Mobile-Menu

Mit LockSmith und PowerShell fehlerhafte Konfigurationen erkennen Troubleshooting für Active-Directory-Zertifikatsdienste in der PowerShell

Von Thomas Joos 4 min Lesedauer

Anbieter zum Thema

Microsoft Deutschland GmbH

Troubleshooting und Analyse von Active-Directory-Zertifikatsdiensten lassen sich in der PowerShell mit Skripten und Cmdlets durchführen. Wir zeigen die Vorgehensweise.

Das kostenlose PowerShell-Skript "Invoke-LockSmith.ps1" von TrimarcJake erkennt Fehler in den Active-Directory-Zertifikatsdiensten und kann diese auch beheben.(Bild: Joos - Jake Hildreth alias TrimarcJake - Microsoft)
Das kostenlose PowerShell-Skript "Invoke-LockSmith.ps1" von TrimarcJake erkennt Fehler in den Active-Directory-Zertifikatsdiensten und kann diese auch beheben.
(Bild: Joos - Jake Hildreth alias TrimarcJake - Microsoft)

Wenn die Active-Directory-Zertifikatsdienste nicht optimal funktionieren, oder nicht klar ist, ob die Konfiguration der Zertifikatsdienste funktioniert, hilft eine Diagnose in der PowerShell. Neben Cmdlets, die Admins zur Fehlersuche ausführen können, lassen sich mit der PowerShell auch Skripte, wie das auf GitHub zur Verfügung stehende Skript LockSmith nutzen. Das Skript kann kostenlos zur Analyse der Zertifikatsdienste und auch zur Dokumentation genutzt werden, da sich die Daten in eine CSV-Datei exportieren lassen.

Locksmith, Backup-CARoleService und Certutil.exe helfen bei Migration und Problemen

Parallel zu LockSmith bietet die PowerShell Cmdlets, die zu den Bordmitteln der Active-Directory-Zertifikatsdienste gehören und auch mit der Befehlszeile lassen sich Probleme beheben, oder wichtige Bestandteile der Zertifikatsdienste sichern und wiederherstellen.

Bildergalerie
Bildergalerie mit 7 Bildern

Mit dem Skript LockSmith stellt der Entwickler Jake Hildreth alias TrimarcJake ein Skript zur Verfügung, mit dem sich häufige Fehlkonfigurationen der Active Directory-Zertifikatsdienste erkennen lassen.

Parallel dazu stellt die PowerShell nach der Installation der

Active-Directory-Zertifikatsdienste Cmdlets zur Verfügung, die bei Verwaltung, Fehlersuche und Optimierung helfen. In der Befehlszeile steht mit dem kleinen Tool "certutil.exe" ebenfalls eine Möglichkeit zur Verfügung, Informationen abzurufen, Daten zu sichern oder Vorlagen zu extrahieren, die zum Beispiel bei einer Migration von Windows Server 2012/2016 zu Windows Server 2019 oder Windows Server 2022 eine Rolle spielen.

LockSmith kann mit vier Modi Probleme erkennen und beheben

Das PowerShell-Skript "Invoke-LockSmith.ps1" bietet vier verschiedene Modi. Für die Verwendung reicht es aus, die PS1-Datei des Skriptes herunterzuladen und in der PowerShell-Sitzung auf dem Server auszuführen.

Bei der einfachen Ausführung von "Invoke-LockSmith.ps1" aktiviert das Skript automatisch den Parameter " -Mode 0". Bei diesem Modus durchsucht das Skript die komplette Active-Directory-Gesamtstruktur nach Installationen der Active-Directory-Zertifikatsdienste, liest die Konfiguration aus und zeigt Daten in der PowerShell an. Dabei sind auch fehlerhafte Konfigurationen zu erkennen. Das Skript listet die Daten als Tabelle auf. Um die Daten in einer Liste zu erhalten, wird der Parameter "-Mode 1" verwendet, zum Beispiel mit:

.\Invoke-Locksmith.ps1 -Mode 1

Fehlkonfigurationen in CSV-Datei speichern und Tipps zur Fehlerbehebung erhalten

Die Konfiguration der Zertifikatsdienste kann mit dem Parameter "-Mode 2" in eine CSV-Datei exportiert werden. Die Datei trägt die Bezeichnung "ADCSIssues.CSV". Um Tipps zur Fehlerbehebung zu erhalten, kann der Parameter "-Mode 3" verwendet werden. Die Tipps zur Fehlerbehebung sind ebenfalls im Verzeichnis in der Datei "ADCSIssues.CSV" zu finden. Mit dem Parameter "Mode 4" lassen sich Fehler automatisch beheben, wenn das Skript diese erkennt. Dieser Parameter sollte jedoch mit Vorsicht eingesetzt werden, da hier automatisiert Änderungen an Rechten und der Konfiguration der Dienste durchgeführt werden.

