Зачем запрещается доступ при установке SSL-сертификата в IIS 5?

Question

Я работаю с лицом поддержки, который должен иметь возможность устанавливать SSL-сертификаты на веб-сервере, который он поддерживает. Он имеет права локального администратора на сервере через группу безопасности домена. Он также имеет разрешения на наш внутренний ЦС, на котором работает Центр сертификации Windows 2003 Server: «Запросить сертификат» и «Выпуск и управление сертификатами».

Сервер, на котором он работает, работает под управлением Windows 2000 SP4/IIS 5. Когда он пытается создать сертификат онлайн-сервера, мастер IIS заканчивается на «Не удалось установить. Доступ запрещен». Средство просмотра событий работает неправильно, поэтому я не могу найти там никаких подробностей. Я подозреваю, что проблема с разрешением является локально, а не CA.

Моя учетная запись является учетной записью администратора домена, и я знаю, что могу выполнить эту операцию, однако мне нужно сделать эту работу для других, которые не являются администраторами домена.

Любые идеи, почему он не может выполнить эту операцию?

Answer 1

У меня была такая же проблема несколько месяцев назад, когда я настраивал сертификат для клиента.

Там в папку MachineKeys, что Администратор нужны права -

\Documents and Settings\All Users\Application Data\Microsoft\Crypto\RSA\MachineKeys 

дают Administrator (или группу администратора) полный контроль над этого каталога. Я не думаю, что вам нужно перезапустить IIS, но это никогда не повредит.

Я понятия не имею, почему администратор не контролирует это как значение по умолчанию. После того, как это изменение будет изменено, мастер создания сертификата успешно сгенерирует запрос сертификата.

Я думаю, что есть даже статья Microsoft KB об этом где-то.

EDIT: Вот статья KB: http://support.microsoft.com/kb/908572

-Jon

Answer 2

Если вы обновляя сертификат, то вполне возможно, что вы импортировали ваш новый промежуточный сертификат (.pb7) перед удалением уже существующий (с истекшим сроком действия) сертификат от IIS. Вы получили бы отказ в доступе, поскольку как старый, так и новый сертификаты для одного домена.

Итак, к тому моменту, когда вы получите этот отказ, вы должны сделать три вещи.

1. Удалить все сертификаты для этого доменного имени от IIS, включая новый, который вы только что импортировали ..
2. Вернуться к Консоль1 и удалить сертификат для вашего доменного имени от локального компьютера \ Certificate Зачисление просит \ Сертификаты ,
3. Начать сначала.