Gebeurtenis-ID 74 in AD CS – Gedecodeerd

Introductie

In een Microsoft PKI- omgeving duidt gebeurtenis-ID 74 van de bron Microsoft-Windows-CertificationAuthority op een probleem dat niet genegeerd mag worden. Deze gebeurtenis geeft aan dat de certificeringsinstantie (CA) er niet in is geslaagd een basiscertificaatintrekkingslijst (CRL) te publiceren naar een van haar distributiepunten, meestal een Active Directory-locatie of een netwerkshare.

Dit is niet zomaar een routinematige logboekinvoer; het is in feite uw CA die zegt: "Ik heb geprobeerd de laatste lijst met ingetrokken certificaten te delen, maar dat is niet gelukt." En dat is een ernstig waarschuwingssignaal voor elke organisatie die afhankelijk is van certificaatgebaseerde authenticatie en encryptie.

Wat is gebeurtenis-ID 74 in AD CS? Gebeurtenis-ID 74, vastgelegd door Microsoft-Windows-CertificationAuthority, treedt op wanneer een Windows-certificeringsinstantie er niet in slaagt een basiscertificaatintrekkingslijst (CRL) te publiceren naar een geconfigureerd distributiepunt, zoals een Active Directory-locatie of netwerkshare. Indien dit niet wordt opgelost, kan dit ertoe leiden dat certificaatvalidatie en controle op intrekking mislukken zodra de huidige CRL verloopt.

Samenvatting

Dit artikel legt uit wat gebeurtenis-ID 74 in Active Directory Certificate Services veroorzaakt, waarom de standaard ernstclassificatie 'Laag' van Microsoft het werkelijke operationele risico onderschat, de drie meest voorkomende oorzaken (problemen met machtigingen, ontbrekende directoryobjecten en problemen met de netwerkverbinding) en een stapsgewijs oplossingsplan voor elk ervan, inclusief hoe u kunt controleren of de oplossing werkt en hoe u een wijziging ongedaan kunt maken die nieuwe problemen introduceert.

Voorwaarden

Voordat u problemen met gebeurtenis-ID 74 gaat oplossen, controleer of u het volgende hebt:

• Administratieve toegang tot de CA-server (lokale beheerder of gedelegeerde CA-beheerdersrechten).
• Toegang tot Logboekweergave via Logboeken Toepassingen en Services > Microsoft > Windows > CertificateServices-CA > Operationeel.
• Toegang tot Active Directory-sites en -services en ADSIEdit (of dsacls.exe/PowerShell) om de CDP/AIA-containers te inspecteren.
• Netwerkdiagnosetools beschikbaar op de CA-server: ping, nslookup, Test-ComputerSecureChannel, Test-NetConnectionen PortQry.
• Kennis van de geconfigureerde CRL Distribution Point (CDP)-paden van uw CA, die zichtbaar zijn op het tabblad Extensies in de console van de certificeringsinstantie.
• Maak een recente back-up van de CA-database en de CDP/extensieconfiguratie voordat u wijzigingen aanbrengt in machtigingen of configuratie.

Waarom is CRL-publicatie cruciaal?

De certificaatintrekkingslijst (CRL) is een hoeksteen van de Public Key Infrastructure (PKI) . Deze lijst vertelt systemen welke certificaten niet langer te vertrouwen zijn, bijvoorbeeld vanwege een beveiligingslek, een verlopen certificaat of handmatige intrekking . Zonder een actuele CRL kunnen clients onbewust een ingetrokken certificaat vertrouwen, wat kan leiden tot beveiligingsrisico's zoals man-in-the-middle-aanvallen of ongeautoriseerde toegang.

Wanneer de CA geen CRL publiceert, met name een basis-CRL, kan dit aanzienlijke problemen veroorzaken. Klanten kunnen alle certificaten die door die CA zijn uitgegeven, gaan weigeren zodra de huidige CRL verloopt. Dit kan de beveiligde communicatie verstoren, authenticatieprocessen stopzetten en downtime veroorzaken voor services die afhankelijk zijn van de CA.

Kortom, het publiceren van CRL's is niet zomaar een achtergrondtaak; het is een essentieel onderdeel van het behouden van vertrouwen en uptime in elke PKI-omgeving.

