigare placerade en uppsättning rotcertifikatfiler.

På tal om att ställa in ett GPO kan du återigen använda olika alternativ för att uppnå uppgiften. Till exempel finns det ett "old-school"-alternativ med att skapa din egen grupppolicymall, eftersom detta beskrivs i den redan bekanta artikel . För att göra detta, skapa en fil i GPO administrativ mallformat ( A.D.M.), till exempel med namnet RootCAUpdateLocalPath.adm och innehållet:

Låt oss kopiera den här filen till domänkontrollanten i katalogen %SystemRoot%\inf (vanligtvis katalogen C:\Windows\inf). Efter det, låt oss gå till domängrupppolicyredigeraren och skapa en separat ny policy och öppna den för redigering. I avsnittet Datorkonfiguration > Administrativa mallar...öppna snabbmenyn och välj alternativet för att ansluta en ny policymall Lägg till/ta bort mallar

I fönstret som öppnas använder du bläddringsknappen för att välja den tidigare tillagda filen %SystemRoot%\inf\RootCAUpdateLocalPath.adm, och klicka på när mallen visas i listan Nära.

Efter att ha slutfört åtgärden i avsnittet Konfiguration > Administrativa mallar > Klassiska administrativa mallar (A.D.M.) en grupp visas Windows AutoUpdate-inställningar, där den enda parametern kommer att vara tillgänglig URL-adress som ska användas istället för standard ctldl.windowsupdate.com

Låt oss öppna den här parametern och ange sökvägen till den lokala resursen där vi hittade de tidigare nedladdade uppdateringsfilerna, i formatet http://server1/mapp eller fil://\\server1\mapp .
Till exempel file://\\FILSERVER\SHARE\RootCAupd\GPO-Deployment

Låt oss spara ändringarna och tillämpa den skapade policyn på domänbehållaren där måldatorerna finns. Den övervägda metoden att sätta upp GPO har dock ett antal nackdelar och det är därför jag kallade det "old-school".

En annan, modernare och mer avancerad metod för att sätta upp ett klientregister är att använda Grupppolicyinställningar (GPP). Med det här alternativet kan vi skapa motsvarande GPP-objekt i grupprincipsektionen Datorkonfiguration > Inställningar > Register med parameteruppdatering ( Handling: Uppdatera) registret RootDirURL(värdetyp REG_SZ)

Om det behövs kan vi aktivera en flexibel inriktningsmekanism för den skapade GPP-parametern (Tab Gemensam>Alternativ Inriktning på objektnivå) på en specifik dator eller grupp av datorer för preliminära tester av vad vi i slutändan kommer att få efter att ha tillämpat grupppolicyer.

Naturligtvis måste du välja ett alternativ, antingen genom att ansluta ditt eget A.D.M.-mall, eller använda GPP.

Efter att ha ställt in grupppolicyer på en experimentell klientdator kommer vi att uppdatera med kommandot gpupdate /force följt av en omstart. Efter att systemet har startats, kontrollera registret för närvaron av den skapade nyckeln och försök kontrollera om rotcertifikatlagret har uppdaterats. För att kontrollera kommer vi att använda ett enkelt men effektivt exempel som beskrivs i anteckningen.Betrodda rötter och otillåtna certifikat .

Låt oss till exempel se om det finns ett rotcertifikat i datorns certifikatlager som användes för att utfärda ett certifikat som är installerat på en sida som heter buypass.no (men vi går inte till själva sajten än :)).

