Controlador de Dominio y Autoenrollment ID 13

El primer fallo que he encontrado al servicio de Certificación de Microsoft Server lo encontré debido al bloqueo de un servidor con ISA instalado. Verificando el Visor de Sucesos encuentro que se dispara el error de “Autoenrollment” con el ID 13, error 0x80070005. En castellano: el servidor no puede obtener un certificado digital válido.

Este error me costó que el servidor me diera un día completo de batalla. Si bien no pareciera tener ninguna conexión aparente con la aplicación del ISA 2006 (Internet and Acceleration Services), ocasionaba que este último bloqueara el acceso a los archivos almacenados, VNC, escritorio remoto ni absolutamente nada que no fuera navegación. Ni que decir que la lista de errores de replicación era vasta. Simplemente, el servidor no permitía la comunicación “hacia dentro”, lo que la aislaba del resto del dominio.

Básicamente, este error se debe a que Active Directory crea un grupo denominado CERTSVC_DCOM_ACCESS donde deberían estar listados todos los equipos y usuarios que requerirán certificados. Ahora, ocurre que hay escenarios donde los Servidores (DC) deberían poder autogenerar el certificado (autoenrollment), pero Microsoft dejó de lado completamente a los Controladores de Dominio, razón por la cual no sólo ese servidor sino otros estaban dando error de “Autoenrollment”.

Luego de verificar los pasos que se indican en la página de Microsoft, encontré que todo el lío se resolvía añadiendo el grupo “Controladores de Dominio” al grupo CERTSVC_DCOM_ACCESS. Una vez hecho esto hay que ir al servidor donde está instalado la Entidad emisora de Certificados y correr los siguientes comandos:

[code]certutil -setreg SetupStatus -SETUP_DCOM_SECURITY_UPDATED_FLAG
net stop certsvc
net start certsvc[/code]

El primero informa al sistema que hay cambios en la estructura de seguridad (la adición del grupo “Controladores de Dominio”) y los otros dos comandos son para reiniciar el servicio.

Y volià, problema resuelto.

Página del Error (Microsoft): http://support.microsoft.com/kb/927066