Åtgärda NDES-konfigurationsfelet: ERROR_PATH_NOT_FOUND (0x80070003) på Windows Server 2025

Att få ett CMSCEPSetup::Install-fel med felkoden 0x80070003 under NDES-installationen är ett av de mest frustrerande felen i Active Directory Certificate Services. Den här guiden förklarar exakt varför det händer och hur du åtgärdar det, steg för steg.

Publicerad: april 2026 | Uppdaterad: augusti 2026

Key Takeaways

• CMSCEPSetup::Install error 0x80070003 (ERROR_PATH_NOT_FOUND) means the NDES installer could not find a file system path or registry key it expected. It signals a broken or residual system state, not a corrupted installer.
• On Windows Server 2025, removing the IIS role often leaves the inetpub folder and the InetStp/W3SVC registry keys behind. Reinstalling IIS on top of that residual state is the most common trigger for this error.
• The fix: fully remove IIS, restart the server, delete the inetpub folder, clear stale MSCEP registry keys, verify the NDES service account and certificate template permissions, then reinstall IIS and rerun the AD CS Configuration Wizard.
• Not every environment needs all eight steps. Use the decision table below to identify which ones actually apply to your situation.

Why Getting NDES and AD CS Configuration Right Matters

A stalled NDES install is more than an afternoon of lost time. It sits inside a broader pattern of PKI operational risk that recent industry research quantifies directly:

• Organizations run an average of nine different PKI and CA solutions across internal private PKI, self-signed certificates, and cloud-based services, according to Keyfactor’s State of Machine Identity Management report (April 6, 2023) — the kind of sprawl that makes a single broken AD CS role service like NDES easy to lose track of.
• 72 % av organisationerna upplevde minst ett certifikatrelaterat avbrott under det senaste året., per CyberArk’s Rapport om maskinidentitetssäkerhetens tillstånd 2025, which surveyed 1,200 security leaders across six countries.
• Individual certificate-related outages can cost organizations 500,000 5 dollar till över XNUMX miljon dollar depending on industry and scale, according to Sectigo research cited in a Security Boulevard analysis published July 17, 2025.

NDES sits at exactly the point where these numbers get worse: it is the bridge that lets network devices and MDM-managed endpoints request certificates automatically, so a failed or misconfigured NDES role doesn’t just block one install — it blocks every device enrollment that depends on it.

Vad är NDES och varför misslyckas det?

Network Device Enrollment Service (NDES) är en rolltjänst inom Active Directory Certificate Services (AD CS) som gör det möjligt för nätverksenheter, såsom routrar, brandväggar och mobila enheter, att automatiskt hämta digitala certifikat . NDES implementerar Simple Certificate Enrollment Protocol (SCEP) , en allmänt använd standard som används av MDM-plattformar (Mobile Device Management) som Microsoft Intune, Cisco ISE och andra för att automatisera certifikatregistrering för enheter som inte är domänanslutna, vilket gör det möjligt för dem att säkert begära och ta emot certifikat från en certifikatutfärdare (CA).

NDES fungerar som en brygga mellan dessa icke-domänenheter och CA:n, vilket säkerställer att de kan autentisera och kommunicera säkert inom organisationen.

Eftersom NDES fungerar i skärningspunkten mellan IIS, Active Directory och certifikatutfärdaren är dess installation mycket känslig för konfigurationsordning, behörigheter för tjänstkonton och befintligt systemtillstånd. Även en mindre felkonfiguration i någon av dessa komponenter kan orsaka att installationsprocessen misslyckas, vilket ofta resulterar i kryptiska fel som 0x80070003 (ERROR_PATH_NOT_FOUND).

Förstå fel 0x80070003 (ERROR_PATH_NOT_FOUND)

Det fullständiga felmeddelandet som du ser i AD CS-konfigurationsguiden är:

CMSCEPSetup::Install: Systemet kan inte hitta den angivna sökvägen.

0x80070003 (WIN32: 3 ERROR_PATH_NOT_FOUND)

Win32-felkoden 0x80070003 översätts direkt till ERROR_PATH_NOT_FOUND – vilket betyder att installationsprogrammet försökte komma åt en filsystemsökväg eller registerplats som helt enkelt inte finns på maskinen.

Komponenten som felar är CMSCEPSetup, SCEP-installationsmodulen som ansvarar för att konfigurera virtuella IIS-kataloger, registrera CA-anslutningen och skriva nödvändiga registerposter. När den inte hittar den förväntade sökvägen avbryts hela NDES-installationen.

