ID de evento 74 en AD CS – Descodificado

Introducción

En un entorno PKI de Microsoft , el evento con ID 74 de la fuente Microsoft-Windows-CertificationAuthority indica un problema que no debe ignorarse. Este evento indica que la Autoridad de Certificación (CA) no pudo publicar una Lista de Revocación de Certificados (CRL) base en uno de sus puntos de distribución, generalmente una ubicación de Active Directory o un recurso compartido de red.

Esto no es solo una entrada de registro de rutina; es esencialmente que su CA dice: "Intenté compartir la lista más reciente de certificados revocados, pero no pude". Y eso es una seria señal de alerta para cualquier organización que dependa de la autenticación y el cifrado basados ​​en certificados.

¿Qué es el ID de evento 74 en AD CS? El ID de evento 74, registrado por Microsoft-Windows-CertificationAuthority, se activa cuando una Autoridad de Certificación de Windows no publica una Lista de Revocación de Certificados (CRL) base en un punto de distribución configurado, como una ubicación de Active Directory o un recurso compartido de red. Si no se resuelve, puede provocar que la validación y la comprobación de revocación de certificados fallen una vez que expire la CRL actual.

Resumen Ejecutivo

Este artículo explica qué desencadena el evento con ID 74 en los Servicios de certificados de Active Directory, por qué la clasificación de gravedad "Baja" predeterminada de Microsoft subestima el riesgo operativo real, las tres causas raíz más comunes (problemas de permisos, objetos de directorio faltantes y problemas de conectividad de red) y una ruta de resolución paso a paso para cada una, incluyendo cómo validar que la solución funcionó y cómo revertir un cambio que introduce nuevos problemas.

Requisitos previos

Antes de solucionar el problema del ID de evento 74, confirme que tiene lo siguiente:

• Acceso administrativo al servidor de la CA (administrador local o con derechos de administrador de la CA delegados).
• Acceso al Visor de eventos en Registros de aplicaciones y servicios > Microsoft > Windows > CertificateServices-CA > Operacional.
• Acceso a Sitios y servicios de Active Directory y ADSIEdit (o dsacls.exe/PowerShell) para inspeccionar los contenedores CDP/AIA.
• Herramientas de diagnóstico de red disponibles en el servidor CA: ping, nslookup, Test-ComputerSecureChannel, Test-NetConnectiony PortQry.
• Conocimiento de las rutas de los puntos de distribución de CRL (CDP) configurados por su CA, visibles en la pestaña Extensiones de la consola de la Autoridad de Certificación.
• Realice una copia de seguridad reciente de la base de datos de CA y de la configuración de CDP/extensión antes de realizar cualquier cambio de permisos o configuración.

¿Por qué es fundamental la publicación en CRL?

La Lista de Revocación de Certificados (CRL) es un pilar fundamental de la Infraestructura de Clave Pública (PKI) . Indica a los sistemas qué certificados ya no deben considerarse confiables, ya sea por haber sido comprometidos, caducados o revocados manualmente . Sin una CRL actualizada, los clientes podrían confiar, sin saberlo, en un certificado revocado, lo que puede abrir la puerta a riesgos de seguridad como ataques de intermediario o acceso no autorizado.

Cuando la CA no publica una CRL, especialmente una CRL base, puede causar problemas importantes. Los clientes pueden empezar a rechazar todos los certificados emitidos por esa CA una vez que la CRL actual expire. Esto puede interrumpir las comunicaciones seguras, detener los procesos de autenticación y provocar tiempos de inactividad en los servicios que dependen de la CA.

En resumen, la publicación de CRL no es sólo una tarea en segundo plano; es una parte fundamental para mantener la confianza y el tiempo de actividad en cualquier entorno habilitado para PKI.

Comprender el contexto del ID de evento 74

¿Qué activa el ID de evento 74?

El ID de evento 74 suele aparecer cuando los Servicios de certificados de Active Directory (AD CS) no logran publicar una CRL base en una de las ubicaciones configuradas. Estas ubicaciones se definen en los Puntos de distribución de CRL (CDP) de la CA y pueden incluir rutas LDAP , URL HTTP o rutas de archivos locales o de red.

