So beheben Sie den Fehler „Die angeforderte Zertifikatvorlage wird von dieser Zertifizierungsstelle nicht unterstützt“

Kennen Sie das Problem mit dem nervigen Fehler beim Anfordern eines Zertifikats von einer Windows-Zertifizierungsstelle? Sie wissen schon, der mit der Fehlermeldung „ The requested certificate template is not supported by this CA?“.Ja, das kann einen echt aus der Bahn werfen. Mir ist das passiert, als ich versucht habe, ein TLS/SSL-Zertifikat für RDP mit einer bestimmten RDSH-Vorlage zu erhalten. Sobald ich versucht habe, das Zertifikat manuell über certmgr anzufordern, erhielt ich diese Fehlermeldung:

Request Certificates: The requested certificate template is not supported by this CA. A valid certification authority (CA) configured to issue certificates based on this template cannot be located, or the CA does not support this operation, or the CA is not trusted.

Dann habe ich versucht, PowerShell Get-Certificatefolgendermaßen zu verwenden:

$Cert = Get-Certificate -Template "YourTemplateName" -CertStoreLocation "cert:\CurrentUser\My"

…was wiederum zu einem weiteren Fehler führte:

Get-Certificate : CertEnroll::CX509Enrollment::InitializeFromTemplateName: Template is not supported by this CA.0x80094800 (-2146875392 CERTSRV_E_UNSUPPORTED_CERT_TYPE)

Und natürlich ist dieser Fehler auch in der Ereignisanzeige wie folgt sichtbar:

EventID: 1064 Source: Terminalservices-RemoteConnectionManager The RD Session Host server cannot install a new template-based certificate to be used for Transport Layer Security (TLS) 1.0\Secure Sockets Layer (SSL) authentication and encryption. The following error occurred: The requested certificate template is not supported by this CA.

Was ist also die eigentliche Ursache? Meistens liegt es an einigen einfachen, aber oft übersehenen Einstellungen. Die häufigsten Gründe für diesen Fehler sind:

• Die Zertifikatvorlage ist nicht auf der Zertifizierungsstelle veröffentlicht. Windows hält solche Vorlagen gerne verborgen, wenn man sie nicht explizit angibt. Sie können die verfügbaren Vorlagen über certutil –CATemplateseine Eingabeaufforderung mit Administratorrechten überprüfen. Wenn Ihre Vorlage dort nicht aufgeführt ist, ist sie nicht veröffentlicht. Um dies zu beheben, öffnen Sie die Zertifizierungsstellenkonsolecertsrv.msc und wählen Sie dann „Zertifikatvorlagen“. Klicken Sie mit der rechten Maustaste auf die Vorlage und wählen Sie „ Neu“ > „Auszustellende Zertifikatvorlage“. Stellen Sie sicher, dass Ihre Vorlage angezeigt und zur Ausstellung markiert ist.Überprüfen Sie außerdem Ihre Gruppenrichtlinienobjekt-Einstellungen (GPO), um sicherzustellen, dass sie auf den korrekten Vorlagennamen verweisen.
• Die Berechtigungen für die Zertifikatvorlage sind nicht korrekt konfiguriert. Standardmäßig verfügen bestimmte Gruppen, wie z. B.„Authentifizierungsbenutzer“, über die entsprechenden Berechtigungen, diese wurden jedoch möglicherweise manuell entfernt. Um dies zu testen, versuchen Sie, ein Zertifikat für ein Computerkonto über certreq -q -machine -enroll YourTemplateNameeine Eingabeaufforderung mit Administratorrechten anzufordern. Schlägt dies fehl und erhalten Sie eine Fehlermeldung, dass keine Zertifizierungsstelle gefunden wurde, liegt wahrscheinlich ein Berechtigungsproblem vor. Um dies zu beheben, öffnen Sie in certsrv.msc die Registerkarte „Zertifikatvorlagen“, klicken Sie mit der rechten Maustaste auf Ihre Vorlage und wählen Sie „Eigenschaften“. Stellen Sie auf der Registerkarte „Sicherheit“ sicher, dass die entsprechenden Gruppen (z. B.„Domänencomputer “) über die Berechtigung zum Registrieren verfügen. Beachten Sie, dass die Berechtigungen in manchen Konfigurationen zu restriktiv sein können und verhindern, dass Benutzer oder Computer Zertifikate anfordern.

Bei manchen Konfigurationen reicht es, die Vorlage korrekt zu veröffentlichen und die Berechtigungen richtig zu vergeben. Manchmal certutil –CATemplatesgenügt es auch, die Vorlagenliste zu aktualisieren und die Vorlage erneut zu veröffentlichen, um das Problem zu beheben. Achten Sie außerdem auf die korrekte Schreibweise des Zertifikatvorlagennamens – Tippfehler können ebenfalls zu unbemerkten Fehlern führen.

Stellen Sie unbedingt sicher, dass die Vorlage von Ihrer Zertifizierungsstelle veröffentlicht und als vertrauenswürdig eingestuft wird und dass das anfragende Objekt (Benutzer oder Computer) über die erforderlichen Berechtigungen verfügt. Genau dort treten diese Fehler fast immer auf. Und falls die Zertifizierungsstelle kürzlich neu erstellt oder aktualisiert wurde, überprüfen Sie unbedingt, ob die Vorlage noch kompatibel und verfügbar ist.

Zusammenfassung

• Prüfen Sie, ob die Vorlage veröffentlicht wurde mitcertutil –CATemplates
• Falls nicht, veröffentlichen Sie es über certsrv.msc.
• Überprüfen Sie die Berechtigungen für die Vorlage in certsrv.msc unter Sicherheit.
• Stellen Sie sicher, dass der Name in Ihrer Anfrage exakt übereinstimmt.
• Testen Sie gegebenenfalls mit einem Computerkonto.certreq

Zusammenfassung

Dieses Problem tritt häufig auf, wenn man mit benutzerdefinierten Vorlagen oder neuen Konfigurationen arbeitet. Meistens liegt es an den Veröffentlichungs- und Berechtigungseinstellungen, die man in der Eile leicht übersieht. Sind diese geklärt, laufen Anfragen in der Regel reibungslos. Hoffentlich hilft das jemandem, sich viel Ärger zu ersparen. Bei mir hat es funktioniert – ich hoffe, bei dir auch.