> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/de/zertifikatsverwaltung/active-directory/allgemeine-konfiguration.md). # Allgemeine Konfiguration Damit SCEPman eingehende SOAP-Anfragen erfolgreich verarbeiten kann, müssen wir einige Schritte durchführen: {% stepper %} {% step %} ### Benutzerdefinierte Domäne Für eine erfolgreiche Authentifizierung mit SCEPman stellen Sie sicher, dass eine benutzerdefinierte Domäne mit einem `A-Record` auf den App Service verweist. Andernfalls kann der Client kein gültiges Kerberos-Ticket vom Domain Controller anfordern. {% hint style="info" %} Die benutzerdefinierte Domäne muss dem FQDN Ihrer AD-Domäne nicht ähneln. Wenn Sie also eine Domäne haben `ad.contoso.local` bedeutet das nicht, dass Sie für SCEPman eine identische oder ähnliche benutzerdefinierte Domäne benötigen. Siehe das unten beschriebene bekannte Problem bezüglich [WS\_E\_ENDPOINT\_ACCESS\_DENIED](https://app.gitbook.com/o/-LhPlvZ6dc8XcqY7tdZw/s/-LoGejQeUQcw7lqnQ3WX/~/diff/~/changes/806/certificate-management/active-directory/general-configuration#ws_e_endpoint_access_denied) für weitere Informationen. {% endhint %} Stellen Sie sicher, dass SCEPman so konfiguriert ist, dass es über eine benutzerdefinierte Domäne erreichbar ist: {% content-ref url="/pages/8a4c10114df6670818c24b0cd7578f11bccf9e92" %} [Benutzerdefinierte Domäne](/de/azure-konfiguration/custom-domain.md) {% endcontent-ref %} {% endstep %} {% step %} ### BaseUrl Damit Authentifizierungen erfolgreich sind, stellen Sie sicher, dass die [AppConfig:BaseUrl](https://app.gitbook.com/o/-LhPlvZ6dc8XcqY7tdZw/s/-LoGejQeUQcw7lqnQ3WX/~/diff/~/changes/806/scepman-configuration/application-settings/basics#appconfig-baseurl) Variable Ihrer benutzerdefinierten Domäne entspricht. | Einstellung | Wert | | ----------------- | ----------------------------- | | AppConfig:BaseUrl | Beispiel: scepman.contoso.com | **Alternativ**, wenn Sie auf den AD-Endpunkt lieber über eine andere URL als Ihre übrigen SCEPman-Endpunkte zugreifen, verwenden Sie die dedizierte [AppConfig:ActiveDirectory:BaseUrl](https://app.gitbook.com/o/-LhPlvZ6dc8XcqY7tdZw/s/-LoGejQeUQcw7lqnQ3WX/~/diff/~/changes/806/scepman-configuration/application-settings/active-directory/general#appconfig-activedirectory-baseurl) Einstellung. | Einstellung | Wert | | --------------------------------- | -------------------------------- | | AppConfig:ActiveDirectory:BaseUrl | Beispiel: adendpoint.contoso.com | | {% endstep %} | | {% step %} ### Service Principal erstellen Verwenden Sie das `New-SCEPmanADPrincipal` Cmdlet des SCEPman-PowerShell-Moduls, um den Service Principal in Ihrer lokalen Active Directory Domäne zu erstellen. Außerdem wird ein Keytab aus diesem Konto exportiert und mit dem CA-Zertifikat von SCEPman verschlüsselt. Sie können diesen Befehl auf einem Domain Controller oder einem mit der Domäne verbundenen Server ausführen, auf dem das `RSAT-AD-Tools` Feature installiert ist. Sie benötigen außerdem die folgenden Berechtigungen in der OU, in der Sie den Principal erstellen möchten: Direkt auf der OU: * Computerobjekte erstellen Bei untergeordneten Computerobjekten: * Kennwort zurücksetzen * Schreiben `msDS-SupportedEncryptionTypes` * Schreiben `servicePrincipalName` * Schreiben `userPrincipalName` Die unten beschriebene Variante erfordert ebenfalls ausgehenden HTTPS-Netzwerkzugriff auf Ihre SCEPman-Instanz. {% hint style="info" %} Wenn Ihr Computer mit Zugriff auf einen Domain Controller keinen Netzwerkzugriff hat, gibt es Varianten des Cmdlets, die ohne ihn funktionieren, aber zusätzliche Vorbereitungen erfordern, z. B. das Herunterladen des SCEPman-CA-Zertifikats und das Kopieren der CA auf die Maschine, auf der das Cmdlet ausgeführt wird. {% endhint %} ```powershell Install-Module SCEPman -Force New-SCEPmanADPrincipal -Name "SCEPmanAD" -AppServiceUrl "scepman.contoso.com" -OU "OU=Example,DC=contoso,DC=local" ``` Beim Ausführen dieses Befehls wird Folgendes durchgeführt: 1. Erstellen Sie ein Computerobjekt in der `OU=Example,DC=contoso,DC=local` Organisationseinheit. 2. Laden Sie SCEPmans CA-Zertifikat herunter, um den Keytab in Schritt 5 zu verschlüsseln. 