De context van gebeurtenis-ID 74 begrijpen

Wat veroorzaakt gebeurtenis-ID 74?

Gebeurtenis-ID 74 verschijnt doorgaans wanneer Active Directory Certificate Services (AD CS) er niet in slaagt een basis-CRL te publiceren naar een van de geconfigureerde locaties. Deze locaties worden gedefinieerd in de CRL-distributiepunten (CDP) van de certificeringsinstantie en kunnen LDAP- paden, HTTP-URL's of lokale/netwerkbestandspaden omvatten .

Wanneer de CA de CRL probeert bij te werken en er iets misgaat (bijvoorbeeld een probleem met de machtigingen, een ontbrekend Active Directory-object of een netwerkprobleem), registreert deze gebeurtenis-ID 74 met een gedetailleerd bericht. De gebeurtenis bevat meestal:

• De CA-sleutelidentificatie (in essentie welke CA probeerde te publiceren),
• De doel-URL of locatie waar de CRL gepubliceerd zou moeten worden,
• Een foutcode (zoals 0x80072098 voor onvoldoende toegang of 0x8007208d voor object niet gevonden),
• En soms de naam van de hostserver die het probleem ondervond.

Ook al lijkt het op het eerste gezicht gewoon een logboekgebeurtenis, de gegevens die het bevat, zijn van cruciaal belang om te bepalen wat er precies misging tijdens het publicatieproces.

Ernst van het probleem

Interessant genoeg classificeert Microsoft gebeurtenis-ID 74 in hun officiële PKI-richtlijnen als een probleem met de ernst "Laag". Hoewel dat op korte termijn technisch gezien waar kan zijn, vooral als andere CRL-publicatiepunten nog steeds werken, kan deze aanduiding enigszins misleidend zijn.

In de praktijk kan het consequent mislukken van het publiceren van CRL's en het ontbreken van een geldige CRL bij het verlopen van de huidige, leiden tot ernstige verstoringen van de dienstverlening. Clients die afhankelijk zijn van certificaatvalidatie kunnen stoppen met werken. Applicaties die controles op intrekking vereisen, kunnen geldige certificaten gaan weigeren simpelweg omdat ze de status ervan niet kunnen verifiëren.

Dus ja, de ernst kan nu laag zijn nu de gebeurtenis is geregistreerd, maar als het onopgelost blijft, kan het uitgroeien tot een beschikbaarheidsprobleem met grote impact. Dit geldt met name in omgevingen met strikte intrekkingscontrole of korte CRL-geldigheidsperiodes.

Veelvoorkomende oorzaken van gebeurtenis-ID 74

toestemming Issues

Een van de meest voorkomende oorzaken van gebeurtenis-ID 74 is een eenvoudig maar cruciaal probleem met machtigingen. Dit komt doordat de certificeringsinstantie niet over de benodigde rechten beschikt om de CRL te publiceren in Active Directory.

Wanneer dit gebeurt, ziet u doorgaans de foutcode: 0x80072098 – ERROR_DS_INSUFF_ACCESS_RIGHTS

Dit betekent dat de CA heeft geprobeerd een object in Active Directory te schrijven (meestal onder de CDP- of AIA-containers), maar de toegang is geweigerd. Dit gebeurt vaak als:

• Het CA-serveraccount heeft geen schrijfmachtigingen voor het doeldirectoryobject.
• De benodigde beveiligings-ACL's zijn tijdens de installatie niet geconfigureerd of per ongeluk verwijderd.
• Wijzigingen in AD-replicatie of beleid hebben invloed op de overname van machtigingen.

Het controleren en instellen van de juiste machtigingen voor de CDP- en AIA- containers in Active Directory is vaak al voldoende om dit probleem op te lossen.

Ontbrekende directoryobjecten

Een andere veelvoorkomende oorzaak is dat het Active Directory-object waarnaar de CA probeert te schrijven niet bestaat, wat leidt tot foutcode 0x 8007208D – ERROR_DS_OBJ_NOT_FOUND.

