SCEPman が受信 SOAP 要求を正常に処理できるようにするには、いくつかの手順を実行する必要があります:
SCEPman での正常な認証のため、A レコードを使用するカスタム ドメインが A レコード App Service にポイントされていることを確認してください。そうでない場合、クライアントはドメイン コントローラーから有効な Kerberos チケットの要求に失敗します。
カスタム ドメインは AD ドメインの FQDN に似ている必要はありません。したがって、ドメイン ad.contoso.local を持っていても、SCEPman に対して同一または類似のカスタム ドメインが必要という意味ではありません。
以下の既知の問題を参照してください。 WS_E_ENDPOINT_ACCESS_DENIED の詳細については。
SCEPman がカスタム ドメインを使用してアクセス可能になるように構成されていることを確認してください:
正常な認証を可能にするには、 AppConfig:BaseUrl 変数がカスタム ドメインと一致していることを確認してください。
AppConfig:BaseUrl
例: scepman.contoso.com
または、AD エンドポイントを他の SCEPman エンドポイントとは異なる URL でアクセスしたい場合は、専用の AppConfig:ActiveDirectory:BaseUrl 設定を使用してください。
AppConfig:ActiveDirectory:BaseUrl
例: adendpoint.contoso.com
を使用します New-SCEPmanADPrincipal SCEPman PowerShell モジュールの Cmdlet を使用して、オンプレミスの Active Directory ドメインに Service Principal を作成します。このアカウントから keytab もエクスポートし、SCEPman の CA 証明書で暗号化します。
Domain Controller にアクセスできるコンピューターまたはドメイン参加済みサーバー上でこのコマンドを実行できます。さらに、 RSAT-AD-Tools 機能も必要です。さらに、principal を作成したい OU で次の権限が必要です:
OU 自体では:
コンピューター オブジェクトの作成
下位のコンピューター オブジェクトでは:
パスワードのリセット
書き込み msDS-SupportedEncryptionTypes
書き込み servicePrincipalName
書き込み userPrincipalName
下のバリアントでは、SCEPman インスタンスへの送信 HTTPS ネットワーク アクセスも必要です。
Domain Controller にアクセスできるコンピューターにネットワーク アクセスがない場合、それなしで動作する CMDlet のバリアントがありますが、SCEPman CA 証明書をダウンロードし、CA を CMDlet を実行するマシンにコピーするなど、追加の準備が必要です。
Install-Module SCEPman -Force
New-SCEPmanADPrincipal -Name "SCEPmanAD" -AppServiceUrl "scepman.contoso.com" -OU
"OU=Example,DC=contoso,DC=local"このコマンドを実行すると、次の処理が行われます:
内にコンピューター オブジェクトを作成します OU=Example,DC=contoso,DC=local 組織単位。
手順 5 で keytab を暗号化するために、SCEPman の CA 証明書をダウンロードします。
コンピューター オブジェクトに service principal name (SPN) を追加します。
コンピューターのパスワードに基づく暗号化キーを含む、コンピューター アカウント用の keytab を作成します。
SCEPman の CA 証明書で keytab を暗号化し、CA の秘密キーを使用して再び復号できるのは SCEPman のみになるようにします。
暗号化された keytab を出力し、SCEPman の構成に転送できるようにします。
その後、Base64 エンコードされた出力を環境変数に追加する必要があります AppConfig:ActiveDirectory:Keytab SCEPman App Service 上の。
次の環境変数を SCEPman App Service. ユースケースに応じて、利用可能な証明書テンプレートの 1 つ以上を有効にします:
すべての証明書テンプレートを有効にした例:
手順 3 で作成された Service Principal 用の Base64 エンコードされた keytab 手順 3
エラー: WS_E_ENDPOINT_ACCESS_DENIED
Hex: 0x803d0005
Dec: -2143485947このエラーは、CEP サーバーの検証中に、 既定 の Azure App Service URI を使用しているときに発生することが知られています。このエラーは、Kerberos プロトコルが A レコード アクセスされるサービスの service principal name を要求するために発生します。既定の app service domains の場合、たとえば contoso.azurewebsites.net は CNAME であり、 A レコード に似たものを指しています:
waws-prod-ab1-234-c56d.westeurope.cloudapp.azure.comこの A レコード インフラストラクチャ ホストの URI は将来一貫していることが保証されないため、このホストに service principal name を追加することは 推奨されません.
App Service にカスタム ドメインを追加し、 A レコード DNS プロバイダー内でそれを App Service にポイントするように設定してください。 CNAME.
エラー: ERROR_INVALID_PARAMETER
Hex: 0x80070057
Dec: -2147024809このエラーは、CEP サーバーの登録中に、 http://で始まる URI を入力すると発生します。CEP サーバーの登録には必ず https:// .
マシン コンテキストで CEP サーバーを登録する場合、実行中のユーザー（開始した gpmc.msc）は、GPO を編集している間、そのコンピューターのローカル Administrators グループのメンバーである必要があります。
必ず gpmc.msc を昇格された権限で起動してください。
最終更新
役に立ちましたか？
役に立ちましたか？
エラー: ERROR_ACCESS_DENIED
Hex: 0x80070005
Dec: -2147024891