פרסום המקור: . עדכון המקור: . תרגום ובדיקה: .
הודעה שלפיה תעודת הכרטיס החכם אינה מהימנה בזמן כניסה ל־Active Directory עשויה להצביע על בעיה בבדיקת ביטול התעודה. למשל, ייתכן שחסרה בתעודה נקודת הפצה לרשימת ביטול (CDP), או שהכתובת הרשומה בה אינה מובילה לרשימת ביטול תעודות (CRL) זמינה ותקפה. זו אפשרות לאבחון, לא מסקנה שנובעת מההודעה לבדה. תיעוד התקלות של Microsoft מתאר גם סיבות נוספות לכשל באמון ובבדיקת הביטול.
מה לבדוק לפני שינוי בתצורה
כמנהלי תשתית מורשים, בדקו את התעודה שהונפקה בפועל ואת אירועי האימות הרלוונטיים. בדקו אילו כתובות CDP מופיעות בה, והאם רשימות הביטול הנדרשות נגישות ועדכניות בהקשר של הלקוח ושל בקר התחום (DC) המעורבים. הודעת השגיאה הכללית אינה מזהה לבדה את הרכיב שנכשל.
המקור הפנה לבדיקת תבנית התעודה. בפועל, יש לבחון גם את הגדרות ההנפקה ופרסום נקודות ההפצה ברשות האישורים (CA), ולא להניח ששינוי בתבנית לבדו יפתור את התקלה. הכללת כתובות CDP בתעודות מוגדרת גם בהרחבות של רשות האישורים. לפי הנחיות התכנון של Microsoft, שינוי כתובת ההפצה משפיע על תעודות חדשות; תעודות שכבר הונפקו ממשיכות להפנות לכתובת הישנה. לכן אין להסיר את הכתובת הישנה כל עוד היא נדרשת להן.
גם שרשרת אמון ובדיקת ביטול תקינות אינן משלימות את כל תנאי הכניסה. יש לעמוד בנפרד בדרישות מיפוי חזק בין תעודת המשתמש לחשבון ובבדיקות רשות מנפיקה מאושרת במאגר NTAuth. תיקון צריך להתבצע לפי נהלי תשתית המפתחות הציבוריים (PKI), בלי לבטל בדיקות ביטול או לעקוף את כללי האמון והמיפוי.
תמונת הקישוט שבמקור לא נכללה, משום שלא אומת רישיון השימוש בה.
תרגום ועיבוד מתוקן: הערת האבחון המקורית הורחבה במידה הנדרשת לתיקון ההפניה לתבנית, להבחנה בין תעודות קיימות לחדשות ולציון דרישות האבטחה העדכניות. נשמרה ההסתייגות שמדובר בסיבה אפשרית בלבד.
תרגום לעברית עבור The Useful Byte. לקריאת המקור באנגלית.