Dit kan gebeuren als:

• De CDP/AIA-containers of onderliggende objecten zijn nooit gemaakt.
• Het verwachte LDAP-pad is onjuist of verouderd.
• Iets in uw omgeving, zoals een mislukte migratie of AD-opschoning, heeft deze objecten verwijderd.

In deze gevallen probeert de CA feitelijk te publiceren naar een bestemming die niet meer bestaat of die in eerste instantie nooit goed is ingesteld.

Netwerkverbindingsproblemen

Soms ligt het probleem niet bij AD of machtigingen, maar bij het netwerk. Als de CA een domeincontroller niet kan bereiken of de domeincontroller niet op tijd kan reageren, mislukt de CRL-publicatie.

Dit komt vooral vaak voor bij:

• Omgevingen met meerdere locaties en trage WAN-verbindingen.
• Verkeerd geconfigureerde DNS.
• Of domeincontrollers die overbelast of down zijn.

Zelfs tijdelijke netwerkproblemen kunnen ervoor zorgen dat deze gebeurtenis zich af en toe voordoet. Het is dus de moeite waard om de connectiviteit en naamomzetting te controleren als de andere oorzaken zich niet voordoen.

Veelvoorkomende foutcodes voor gebeurtenis-ID 74

De foutcode in de berichttekst van gebeurtenis-ID 74 is meestal de snelste manier om te achterhalen met welke oorzaak het probleem te maken heeft:

Error Code	Betekenis	Typische oplossing
0x80072098 (FOUT_DS_ONVOLDOENDE_TOEGANGSRECHTEN)	De CA heeft geen schrijfrechten op de doel-CDP/AIA-container in Active Directory.	Verleen het computeraccount van de CA schrijfrechten voor de container via AD Sites and Services of dsacls.exe.
0x8007208D (FOUT_DS_OBJECT_NIET_GEVONDEN)	Het CDP/AIA-object waarnaar de CA probeert te schrijven, bestaat niet in Active Directory.	Gebruik adsiedit.msc om het verwachte publicatiepunt te lokaliseren of opnieuw aan te maken onder CN=Public Key Services.
Geen foutcode / time-out	Dit duidt meestal op een probleem met de netwerkverbinding, niet met AD-machtigingen of ontbrekende objecten.	Controleer de bereikbaarheid van de domeincontroller, de DNS-resolutie en de toegang tot de firewall/RPC-poorten.

Onderzoek naar gebeurtenis-ID 74

Gebeurtenislogboeken bekijken

De eerste stap bij het oplossen van gebeurtenis-ID 74 is om direct naar de Logboeken op uw CA-server te gaan. U vindt het logboek onder: Toepassings- en servicelogboeken > Microsoft > Windows > CertificateServices-CA > Operationeel.

Zoek naar vermeldingen met gebeurtenis-ID 74. Bekijk het bericht aandachtig zodra u er een vindt. Het moet belangrijke details bevatten, zoals:

• Het distributiepunt (bijv. LDAP of bestandspad)
• De CA-sleutelidentificatie (om te bevestigen welke CA-instantie de gebeurtenis heeft geregistreerd)
• De foutcode en eventueel een begeleidende tekstbeschrijving
• De gastheer die bij de operatie betrokken was

Met deze informatie kunt u vaststellen of het probleem te maken heeft met machtigingen, ontbrekende objecten of netwerkproblemen.

Belangrijke parameters om te controleren

Let bij het terugkijken van het evenement vooral op het volgende:

• URL of pad: Verwijst het naar de juiste locatie in Active Directory of naar de juiste bestandsshare?
• Foutcode: Zoek de exacte foutcode op. Codes zoals 0x80072098 (rechten) en 0x8007208d (object niet gevonden) zijn veelzeggend.
• Serverhostnaam: Handig als u problemen oplost in een CA-hiërarchie met meerdere servers.

Zelfs als u gebeurtenis-ID 74 al eens eerder bent tegengekomen, ga er dan niet van uit dat het elke keer dezelfde oorzaak is. De parameters kunnen verschillen, afhankelijk van het distributiepunt of wat er in de omgeving is gewijzigd.

Inzicht in gerelateerde fouten

Soms verschijnt gebeurtenis-ID 74 samen met andere waarschuwingen of fouten, zoals een mislukte publicatie van de Authority Information Access (AIA) of delta CRL's . Deze kunnen extra context of aanwijzingen bieden.