Cuando la CA intenta actualizar la CRL y algo falla (como un problema de permisos, la falta de un objeto de Active Directory o una interrupción de la red), registra el ID de evento 74 con un mensaje detallado. El evento suele incluir:

• El identificador de clave de CA (esencialmente, el que CA intentó publicar),
• La URL de destino o la ubicación donde se suponía que se publicaría la CRL,
• Un código de error (como 0x80072098 para acceso insuficiente o 0x8007208d para objeto no encontrado),
• Y a veces el nombre del servidor host que encontró el problema.

Entonces, aunque a primera vista parezca simplemente otro evento de registro, los datos que contiene son cruciales para señalar exactamente qué salió mal durante el proceso de publicación.

Gravedad del problema

Curiosamente, Microsoft clasifica el ID de evento 74 como un problema de gravedad "baja" en su guía oficial de PKI. Y si bien esto podría ser técnicamente cierto a corto plazo, especialmente si otros puntos de publicación de CRL siguen funcionando, esta etiqueta puede ser un poco engañosa.

En la práctica, si la publicación de listas de revocación de certificados (CRL) falla sistemáticamente y no hay ninguna CRL válida disponible cuando caduca la actual, se producirán importantes interrupciones del servicio. Los clientes que dependen de la validación de certificados podrían dejar de funcionar. Las aplicaciones que exigen la comprobación de revocación podrían empezar a rechazar certificados válidos simplemente porque no pueden verificar su estado.

Así que sí, la gravedad puede ser baja ahora que el evento está registrado, pero si no se resuelve, puede convertirse en un problema de disponibilidad de alto impacto. Esto es especialmente cierto en entornos con comprobaciones de revocación estrictas o periodos de validez de CRL cortos.

Causas comunes del ID de evento 74

problemas de permisos

Una de las causas más frecuentes del ID de evento 74 es un problema de permisos simple pero crítico. En concreto, la autoridad de certificación no tiene los permisos necesarios para publicar la CRL en Active Directory.

Cuando esto sucede, normalmente verá el código de error: 0x80072098 – ERROR_DS_INSUFF_ACCESS_RIGHTS

Esto significa que la CA intentó escribir un objeto en Active Directory (normalmente en los contenedores CDP o AIA), pero se le denegó el acceso. Esto suele ocurrir si:

• La cuenta del servidor CA no tiene permisos de escritura en el objeto de directorio de destino.
• Las ACL de seguridad necesarias no se configuraron durante la instalación o se eliminaron accidentalmente.
• La replicación de AD o los cambios de políticas afectaron la herencia de permisos.

A menudo, basta con comprobar y configurar los permisos correctos en los contenedores CDP y AIA en Active Directory para resolver este problema.

Objetos de directorio faltantes

Otra causa común es cuando el objeto de Active Directory en el que la CA intenta escribir no existe, lo que provoca el error 0x 8007208D – ERROR_DS_OBJ_NOT_FOUND.

Esto puede suceder si:

• Los contenedores CDP/AIA o los objetos secundarios nunca se crearon.
• La ruta LDAP esperada es incorrecta o está desactualizada.
• Algo en su entorno, como una migración fallida o una limpieza de AD, eliminó estos objetos.

En estos casos, la CA básicamente intenta publicar en un destino que ya no existe o que nunca se configuró correctamente desde el principio.

Problemas de conectividad de red

A veces, el problema no está en AD ni en los permisos, sino en la red. Si la CA no puede comunicarse con un controlador de dominio o este no responde a tiempo, la publicación de la CRL falla.

Esto es especialmente común en:

• Entornos de múltiples sitios con enlaces WAN lentos.
• DNS mal configurado.
• O controladores de dominio que están sobrecargados o inactivos.

Incluso fallas transitorias en la red pueden provocar que este evento aparezca ocasionalmente, por lo que vale la pena verificar la conectividad y la resolución de nombres si las otras causas no funcionan.

