新域控制器无法注册 KerberosAuthentication 证书

Question

我有一个 AD 域。2003 FFL/DFL。该架构已升级到 Server 2012 的版本 56。该域包含来自 Server 2003、Server 2008、Server 2008 R2 和现在的 Server 2012 的域控制器的混合。

我有一个运行 2008 R2 的企业颁发证书颁发机构。

在 Server 2012 域控制器上，他们无法注册或自动注册其 KerberosAuthentication 证书。应用程序日志中的错误事件 ID 6 和 13：

本地系统的自动证书注册失败 (0x800706ba) RPC 服务器不可用。

本地系统的证书注册未能从 ECA.domain.com\Company Issuing CA 注册请求 ID 为 5512 的 KerberosAuthentication 证书（RPC 服务器不可用。0x800706ba (WIN32: 1722)）。

看到“RPC 服务器不可用”，本能地得出存在网络连接问题的结论。但事实并非如此。

• 我已经使用 portqry.exe 来验证端点映射器和所有高编号端口确实可以从 DC 到 ECA。
• 2012 域控制器确实成功地自动注册了另外两种类型的证书。这只是一个证书的问题。
• 我在 ECA 上看到请求，但它失败了，并且失败的原因与客户端相同。

所以它显然有网络通信。这个特定的证书有些东西。没有其他域控制器有此证书的问题。只有 2012 年的 DC。

Answer 1

1722 错误在证书服务中可能是错误且具有误导性的。你试过这个吗？

https://sites.google.com/site/sergioceokb/microsoft/microsoft-errors