ID d'événement Windows 4869 – Kerberos : Échec de l'opération du client des services de certificats

Commencez par vérifier la connectivité de base à vos serveurs d'autorité de certification et assurez-vous que les services de certificats fonctionnent.

1. Ouvrez Observateur d'événements → Journaux Windows → Sécurité et localisez l'ID d'événement 4869
2. Notez le code d'erreur et le nom du modèle de certificat à partir des détails de l'événement
3. Testez la connectivité à votre autorité de certification :

Test-NetConnection -ComputerName "your-ca-server.domain.com" -Port 135
Test-NetConnection -ComputerName "your-ca-server.domain.com" -Port 445

4. Vérifiez l'état du service de l'autorité de certification :

Get-Service -ComputerName "your-ca-server.domain.com" -Name "CertSvc"

5. Vérifiez les URL d'enrôlement de certificats :

certlm.msc

Accédez à Certificats (Ordinateur local) → Personnel → Certificats et vérifiez que les certificats existants ne sont pas expirés.

Réinitialisez le client des services de certificats pour effacer les erreurs mises en cache ou les informations d'état corrompues.

1. Arrêtez le service de propagation des certificats :

Stop-Service -Name "CertPropSvc" -Force

2. Effacez le cache d'inscription des certificats :

Remove-Item -Path "$env:ALLUSERSPROFILE\Microsoft\Crypto\RSA\MachineKeys\*" -Force -ErrorAction SilentlyContinue

3. Réinitialisez la configuration du client des services de certificats :

certlm.msc

Supprimez toutes les demandes de certificat échouées ou en attente dans Demandes d'inscription de certificats.

4. Redémarrez les services de certificats :

Start-Service -Name "CertPropSvc"
Restart-Service -Name "CryptSvc"

5. Forcez l'actualisation de l'inscription des certificats :

gpupdate /force
certlm.msc

Cliquez avec le bouton droit sur Personnel → Toutes les tâches → Demander un nouveau certificat pour tester l'inscription.

Vérifiez que l'ordinateur ou le compte utilisateur dispose des autorisations appropriées pour s'inscrire au modèle de certificat mentionné dans l'événement.

1. Identifiez le modèle de certificat à partir des détails de l'ID d'événement 4869
2. Sur le serveur de l'Autorité de Certification, ouvrez la console de gestion Autorité de Certification
3. Accédez à Modèles de Certificat et localisez le modèle défaillant
4. Cliquez avec le bouton droit sur le modèle → Propriétés → onglet Sécurité
5. Vérifiez que l'ordinateur ou le compte utilisateur dispose des autorisations Lire et S'inscrire
6. Vérifiez la disponibilité du modèle à l'aide de PowerShell :

Get-CATemplate | Where-Object {$_.Name -eq "YourTemplateName"}

7. Vérifiez le déploiement du modèle de certificat par la stratégie de groupe :

gpresult /h gpresult.html

Ouvrez le fichier HTML et vérifiez Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Politiques de clé publique pour les affectations de modèles de certificat.

8. Testez l'inscription au certificat manuellement :

certreq -enroll -machine -q "TemplateName"

Adressez les magasins de certificats ou les entrées de registre corrompus qui peuvent empêcher les opérations de certificat réussies.

1. Sauvegardez le magasin de certificats actuel :

Export-Certificate -Cert (Get-ChildItem Cert:\LocalMachine\My) -FilePath "C:\Temp\CertBackup.p7b" -Type p7b

2. Vérifiez l'intégrité du magasin de certificats :

certlm.msc

Cherchez des certificats avec des marques X rouges ou des icônes d'erreur dans Personnel → Certificats.

3. Effacez le cache de certificats corrompus :

Stop-Service -Name "CryptSvc" -Force
Remove-Item -Path "$env:WINDIR\System32\catroot2\*" -Recurse -Force
Start-Service -Name "CryptSvc"

4. Réinitialisez les clés de registre des services de certificats :

reg delete "HKLM\SOFTWARE\Microsoft\Cryptography\AutoEnrollment" /f
reg add "HKLM\SOFTWARE\Microsoft\Cryptography\AutoEnrollment" /v "AEPolicy" /t REG_DWORD /d 7

5. Reconstruisez la chaîne de certificats et vérifiez :

certlm.msc

Cliquez avec le bouton droit sur Autorités de certification racines de confiance → Toutes les tâches → Importer et réimportez votre certificat CA racine si nécessaire.

Effectuer des diagnostics et des journaux complets des services de certificats pour identifier des problèmes complexes.

1. Activer la journalisation détaillée des services de certificats :

reg add "HKLM\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration" /v "DBLogLevel" /t REG_DWORD /d 5
Restart-Service -Name "CertSvc"

2. Collecter les informations de diagnostic des services de certificats :

certutil -pulse
certutil -v -template > C:\Temp\templates.txt
certutil -cainfo > C:\Temp\cainfo.txt

3. Analyser la chaîne de certificats et la validation :

certutil -verify -urlfetch "C:\path\to\certificate.cer"

4. Vérifier la santé de l'Autorité de Certification :

certutil -ping "CA-Server\CA-Name"

5. Générer un rapport complet des services de certificats :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4869} -MaxEvents 50 | Export-Csv -Path "C:\Temp\Event4869.csv"
Get-WinEvent -FilterHashtable @{LogName='Application'; ProviderName='Microsoft-Windows-CertificateServicesClient*'} -MaxEvents 100 | Export-Csv -Path "C:\Temp\CertClient.csv"

6. Vérifier l'intégrité de la base de données de l'Autorité de Certification :

certutil -databaselocations
certutil -v -db