Códigos de error comunes para el ID de evento 74

El código de error que aparece en el cuerpo del mensaje con ID de evento 74 suele ser la forma más rápida de determinar la causa raíz del problema:

Código de error	Significado	Solución típica
0x80072098 (ERROR_DS_INSUFF_ACCESS_RIGHTS)	La CA carece de permisos de escritura en el contenedor CDP/AIA de destino en Active Directory.	Otorgue a la cuenta de equipo de la CA permiso de escritura en el contenedor a través de Sitios y servicios de AD o dsacls.exe.
0x8007208D (ERROR_DS_OBJ_NOT_FOUND)	El objeto CDP/AIA que la CA está intentando escribir no existe en Active Directory.	Usar adsiedit.msc para localizar o recrear el punto de publicación esperado bajo CN=Public Key Services.
Sin código de error / tiempo de espera	Normalmente, el problema radica en la conectividad de red, no en los permisos de Active Directory ni en la falta de objetos.	Compruebe la accesibilidad del controlador de dominio, la resolución DNS y el acceso a los puertos del firewall/RPC.

Investigando el ID de evento 74

Revisión de registros de eventos

El primer paso para solucionar el problema del ID de evento 74 es dirigirse directamente al Visor de eventos en su servidor CA. Encontrará el registro en: Registros de aplicaciones y servicios > Microsoft > Windows > CertificateServices-CA > Operational

Busque las entradas con el ID de evento 74. Una vez que las encuentre, revise detenidamente el mensaje. Debe incluir detalles clave como:

• El punto de distribución (por ejemplo, LDAP o ruta de archivo)
• El identificador de clave de CA (para confirmar qué instancia de CA registró el evento)
• El código de error y posiblemente una descripción de texto adjunta
• El anfitrión que estuvo involucrado en la operación

Esta información le ayudará a determinar si el problema está relacionado con permisos, objetos faltantes o problemas relacionados con la red.

Parámetros clave a comprobar

Al revisar el evento, preste especial atención a lo siguiente:

• URL o ruta: ¿Apunta a la ubicación correcta en Active Directory o al recurso compartido de archivos correcto?
• Código de error: Busque el código de error exacto. Códigos como 0x80072098 (permisos) y 0x8007208d (objeto no encontrado) son muy reveladores.
• Nombre del host del servidor: Útil si está solucionando problemas en una jerarquía de CA de múltiples servidores.

Aunque ya haya visto el ID de evento 74, no asuma que siempre se trata de la misma causa raíz. Los parámetros pueden variar según el punto de distribución o los cambios en el entorno.

Comprensión de errores relacionados

En ocasiones, el ID de evento 74 aparece junto con otras advertencias o errores, como la publicación fallida de la autorización de acceso a la información (AIA) o las listas de revocación de certificados (CRL) delta . Estos pueden ofrecer contexto o pistas adicionales.

Si aparecen varios errores de publicación juntos, eso podría sugerir un problema más amplio, como una conexión interrumpida a Active Directory o una configuración incorrecta de permisos en varios contenedores.

Consejo profesional: Además, verifique los registros de los Servicios de directorio y del Cliente DNS si sospecha que hay problemas con el controlador de dominio o con la resolución de nombres.

Resolución del ID de evento 74

Ahora que sabe qué desencadenó el ID de evento 74 y dónde buscar, veamos cómo solucionarlo. Los pasos pueden variar según la causa, pero estas son las soluciones más comunes y efectivas:

Paso 1: Verificar permisos

Si el código de error es 0x80072098 (acceso insuficiente), es probable que su CA no tenga los permisos necesarios en Active Directory.

He aquí cómo solucionarlo:

• Abra Sitios y servicios de Active Directory (habilite “Mostrar nodo de servicios” si está oculto)
• Vaya a: Servicios > Servicios de clave pública > CDP y AFP contenedores
• Haga clic derecho en el contenedor > Propiedades > Seguridad .
• Asegúrese de que la cuenta de computadora de la CA (o el grupo al que pertenece) tenga permiso de escritura en el contenedor relevante.

Si es necesario, utilice dsacls.exe o PowerShell para verificar/establecer permisos a un nivel más granular.

Paso 2: Validación de objetos de directorio

Si ve el código 0x8007208d (objeto no encontrado), la CA está intentando publicar un objeto que no existe.

Para resolver:

• Utilice adsiedit.msc para explorar los contenedores CN=CDP y CN=AIA en CN=Public Key Services.
• Busque los puntos de publicación esperados.
• Si faltan, es posible que tengas que crearlos manualmente o reconfigurar la CA para usar rutas válidas y existentes.

Tenga especial cuidado si está restaurando o migrando a una CA; es posible que los objetos no se hayan recreado o vinculado nuevamente de manera correcta.