Als er meerdere publicatiefouten tegelijk optreden, kan dit duiden op een groter probleem, zoals een verbroken verbinding met Active Directory of een verkeerde configuratie van machtigingen in meerdere containers.

Tip: controleer ook de logboeken van Directory Services en DNS Client als u vermoedt dat er problemen zijn met de domeincontroller of naamomzetting.

Gebeurtenis-ID 74 oplossen

Nu u weet wat gebeurtenis-ID 74 heeft veroorzaakt en waar u moet zoeken, gaan we het hebben over hoe u dit kunt oplossen. Afhankelijk van de oorzaak kunnen de stappen variëren, maar dit zijn de meest voorkomende en effectieve oplossingen:

Stap 1: Machtigingen verifiëren

Als de foutcode 0x80072098 (onvoldoende toegang) is, beschikt uw CA waarschijnlijk niet over de vereiste machtigingen in Active Directory.

Hier is hoe het te repareren:

• Open Active Directory Sites en Services (schakel 'Show Services Node' in als deze verborgen is)
• Navigeren naar: Diensten > Openbare sleuteldiensten > CDP en AIA containers.
• Klik met de rechtermuisknop op de container > Eigenschappen > Beveiliging Tab.
• Zorg ervoor dat het computeraccount van de CA (of de groep waartoe het account behoort) schrijfrechten heeft voor de betreffende container.

Gebruik indien nodig dsacls.exe of PowerShell om machtigingen op een meer gedetailleerd niveau te controleren/instellen.

Stap 2: Directory-objecten valideren

Als u 0x8007208d (object niet gevonden) ziet , probeert de CA een object te publiceren dat niet bestaat.

Om dit op te lossen:

• Gebruik adsiedit.msc om door de containers CN=CDP en CN=AIA onder CN=Public Key Services te bladeren.
• Kijk naar de verwachte publicatiepunten.
• Als deze ontbreken, moet u ze mogelijk handmatig aanmaken of de CA opnieuw configureren om geldige, bestaande paden te gebruiken.

Wees extra voorzichtig als u een CA herstelt of ernaar migreert; objecten zijn mogelijk niet goed opnieuw gemaakt of opnieuw gekoppeld.

Stap 3: Netwerkconnectiviteit controleren

Als alles in de CA en in Active Directory correct lijkt, controleer dan of er netwerkproblemen zijn:

• Voer ping, nslookup of Test-ComputerSecureChannel uit om te controleren of de CA contact kan maken met de domeincontroller.
• Gebruik hulpmiddelen zoals PortQry of Test-NetConnection om te controleren of de RPC- en LDAP-poorten open zijn.
• Controleer de tijdsynchronisatie (Kerberos-problemen kunnen soms vreemde bijwerkingen hebben)

Trage links of een verkeerde DNS-configuratie kunnen de publicatie van CRL's stilletjes verstoren, zonder dat er duidelijke fouten optreden. Sla de basisbeginselen dus niet over.

Stap 4: Configuratie controleren

Open de console van de certificeringsinstantie, klik met de rechtermuisknop op de certificeringsinstantie en selecteer Eigenschappen.

• Controleer op het tabblad Extensies de CRL-distributiepunten (CDP).
• Zorg ervoor dat de paden geldig en bereikbaar zijn en niet verwijzen naar verouderde of onjuiste containers.
• Als u onlangs servers hebt hernoemd of AD hebt geherstructureerd, zijn deze paden mogelijk verouderd.

Vergeet niet om na het aanbrengen van wijzigingen het volgende te doen:

• Start de CA-service opnieuw.
• Publiceer handmatig een nieuwe CRL met certutil -crl
• Controleer of het op de juiste locatie staat.