Neben fehlerhaften Konfigurationen zeigt LockSmith Berechtigungen für die Vorlagen und verschiedenen Objekte an. Diese können wiederum an anderer Stelle zur Dokumentation genutzt werden. LockSmith erkennt darüber hinaus Probleme bei den Vorlagen in den Active-Directory-Zertifikatsdiensten.

Sicherung der Active Directory-Zertifikatsdienste mit der PowerShell: Backup-CARoleService

Vor Konfigurationsänderungen, aber auch regelmäßig im Rahmen der Datensicherung einer Umgebung, kann es sinnvoll sein, die Daten und Einstellungen der Active-Directory-Zertifikatsdienste in ein Verzeichnis zu sichern. Der Befehl dazu lautet zum Beispiel:

Backup-CARoleService -Path C:\Backup -Password (Read-Host -prompt "Password:" -AsSecureString)

Mit dem Befehl kann die Sicherung der Konfiguration mit einem Kennwort geschützt werden, sodass sich diese nicht von jedem Benutzer auslesen lassen. Aus der Sicherung lässt sich die Konfiguration mit dem Cmdlet "Restore-CARoleService" wiederherstellen, zum Beispiel mit:

Restore-CARoleService -Path "C:\temp"

Soll nur die Datenbank wiederhergestellt werden, geht das mit:

Restore-CARoleService -Path "C:\temp" -DatabaseOnly

Über das Cmdlet lässt sich auch nur der CA-Schlüssel wiederherstellen:

Restore-CARoleService -Path "C:\CABackup" -KeyOnly

Wenn zum Beispiel LockSmith mit dem Parameter "Mode 4" zum Einsatz kommen soll, also wenn das Tool selbst Anpassungen an der Konfiguration der Active-Directory-Zertifikatsdienste vornimmt, ist es in jedem Fall sinnvoll, vorher eine Sicherung durchzuführen. Das geht natürlich auch ohne den Parameter "-Password" mit:

Backup-CARoleService -Path C:\temp

Sicherung von CA-Daten aus der Registry und Verwaltung mit Certutil.exe

Die meisten Daten einer CA speichert Windows in der Registry. Vor Änderungen oder in regelmäßigen Abständen kann es auch hier sinnvoll sein, die Daten in eine Sicherung einzubinden. Auch das kann in der PowerShell/Befehlszeile durchgeführt werden, zum Beispiel gemeinsam mit "Backup-CARoleService". Alle zur Verwaltung der Active-Directory-Zertifikatsdienste zur Verfügung stehenden Cmdlets sind mit dem folgenden Befehl zu sehen:

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Netzwerktechnik, IP-Kommunikation und UCC

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung
Get-Command -Module ADCSAdministration

Die exportierten Daten und die Export-Datei der Registry können zum Beispiel auf einer Freigabe im Netzwerk gespeichert oder in die Datensicherung eingebunden werden. Der Export der Registry kann mit dem folgenden Befehl erfolgen:

reg export HKLM\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration C:\Backup\BackupCa.reg

Vor der Verwendung von "-Mode 4" von LockSmith ist ein Export daher durchaus sinnvoll. Parallel zu "Backup-CARoleService" und "reg export" können auch die aktuellen Vorlagen der Zertifikate gesichert werden. Sinnvoll ist das zum Beispiel beim Einsatz eigener Vorlagen und vor Änderungen der Dienste. Dazu kann das Tool "certutil.exe" genutzt werden, zum Beispiel:

certutil.exe -catemplates > C:\temp\vorlagen.txt

Ohne die Eingabe eines Parameters zeigt "certutil.exe" Informationen zu den Active Directory-Zertifikatsdiensten an, zum Beispiel Name, Server-Bezeichnung und das Signaturzertifikat. Alle Optionen von "certutil.exe" sind mit "certutil.exe /?" zu sehen.

Alles, was Sie wissen müssen!

Active Directory & Domain Networking im Fokus

Active Directory & Domain Networking ist seit vielen Jahren ein Schwerpunktthema bei IP-Insider. Neben zahlreichen Fachartikeln finden Sie auch viele Definitionen und Begriffserklärungen aus diesem Themenkomplex auf unserer Website. Am Artikelende der Begriffserläuterung „Was ist Active Directory?“ haben wir als Service für Sie jetzt alle bisher auf IP-Insider erschienenen Artikel rund um die Themen Active Directory, Entra ID und Domain Networking für Sie zusammengefasst. Viel Spaß beim Schmökern!

(ID:49321601)

Weiterführende Inhalte