Grundorsaker till CMSCEPSetup::Install-felet

1. IIS är inte installerat eller felkonfigurerat

NDES är starkt beroende av IIS. I synnerhet på Windows Server 2025 , även efter att IIS-rollen tagits bort, kan inetpub- mappen och tillhörande registernycklar finnas kvar i ett trasigt tillstånd. Om IIS sedan läggs till igen ovanpå detta kvarvarande tillstånd, misslyckas CMSCEPSetup med att hitta förväntade sökvägar.

2. Felaktig eller oåtkomlig CA-sökväg

Om CA-namnet är felstavat, CA-servern är offline eller den valda CA-typen är inkompatibel, kan installationsprogrammet inte matcha de nödvändiga sökvägarna för RA-certifikat.

3. Överblivna registernycklar från en tidigare misslyckad installation

Inaktuella MSCEP-registernycklar från tidigare misslyckade installationer orsakar konflikter när installationsprogrammet försöker skriva nya värden.

4. Problem med behörighet för NDES-tjänstkonto

Tjänstkontot måste vara en lokal administratör, ha behörighet att "Logga in som en tjänst" och ha läs- och registreringsbehörighet för certifikatmallarna för CEP- kryptering och Exchange-registreringsagent.

5. Saknade certifikatmallar

NDES kräver att mallarna för CEP-kryptering och Exchange-registreringsagent (offlineförfrågan) publiceras på certifikatutfärdaren. Om de saknas kan installationsprogrammet inte hitta de nödvändiga registreringsvägarna.

Which Scenario Applies to You? A Decision Table Before You Start

Not every environment needs the full eight-step sequence below. Use this table to identify which steps actually apply to your situation before you start.

Steg-för-steg-guide för reparation

Stegen nedan ger en ren metod för att ta bort de skadade komponenterna och korrekt återuppbygga NDES-konfigurationen.

Steg 1: Ta bort IIS helt

Börja med att helt ta bort webbserverrollen (IIS) från servern.

1. Öppna Serverhanteraren och gå till Hantera och ta bort roller och funktioner.
   
   
2. Guiden Ta bort roller och funktioner öppnas. Klicka på Nästa på Innan du börjar skärm.
   
   
3. På sidan Serverval, se till att rätt server är vald och klicka sedan på Nästa.
4. På sidan Serverroller:
5. Lokalisera Webbserver (IIS).
6. Avmarkera rutan bredvid Webbserver (IIS).
   
   
7. När du uppmanas, klicka på Ta bort funktioner för att ta bort alla beroende IIS-komponenter.
   Klicka Nästa genom de återstående sidorna (Funktioner, Bekräftelse).
   
   
8. På bekräftelsesidan:
9. (Valfritt) Kontrollera Starta om destinationsservern automatiskt vid behov.
   
   
10. Klicka ta bort.

• Vänta tills borttagningsprocessen är klar.
• Starta inte om programmet omedelbart när du är klar (enligt din rensningssekvens).
• Fortsätt till nästa steg (registerkontroll och rensning av Inetpub).

Obs! Du kan också ta bort IIS med PowerShell:

Ta bort-WindowsFeature-Namn Webbserver-IncludeManagementTools

Starta inte om servern än. IIS-innehållsmappen kommer att tas bort i nästa steg.

Steg 2: Kontrollera IIS-sökvägen i registret

Innan du startar om datorn, öppna Registereditorn (regedit) och granska IIS-installationssökvägen för att bekräfta vilken mapp som används.

Navigera till:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\InetStp

Kontrollera värdet för PathWWWRoot . I de flesta fall pekar det på:

C:\inetpub\wwwroot

Granska även den här nyckeln för kvarvarande IIS-tjänsttillstånd:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC

Om InetStp- eller W3SVC- nycklarna fortfarande finns kvar efter att IIS har tagits bort, betyder det vanligtvis att IIS inte rensades ordentligt. Detta kvarvarande tillstånd är ofta orsaken till att NDES-installationen misslyckas.

Steg 3: Starta om servern och ta bort inetpub-mappen

Starta nu om servern. Denna omstart är nödvändig eftersom Windows Server 2025 kan fortsätta att hålla fillås på IIS-mappar även efter att IIS-rollen har tagits bort.

När servern är online igen, radera hela inetpub- mappen från C-enheten.

PowerShell-kommando:

Ta bort-objekt -Sökväg "C:\inetpub" -Rekurs -Tvinga

Varför krävs omstart?