3. Fügen Sie dem Computerobjekt einen Service-Principal-Namen (SPN) hinzu. 4. Erstellen Sie ein Keytab für das Computerkonto, das den Verschlüsselungsschlüssel auf Grundlage des Kennworts des Computers enthält. 5. Verschlüsseln Sie das Keytab mit dem CA-Zertifikat von SCEPman, sodass nur SCEPman es mithilfe des CA-Privatschlüssels wieder entschlüsseln kann. 6. Geben Sie das verschlüsselte Keytab aus, damit es in die Konfiguration von SCEPman übertragen werden kann. Die Base64-kodierte Ausgabe muss dann der Umgebungsvariable hinzugefügt werden **AppConfig:ActiveDirectory:Keytab** auf Ihrem SCEPman App Service. {% endstep %} {% step %} ### Keytab zu SCEPman hinzufügen Die Integration kann einfach aktiviert werden, indem die folgenden Umgebungsvariablen im **SCEPman App Service.** Je nach Anwendungsfall aktivieren Sie eines oder mehrere der verfügbaren Zertifikatvorlagen: *Beispiel mit allen aktivierten Zertifikatvorlagen:* | Einstellung | Wert | | ------------------------------------------------------------------------------------------------------------------------------------------------------------------ | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | [AppConfig:ActiveDirectory:Keytab](appconfig:ActiveDirectory:Keytab) | Base64-kodiertes Keytab für den Service Principal, erstellt in [Schritt 3](/de/zertifikatsverwaltung/active-directory/allgemeine-konfiguration.md#create-service-principal) | | [AppConfig:ActiveDirectory:Computer:Enabled](/de/scepman-konfiguration/application-settings/active-directory/computervorlage.md#appconfig-activedirectory-enabled) | true | | [AppConfig:ActiveDirectory:User:Enabled](/de/scepman-konfiguration/application-settings/active-directory/benutzervorlage.md#appconfig-activedirectory-enabled) | true | | [AppConfig:ActiveDirectory:DC:Enabled](/de/scepman-konfiguration/application-settings/active-directory/dc-vorlage.md#appconfig-activedirectory-enabled) | true | | [AppConfig:ActiveDirectory:RdpServer:Enabled](/de/scepman-konfiguration/application-settings/active-directory/rdp-vorlage.md#appconfig-activedirectory-enabled) | true | | {% endstep %} | | | {% endstepper %} | | ## Bekannte Probleme ### WS\_E\_ENDPOINT\_ACCESS\_DENIED ``` Fehler: WS_E_ENDPOINT_ACCESS_DENIED Hex: 0x803d0005 Dez: -2143485947 ``` Dieser Fehler tritt bekanntermaßen bei der Validierung des CEP-Servers auf, wenn Sie die *Standard* URIs des Azure App Service. Dieser Fehler wird dadurch verursacht, dass das Kerberos-Protokoll nach einem Service Principal Name des `A-Record` Dienstes fragt, auf den zugegriffen werden soll. Bei den Standard-App-Service-Domänen ist zum Beispiel `contoso.azurewebsites.net` ist ein `CNAME` und verweist auf einen `A-Record` ähnlich wie: ``` waws-prod-ab1-234-c56d.westeurope.cloudapp.azure.com ``` Da dieser `A-Record` Name eines Infrastrukturhosts in Zukunft nicht garantiert konsistent bleibt, wird das Hinzufügen eines Service-Principal-Namens für diesen Host **nicht empfohlen**. Fügen Sie Ihrem App Service unbedingt eine benutzerdefinierte Domäne hinzu und verwenden Sie einen `A-Record` innerhalb Ihres DNS-Anbieters, um sie auf den App Service zu verweisen, statt auf einen `CNAME`. {% content-ref url="/pages/8a4c10114df6670818c24b0cd7578f11bccf9e92" %} [Benutzerdefinierte Domäne](/de/azure-konfiguration/custom-domain.md) {% endcontent-ref %} ### ERROR\_INVALID\_PARAMETER ``` Fehler: ERROR_INVALID_PARAMETER Hex: 0x80070057 Dez: -2147024809 ``` Dieser Fehler tritt bei der Registrierung des CEP-Servers auf, wenn Sie eine URI eingeben, die mit `http://`. Stellen Sie sicher, dass Sie einen CEP-Server nur mit `https://` . ### ERROR\_ACCESS\_DENIED ``` Fehler: ERROR_ACCESS_DENIED Hex: 0x80070005 Dez: -2147024891 ``` Bei der Registrierung eines CEP-Servers im Maschinenkontext muss der handelnde Benutzer (das Konto, das `gpmc.msc`) gestartet hat) beim Bearbeiten des GPO Mitglied der lokalen Administratorengruppe auf dem Computer sein. Stellen Sie sicher, dass Sie `gpmc.msc` in diesem Fall mit erhöhten Berechtigungen starten. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://docs.scepman.com/de/zertifikatsverwaltung/active-directory/allgemeine-konfiguration.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.