win2003 certification authority - autoenrollment problemen

[rajackar]

Sinds enige tijd heb ik in een win2003 domein een CA geïnstalleerd. Dit was gedaan om een error mbt een missende KDC certificate op te lossen.
Nu krijg ik op 2 van de 3 dc's erg vaak een error 13 waarbij vermeld wordt dat autoenrollement niet kan plaats vinden vanwege een "access denied" error.
Het vreemde is dat één van de DC's dus wel gewoon autoenrollment kan doen en de andere twee, waaronder de CA zelf, dat dus niet lukt.
Ik heb rechten op directory's voor zover ik weet dat die nodig zijn al na gekeken.
Ook google, eventID.net en microsoft support leveren niets op.

[rajackar]

Het probleem is opgelost.
Voor het geval in de toekomst mensen dit probleem gaan hebben:

http://www.eventid.net/di...ce=AutoEnrollment&phase=1

From a newsgroup post: "Can you check what are the ACLs on the directory “%system drive%\Documents and Settings\All Users\Application Data\Microsoft\Crypto\RSA\MachineKeys”? Does it have just "Everyone"? If this is the only permission it has, then enrollment will fail. After creating the private key, enrollment removes the "Everyone" group from the permission on the private key (as it is bad to have that), however if "Everyone" is the only ACL on the key, this renders the key not accessible by anyone. You should have only “Administrators” and “System” able to access the machine private keys".

Dit was bij mij de oplossing