Warum wird der Zugriff bei der Installation des SSL-Zertifikats auf IIS 5 verweigert?

Question

Ich arbeite mit einem Support-Mitarbeiter, der in der Lage sein soll, SSL-Zertifikate auf einem von ihm verwalteten Webserver zu installieren. Er verfügt über lokale Administratorrechte für den Server über eine Domänensicherheitsgruppe. Er verfügt außerdem über Berechtigungen für unsere interne Zertifizierungsstelle, auf der die Windows 2003 Server-Zertifizierungsstelle ausgeführt wird: "Zertifikat anfordern" und "Zertifikate ausstellen und verwalten".

Der Server, mit dem er arbeitet, führt Windows 2000 SP4/IIS 5 aus. Wenn er versucht, einen Online-Server zu erstellen, endet der IIS-Assistent mit "Installation fehlgeschlagen. Zugriff verweigert.". Die Ereignisanzeige funktioniert nicht richtig, daher kann ich dort keine Details finden. Ich vermute, dass das Berechtigungsproblem lokal und nicht mit der CA ist.

Mein Konto ist ein Domänenadministratorkonto, und ich weiß, dass ich diese Operation ausführen kann, aber ich muss dies für andere arbeiten lassen, die keine Domänenadministratoren sind.

Irgendwelche Ideen, warum er diese Operation nicht ausführen kann?

Answer 1

Ich hatte genau dieses Problem vor ein paar Monaten, als ich ein Cert für einen Client eingerichtet habe.

Es gibt einen Machine Ordner, die Administratorrechte benötigen -

\Documents and Settings\All Users\Application Data\Microsoft\Crypto\RSA\MachineKeys 

geben Administrator (oder der Administrator-Gruppe) Vollzugriff über dieses Verzeichnis. Ich glaube nicht, dass Sie IIS neu starten müssen, aber es tut nie weh.

Ich habe keine Ahnung, warum Admin dies nicht als Standard steuert. Sobald dies geändert wurde, wird der Zertifikatserstellungsassistent erfolgreich die Zertifikatanforderung generieren.

Ich denke, es gibt irgendwo einen Microsoft KB-Artikel darüber.

EDIT: Hier ist der KB-Artikel: http://support.microsoft.com/kb/908572

-Jon

Answer 2

Wenn Sie ein Zertifikat sind zu erneuern, dann ist es möglich, dass Sie Ihr neues Zwischenzertifikat (.pb7) importiert vor dem Entfernen Ihrer bestehenden (abgelaufen) Zertifikat von IIS. Sie erhalten einen Zugriff verweigert-Fehler, da sowohl das alte als auch das neue Zertifikat für die gleiche Domäne gelten.

Also bis Sie diesen Zugriff verweigert Fehler erhalten, gibt es drei Dinge, die Sie tun müssen.

1. Entfernen Sie alle Zertifikate für diese Domain-Namen von IIS, einschließlich der neuen, die Sie gerade importiert ..
2. zu Console1 Zurück, und das Zertifikat für Ihre Domain-Namen aus dem lokalen Computer \ Certificate Enrollment entfernen Requests \ Zertifikate .
3. Neu beginnen.