Smartcards für andere User ausstellen mit Windows CA

[Sippi]

Hi,

wir haben vor kurzem unsere DCs von Windows 2003 auf Windows 2008 R2 migriert und nun fehlt im Webinterface der CA die Option ein Smartcardzertifikat für einen anderen Benutzer anfordern zu können. Vor der Umstellung (auf den DCs läuft auch die CA) war die Möglichkeit noch gegeben. Habe mich für die entsprechenden Vorlagen berechtigt (Smartcard Benutzer und Registrierungsagent). Für mich selbst (bzw. den gerade angemeldeten Benutzer) kann ich die Zertifikate ausstellen lassen nur für andere nicht.

Die Doku für 2008 beschreibt die gleichen Schritte wie die für 2003, damit komme ich aber nicht zum gewünschten Ergebnis

[Kanupke]

check mal die Sicherheitseinstellung der Vorlage selbst, wenn die Dir so nicht angeboten wird, fehlt was in der ACL der Vorlage

Sind die alten Zertifikate abgelöst?

vlt auch mal nen anderen Rechner nutzen, falls auf dem üblichen Rechner noch der alte Anforderungsagent drauf ist, koennte das stoeren.

Dito bei SC, wenn auf SC, versteht sich.

[Sippi]

Die CA wurde übernommen, die Zertifikate haben ihre Gültigkeit behalten. Für die entsprechenden Vorlagen habe ich mich berechtigt und für mich selbst sind Smartcard-Benutzer und Smartcard-Anmeldung auch sichtbar. Das Zertifikat für den Enrollmentagent kann ich auch beantragen. Das müsste eigentlich passen, nur für andere Benutzer kann ich keine Zertifikate beantragen.

Habs auf zwei PCs probiert, der eine mit Windows XP SP3 (mit dem gings vorher) und der andere mit Windows 7 Prof.

[Kanupke]

Also ich wuerde mal vermuten, der Wechsel von 2003 nach 2008 Srv hat auch einen Schemawechsel in den Vorlagen zur Folge

Der Anforderungsagent wird ja zum Gegenzeichnen verwendet, aus der Logik heraus wuerde also ein "altes" Aforderungsagententzertifikat nicht zum signieren der "neuen" Vorlage reichen.

Zugegebener Massen hatte ich Deinen Fall in dieser Form nicht vor der Flinte, aber Schemenwechsel gabs ja auch schon intern im 2003 Server immer mal wieder.

Mal einfach das Agentenzertifikat erneuern, behelfsweise gleich nen neuen Acc mit den notwendigen Zertifikaten erstellen

[Sippi]

Das Agent Zertifikat habe zwischenzeitlich schon mal neu ausgestellt. Allerdings könnte ich mal andere User testen. Hab bislang nur meinen benutzt.