Det enklaste sättet att göra detta är med hjälp av verktyg PowerShell:

Med en hög grad av sannolikhet kommer vi inte att ha sådana rotcertifikat. I så fall öppnar vi den Internet Explorer och komma åt URL:en https://buypass.no . Och om mekanismen vi konfigurerade för automatisk uppdatering av rotcertifikat fungerar framgångsrikt, då i Windows-händelseloggen Ansökan en händelse med en källa ( Källa) CAPI2, vilket indikerar att det nya rotcertifikatet har laddats ned:

Att installera självsignerade certifikat är en mycket vanlig uppgift för en systemadministratör. Vanligtvis görs detta manuellt, men vad händer om det finns dussintals maskiner? Och vad du ska göra när du installerar om systemet eller köper en ny PC, eftersom det kan finnas mer än ett certifikat. Skriva fuskblad? Varför, när det finns ett mycket enklare och bekvämare sätt - ActiveDirectory-grupppolicyer. När du har konfigurerat policyn behöver du inte längre oroa dig för om användarna har de nödvändiga certifikaten.

Idag ska vi titta på certifikatdistribution med exemplet på ett Zimbra-rotcertifikat som vi exporterade till . Vår uppgift blir enligt följande - att automatiskt distribuera certifikatet till alla datorer som ingår i enheten (OU) - Kontor. Detta gör att du slipper installera certifikatet där det inte behövs: i norr, lager- och kassaarbetsstationer etc.

Låt oss öppna snapin-modulen och skapa en ny policy i behållaren Grupppolicyobjekt, för att göra detta, högerklicka på behållaren och välj Skapa. Policyn tillåter dig att installera ett eller flera certifikat samtidigt. Vad du ska göra är upp till dig, men vi föredrar att skapa vår egen policy för varje certifikat, detta gör att vi kan ändra reglerna för deras användning mer flexibelt. Du bör också ge policyn ett tydligt namn så att när du öppnar konsolen sex månader senare behöver du inte smärtsamt komma ihåg vad den är till för.

Dra sedan policyn till behållaren Kontor, vilket gör att den kan appliceras på den här enheten.

Låt oss nu högerklicka på policyn och välja Ändra. I Group Policy Editor som öppnas expanderar vi sekventiellt Datorkonfiguration - Windows-konfiguration - Säkerhetsinställningar - Politiker offentlig nyckel - . I den högra delen av fönstret, i menyn med höger musknapp, välj Importera och importera certifikatet.

Policyn har skapats, nu är det dags att kontrollera att den tillämpas korrekt. I snappet Grupppolicyhantering låt oss välja Gruppolicysimulering och kör den genom att högerklicka Simuleringsguiden.

De flesta av inställningarna kan lämnas som standard, det enda du behöver ange är användaren och datorn som du vill kontrollera policyn för.

Efter att ha utfört simuleringen kan vi verifiera att policyn har tillämpats på den angivna datorn, i annat utöka objektet Avvisade objekt och titta på anledningen till att policyn visade sig vara otillämplig för till denna användare eller dator.

Sedan kommer vi att kontrollera funktionen av policyn på klientdatorn för att göra detta, vi kommer att uppdatera policyerna manuellt med kommandot:

Gpupdate

Låt oss nu öppna certifikatarkivet. Det enklaste sättet att göra detta är genom Internet Explorer: Internetalternativ -Innehåll -Certifikat. Vårt certifikat måste finnas i containern Pålitliga rotcertifikatutfärdare.

Som du kan se fungerar allt och administratören har en huvudvärk mindre, certifikatet kommer automatiskt att distribueras till alla datorer placerade på avdelningen Kontor. Om det behövs kan du ställa in mer komplicerade villkor för att tillämpa policyn, men detta ligger utanför den här artikeln.

När man fyller i dokument eller registrerar en organisation, stöter användare på ett fel - "Det är inte möjligt att bygga en kedja av certifikat för en betrodd rotcentrum" Om du försöker igen visas felet igen. Vad du ska göra i den här situationen, läs vidare i artikeln.

Orsaker till fel i certifikatkedjan

Fel kan uppstå av olika anledningar - problem med Internet på klientsidan, blockering programvara Windows Defender eller andra antivirusprogram. Vidare, avsaknaden av ett rotcertifikat från certifikatutfärdaren, problem i den kryptografiska signaturprocessen och andra.