Paso 3: Verificar la conectividad de la red

Si todo parece correcto en la CA y en Active Directory, verifique si hay problemas de red:

• Ejecute ping, nslookup o Test-ComputerSecureChannel para garantizar que la CA pueda comunicarse con el controlador de dominio.
• Utilice herramientas como PortQry o Test-NetConnection para verificar que los puertos RPC y LDAP estén abiertos.
• Comprobar la sincronización horaria (los problemas con Kerberos a veces pueden presentar efectos secundarios extraños)

Los enlaces lentos o una configuración incorrecta del DNS pueden interrumpir silenciosamente la publicación de CRL sin generar errores obvios, así que no pase por alto los aspectos básicos.

Paso 4: Revisión de la configuración

Abra la consola de la autoridad de certificación, haga clic con el botón derecho en la CA y seleccione Propiedades.

• En la pestaña Extensiones, revise los Puntos de distribución de CRL (CDP).
• Asegúrese de que las rutas sean válidas y accesibles y que no apunten a contenedores obsoletos o incorrectos.
• Si recientemente ha cambiado el nombre de los servidores o ha reestructurado AD, estas rutas podrían estar obsoletas.

Después de realizar cambios, no olvides:

• Reinicie el servicio de CA.
• Publicar una nueva CRL manualmente usando certutil -crl
• Confirme que aparezca en la ubicación correcta.

Paso 5: Validar la solución

Tras aplicar la solución, confirme que realmente ha resuelto el problema en lugar de darlo por hecho:

1. Publicar manualmente una nueva CRL con certutil -crl y confirmar que el comando se completa sin errores.
2. Compruebe el Visor de eventos para ver si se registró un evento de éxito correspondiente (ID de evento 75, "Los Servicios de certificados publicaron la CRL") poco después.
3. Confirme que no aparezcan nuevas entradas con el ID de evento 74 en el próximo ciclo de publicación programado o manual.
4. Navegue directamente hasta la ubicación de CDP (la ruta LDAP a través de ADSIEdit o la ruta de archivo/HTTP) y confirme que la marca de tiempo del archivo CRL refleje la publicación reciente.
5. Si se han configurado varias ubicaciones de CDP, repita la comprobación para cada una; una solución para un punto de distribución no garantiza que los demás funcionen correctamente.

Reversión: Si un cambio introduce nuevos problemas

Si un cambio de permisos o configuración provoca efectos secundarios inesperados, como interrumpir el acceso de otra aplicación al mismo contenedor de AD, reviértalo deliberadamente en lugar de añadir otra solución encima:

• Restaure las ACL del contenedor CDP/AIA a partir de su copia de seguridad anterior al cambio o de una copia de seguridad del estado del sistema del controlador de dominio, en lugar de intentar adivinar los permisos originales.
• Revierta cualquier cambio en la ruta CDP realizado en la pestaña Extensiones de la consola de la Autoridad de Certificación a la configuración que funcionaba anteriormente y, a continuación, reinicie el servicio de la CA.
• Si un objeto CDP/AIA creado manualmente causó conflictos, elimínelo y vuelva a ejecutar el paso de configuración del directorio CA original en lugar de dejar un objeto parcialmente corregido.
• Vuelva a probar con certutil -crl y confirme que el evento con ID 74 deja de repetirse antes de considerar que la reversión ha finalizado.

Conclusión

Aunque el ID de evento 74 podría no parecer crítico a primera vista, ignorarlo puede socavar discretamente la fiabilidad y confianza de su PKI. Cuando las CRL no se publican correctamente, la comprobación de revocación falla, lo que puede provocar la caída de servicios, interrumpir la autenticación y crear graves puntos ciegos de seguridad.

¿La conclusión clave? Abordarlo pronto. La mayoría de las veces, tiene una solución sencilla: permisos, objetos de AD faltantes o una ruta mal configurada. Pero si no se controla, puede convertirse en algo mucho más difícil (y más complicado) de resolver.

Por eso es tan importante la monitorización proactiva y el mantenimiento regular de su configuración de AD CS. Anticiparse a problemas como este ahorra tiempo, reduce el riesgo y mantiene una sólida estrategia de seguridad.