Stap 5: De oplossing valideren

Controleer na het toepassen van een oplossing of het probleem daadwerkelijk is opgelost, in plaats van er zomaar vanuit te gaan:

1. Publiceer handmatig een nieuwe CRL met certutil -crl en bevestig dat de opdracht zonder fouten is voltooid.
2. Controleer in de Logboeken of er kort daarna een bijbehorende succesgebeurtenis (gebeurtenis-ID 75, "Certificate Services heeft de CRL gepubliceerd") is geregistreerd.
3. Controleer of er geen nieuwe Event ID 74-items verschijnen in de volgende geplande of handmatige publicatiecyclus.
4. Navigeer rechtstreeks naar de CDP-locatie (het LDAP-pad via ADSIEdit of het bestands-/HTTP-pad) en controleer of de tijdstempel van het CRL-bestand de meest recente publicatie weergeeft.
5. Als er meerdere CDP-locaties zijn geconfigureerd, herhaal dan de controle voor elke locatie; een oplossing voor één distributiepunt biedt geen garantie dat de andere ook goed functioneren.

Terugdraaien: Als een wijziging nieuwe problemen veroorzaakt

Als een wijziging in machtigingen of configuratie onverwachte neveneffecten veroorzaakt, zoals het verbreken van de toegang van een andere applicatie tot dezelfde AD-container, draai deze dan bewust terug in plaats van er een extra oplossing bovenop te implementeren:

• Herstel de ACL's van de CDP/AIA-container vanuit uw back-up van vóór de wijziging of een back-up van de systeemstatus van de domeincontroller, in plaats van te gokken naar de oorspronkelijke machtigingen.
• Zet alle wijzigingen in het CDP-pad die u in het tabblad Extensies van de console van de certificeringsinstantie hebt aangebracht terug naar de eerder werkende configuratie en start vervolgens de CA-service opnieuw.
• Als een handmatig aangemaakt CDP/AIA-object conflicten heeft veroorzaakt, verwijder het dan en voer de oorspronkelijke configuratiestap voor de CA-directory opnieuw uit in plaats van een gedeeltelijk gecorrigeerd object te laten staan.
• Herhaal de test met certutil -crl en bevestig dat gebeurtenis-ID 74 niet langer terugkeert voordat u de terugdraaiing als voltooid beschouwt.

Conclusie

Hoewel gebeurtenis-ID 74 op het eerste gezicht misschien niet meteen "kritiek" lijkt, kan het negeren ervan de betrouwbaarheid van uw PKI stilletjes ondermijnen. Wanneer CRL's niet correct worden gepubliceerd, mislukt de intrekkingscontrole – en dat kan services platleggen, authenticatie verstoren en ernstige blinde vlekken in de beveiliging creëren.

De belangrijkste les? Pak het vroeg aan. Meestal is het een eenvoudige oplossing: rechten, ontbrekende AD-objecten of een verkeerd geconfigureerd pad. Maar als je het niet aanpakt, kan het escaleren tot iets dat veel moeilijker (en pijnlijker) te ontwarren is.

Daarom zijn proactieve monitoring en regelmatig onderhoud van uw AD CS-configuratie zo belangrijk. Door dergelijke problemen voor te blijven, bespaart u tijd, vermindert u risico's en houdt u uw beveiliging op peil.

En mocht u liever niet zelf diep in de details duiken, dan kan onze PKI-consultancy van Encryption Consulting u hierbij helpen. Of het nu gaat om het oplossen van een enkel probleem of een volledige controle van uw omgeving, de hulp van experts kan een wereld van verschil maken. Soms is een kort gesprek met iemand die deze problemen al honderd keer heeft gezien al voldoende om u weer op weg te helpen.

Veelgestelde Vragen / FAQ

Wat is de belangrijkste les die PKI-teams kunnen trekken uit evenement ID 74?

Gebeurtenis-ID 74 betekent dat een certificeringsinstantie (CA) er niet in is geslaagd een basis-CRL naar een van haar distributiepunten te publiceren. Microsoft registreert dit als een gebeurtenis met een lage ernstgraad, maar als het probleem niet is opgelost voordat de huidige CRL verloopt, kunnen certificaatvalidatie en intrekkingscontroles mislukken voor alle services die die CA vertrouwen.

Waarom is gebeurtenis-ID 74 belangrijk voor PKI-beveiligingsprogramma's binnen bedrijven?