Åtgärda ett fel när en certifikatkedja skapades för en betrodd rotauktoritet

Först och främst, se till att du inte har problem med din Internetanslutning. Felet kan uppstå när det inte finns någon åtkomst. Nätverkskabeln måste vara ansluten till datorn eller routern.

1. Klicka på "Start"-knappen och sök efter "Command Prompt".
2. Välj det med höger musknapp och klicka på "Kör som administratör".
3. Ange följande kommando i DOS-fönstret "ping google.ru".

När Internet är anslutet bör du se data om skickade paket, överföringshastighet och annan information. Om det inte finns något internet kommer du att se att paketen inte nådde sin destination.

Låt oss nu kontrollera närvaron av certifikatutfärdarens rotcertifikat. Gör så här:

Om det inte finns något certifikat måste du ladda ner det. I de flesta fall finns det i rotcertifikaten och användaren behöver bara installera det. Det är också värt att komma ihåg att det är bäst att använda webbläsaren Internet Explorer så att färre fel och fel uppstår under arbetsprocessen. Försök att hitta CA i rotcertifikaten, efter det behöver du bara klicka på knappen "Installera", starta om din webbläsare och du kommer att lösa problemet med felet - "Kan inte bygga en certifikatkedja för den betrodda rotmyndigheten .”

Kontrollerar CA-rotcertifikatet i webbläsaren

Testet kan utföras i en webbläsare.

1. Välj "Service" från menyn.
2. Klicka sedan på raden "Internetalternativ".
3. Klicka på fliken Innehåll.
4. Här måste du välja "Certifikat".
5. Nästa flik " Pålitliga centra certifiering." Det bör finnas ett CA-rotcertifikat här, vanligtvis finns det längst ner i listan.

Försök nu igen stegen som orsakade felet. För att få ett rotcertifikat måste du kontakta lämpligt centrum där du fick UPC ES.

Andra sätt att fixa fel i certifikatkedjan

Låt oss titta på hur du laddar ner, installerar och använder CryptoPro korrekt. För att säkerställa att programmet inte är installerat på din PC (om det finns flera användare på datorn) måste du öppna Start-menyn. Välj sedan "Program" och leta efter "CryptoPro" i listan. Om det inte finns installerar vi det. Du kan ladda ner programmet från länken https://www.cryptopro.ru/downloads. Här behöver du "CryptoPro CSP" - välj version.

I nästa fönster bör du se ett meddelande om förhandsregistrering.

Installation av CryptoPro

När installationsfilen har laddats ner måste du köra den för att installera den på din dator. Systemet kommer att visa en varning om att programmet ber om tillåtelse att ändra filer på datorn, tillåt det att göra det.

Innan du installerar programmet på din dator måste alla dina tokens extraheras. Webbläsaren måste vara konfigurerad för att fungera, undantaget är Opera webbläsare, alla standardinställningar är redan gjorda i den. Det enda som återstår för användaren är att aktivera en speciell plugin för arbete. Under processen kommer du att se ett motsvarande fönster där Opera erbjuder att aktivera denna plugin.

Efter att ha startat programmet måste du ange nyckeln i fönstret.

Du kan hitta programmet som ska startas på följande sökväg: "Start", "Alla program", "CryptoPro", "CryptoPro CSP". I fönstret som öppnas klickar du på knappen "Ange licens" och anger nyckeln i den sista kolumnen. Redo. Nu måste programmet konfigureras för att passa dina behov. I vissa fall används ytterligare verktyg för elektroniska signaturer - CryptoPro Office Signature och CryptoAKM. Du kan åtgärda felet - det är inte möjligt att bygga en kedja av certifikat för ett pålitligt rotcenter - genom att helt enkelt installera om CryptoPro. Prova detta om andra tips inte hjälper.

Uppstår felet fortfarande? Skicka en förfrågan till supporttjänsten, där du måste lägga upp skärmdumpar av dina sekventiella åtgärder och förklara din situation i detalj.