Y si prefieres no meterte de lleno en los detalles, nuestro servicio de consultoría PKI de Encryption Consulting puede ayudarte con esto. Ya sea para solucionar un problema puntual o para realizar una revisión completa de tu entorno, contar con expertos puede marcar la diferencia. A veces, una breve consulta con alguien que ha visto estos problemas cientos de veces es todo lo que necesitas para volver a la normalidad.

Preguntas frecuentes

¿Cuál es la principal conclusión del evento con ID 74 para los equipos de PKI?

El ID de evento 74 indica que una CA no pudo publicar una CRL base en uno de sus puntos de distribución. Microsoft lo registra como de gravedad "baja", pero si no se resuelve antes de que expire la CRL actual, la validación del certificado y la comprobación de revocación pueden fallar en todos los servicios que confían en esa CA.

¿Por qué es importante el ID de evento 74 para los programas de seguridad PKI empresariales?

La CRL es lo que permite a las partes que confían en un certificado saber que este ha sido revocado. Una CA que no puede publicar una CRL actualizada crea una ventana de oportunidad cada vez mayor donde los certificados comprometidos o revocados aún pueden ser tratados como confiables, lo que socava el propósito mismo de usar una PKI.

¿Cuáles son los riesgos de dejar sin resolver el evento con ID 74?

Una vez que expire el período de validez de la CRL actual sin que se haya vuelto a publicar con éxito, los clientes que aplican la comprobación de revocación pueden empezar a rechazar certificados que, de otro modo, serían válidos, lo que puede interrumpir la autenticación, el acceso VPN y cualquier servicio que dependa de esa CA.

¿Quién debería ser responsable de investigar y resolver el evento con ID 74?

El equipo que administra los Servicios de certificados de Active Directory, ya que la solución generalmente implica permisos de AD en los contenedores CDP/AIA, configuración de CA o conectividad de red entre la CA y los controladores de dominio, todo lo cual recae en el equipo de administración de PKI/AD.

¿Cómo se relaciona la resolución del ID de evento 74 con la gestión del ciclo de vida de los certificados (CLM)?

Una plataforma CLM que realiza comprobaciones de revocación depende de que la CA publique una CRL actualizada. Si el evento con ID 74 no se resuelve, una herramienta CLM podría empezar a informar de fallos falsos en las comprobaciones de revocación o de un estado de certificado obsoleto que no tiene nada que ver con los certificados en sí.

¿Cómo pueden los equipos medir si la solución para el evento con ID 74 realmente funcionó?

Confirme un manual certutil -crl La publicación se realiza correctamente, confirme que aparece el evento de éxito correspondiente (ID de evento 75) y confirme que el archivo CRL en cada punto de distribución configurado muestra una marca de tiempo actualizada, y no solo la ausencia de más entradas con ID de evento 74.

¿Qué se debe supervisar periódicamente para detectar el evento con ID 74 antes de que se convierta en un problema?

Configure alertas para el ID de evento 74 (y su equivalente de éxito, el ID de evento 75) en su SIEM y verifique periódicamente que todas las ubicaciones CDP configuradas, no solo la principal, sean accesibles y estén actualizadas.

¿El ID de evento 74 se comporta de manera diferente en entornos multisitio o multi-CA?

Sí. Un problema de CDP o de red que afecte a los controladores de dominio de un sitio puede no afectar a otro, por lo que los entornos multisitio deben comprobar el éxito de la publicación de la CRL en cada sitio de forma independiente, en lugar de asumir que una solución en una ubicación los abarca a todos.

¿Cuál es el error más común que cometen las organizaciones al solucionar problemas relacionados con el ID de evento 74?

Suponiendo que cada incidente tenga la misma causa raíz, el código de error en el mensaje del evento (permisos, objeto faltante o ausencia total de código, lo que apunta a problemas de red) indica cuál de las tres causas comunes se está presentando, y tratarlas indistintamente supone una pérdida de tiempo en la resolución de problemas.

¿Qué debería incluirse en un plan de reversión antes de cambiar los permisos o la configuración de CDP/AIA?

Una copia de seguridad de las ACL y la configuración de CDP actuales, un registro claro de lo que se cambió exactamente y un paso de validación (un manual). certutil -crl publicar) se ejecuta inmediatamente después del cambio para que cualquier problema nuevo se detecte antes de que se agrave con el problema original.