De CRL (Certificate Revocation List) laat vertrouwende partijen weten dat een certificaat is ingetrokken. Een certificeringsinstantie die geen actuele CRL kan publiceren, creëert een steeds groter wordende periode waarin gecompromitteerde of ingetrokken certificaten nog steeds als vertrouwd kunnen worden beschouwd, wat het hele nut van een PKI (Public Key Infrastructure) ondermijnt.

Wat zijn de risico's als gebeurtenis-ID 74 onopgelost blijft?

Zodra de geldigheidsperiode van de huidige CRL is verlopen zonder dat deze succesvol opnieuw is gepubliceerd, kunnen clients die controle op intrekking uitvoeren, anders geldige certificaten gaan weigeren. Dit kan leiden tot problemen met authenticatie, VPN-toegang en alle diensten die afhankelijk zijn van die CA.

Wie moet verantwoordelijk zijn voor het onderzoeken en oplossen van gebeurtenis-ID 74?

Het team dat Active Directory Certificate Services beheert, is hiervoor verantwoordelijk, aangezien de oplossing meestal betrekking heeft op AD-machtigingen op de CDP/AIA-containers, CA-configuratie of netwerkconnectiviteit tussen de CA en domeincontrollers. Al deze taken vallen onder het PKI/AD-beheerteam.

Hoe is het oplossen van gebeurtenis-ID 74 gekoppeld aan certificaatlevenscyclusbeheer (CLM)?

Een CLM-platform dat intrekkingscontroles uitvoert, is afhankelijk van de CA die een actuele CRL publiceert. Als gebeurtenis-ID 74 niet wordt opgelost, kan een CLM-tool valse meldingen van mislukte intrekkingscontroles of een verouderde certificaatstatus gaan rapporteren, terwijl dit niets met de certificaten zelf te maken heeft.

Hoe kunnen teams meten of een oplossing voor gebeurtenis-ID 74 daadwerkelijk heeft gewerkt?

Bevestig een handleiding certutil -crl Als de publicatie is geslaagd, bevestig dan dat de bijbehorende succesgebeurtenis (gebeurtenis-ID 75) verschijnt en bevestig dat het CRL-bestand op elk geconfigureerd distributiepunt een bijgewerkte tijdstempel bevat, en niet alleen de afwezigheid van verdere gebeurtenissen met gebeurtenis-ID 74.

Wat moet er regelmatig in de gaten gehouden worden om gebeurtenis-ID 74 te detecteren voordat het een probleem wordt?

Stel waarschuwingen in voor gebeurtenis-ID 74 (en de bijbehorende succesgebeurtenis-ID 75) in uw SIEM-systeem en controleer periodiek of alle geconfigureerde CDP-locaties, niet alleen de primaire, bereikbaar en actueel zijn.

Gedraagt ​​gebeurtenis-ID 74 zich anders in omgevingen met meerdere locaties of meerdere CA's?

Ja. Een CDP- of netwerkprobleem dat de domeincontrollers van één locatie treft, hoeft geen invloed te hebben op een andere locatie. Daarom is het in omgevingen met meerdere locaties raadzaam om het succes van de CRL-publicatie op elke locatie afzonderlijk te controleren, in plaats van ervan uit te gaan dat een oplossing op één locatie ook op alle locaties werkt.

Wat is de meest voorkomende fout die organisaties maken bij het oplossen van problemen met gebeurtenis-ID 74?

Ervan uitgaande dat elke gebeurtenis dezelfde oorzaak heeft. De foutcode in het gebeurtenisbericht (toegangsrechten versus ontbrekend object versus geen duidelijke code, wat wijst op netwerkproblemen) vertelt je met welke van de drie veelvoorkomende oorzaken je daadwerkelijk te maken hebt. Het door elkaar gebruiken van deze oorzaken kost onnodig veel tijd bij het oplossen van problemen.

Wat moet er deel uitmaken van een terugdraaiplan voordat de CDP/AIA-machtigingen of -configuratie worden gewijzigd?

Een back-up van de huidige ACL's en CDP-configuratie, een duidelijke registratie van wat er precies is gewijzigd, en een validatiestap (een handmatige controle). certutil -crl (publiceren) voer de opdracht direct na de wijziging uit, zodat eventuele nieuwe problemen worden opgespoord voordat ze zich verergeren met het oorspronkelijke probleem.