På Windows Server 2025 släpps filreferenser relaterade till IIS inte alltid helt omedelbart efter att rollen har tagits bort. Om du försöker ta bort inetpub- mappen innan du startar om kan du få felmeddelanden som " filen används" eller "åtkomst nekad".

Steg 4: Ta bort alla tidigare NDES-installationer och rensa MSCEP-registret

Om NDES tidigare installerades eller delvis konfigurerades, ta bort rolltjänsten och radera de inaktuella MSCEP-registerdata. Följ stegen nedan för att ta bort den gamla MSCEP-registernyckeln:

• Öppna registret
• Gå till sökvägen - HKLM:\SOFTWARE\Microsoft\Cryptography\MSCEP
• Ta bort MSCEP-nyckeln, om den finns

Step 5: Verify the NDES Service Account Permissions

Innan du kör NDES-konfigurationen igen, se till att tjänstkontot är korrekt konfigurerat på den lokala servern, IIS och certifikatutfärdaren.

5.1 Verifiera lokal administratörsåtkomst

1. Logga in på NDES-server.
2. Öppet Datorhantering eller tryck Win + R → typ compmgmt.msc.
3. Navigera till: Lokala användare och grupper > Grupper.
4. Öppna Administratörer grupp.
5. Klicka Lägg till och verifiera att NDES-tjänstkontot finns med i listan.
6. Om det inte finns, lägg till: DOMÄN\NDES_Tjänstkonto.

5.2 Verifiera medlemskap i IIS_IUSRS-gruppen

1. NDES är beroende av IIS, så kontot måste ha åtkomst till IIS-arbetsprocesser.
2. Öppet Datorhantering.
3. Navigera till: Lokala användare och grupper > Grupper.
4. Öppet IIS_IUSRS.
5. Se till att NDES-tjänstkontot är medlem.
6. Om inte, klicka på Lägg till och lägg till servicekontot.

5.3 Verifiera behörigheter för certifikatmallen

1. Öppet Certifieringsutfärdare (certsrv.msc) på CA-servern.
2. Högerklicka Certifikatmallar → hantera.
3. För varje obligatorisk mall (t.ex. CEP-kryptering, Exchange-registreringsagent (offlineförfrågan)), verifiera behörigheter.
4. Så här kontrollerar du behörigheter:
   • Högerklicka på mallen → Våra Bostäder.
   • Gå till Säkerhet fliken.
   • Se till att NDES-tjänstkontot har:
     • ✔ Läs
     • ✔ Registrera dig
5. Om det saknas, klicka Lägg till.
6. Lägg till servicekontot.
7. Grant Läsa och Skriva in behörigheter.

5.4 [Valfritt] Verifiera rätten att "Logga in som en tjänst"

1. Klicka Win + R → typ secpol.msc.
2. Navigera till:
3. Lokala policyer > Tilldelning av användarrättigheter.
4. Öppet Logga in som en tjänst.
5. Se till att NDES-tjänstkontot finns med i listan.
6. Om det saknas, klicka Lägg till användare eller grupp.
7. Lägg till servicekontot.
8. Ansök och spara.

Steg 6: Publicera obligatoriska certifikatmallar på certifikatutfärdaren

1. På den utfärdande CA:n, öppna certifikatutfärdare konsol.
2. Gå till: Certifikatmallar > Ny > Certifikatmall att utfärda.
3. Publicera följande mallar:
   • CEP-kryptering
   • Exchange-registreringsagent (offlineförfrågan)
4. Dessa mallar krävs för att NDES ska kunna slutföra konfigurationen.

Step 7: Reinstall IIS with the Required NDES Features

1. När IIS har tagits bort och rensats, installera om det med alla funktioner som krävs av NDES.
2. Öppet Serverhanterare > Lägg till roller och funktioneroch installera sedan NDES tillsammans med Webbserver (IIS) och se till att följande komponenter ingår:
   • ASP.NET 4.x
   • Windows-autentisering
   • IIS 6-hanteringskompatibilitet
   • Obligatoriska funktioner för applikationsutveckling

Step 8: Run the NDES Configuration Wizard

När IIS-rensningen har slutförts, all inaktuell NDES-konfiguration har tagits bort, tjänstkontot har verifierats och de nödvändiga certifikatmallarna har publicerats, är nästa steg att köra NDES-konfigurationsguiden igen.

I det här steget återansluter du NDES-rollen till certifikatutfärdaren och definierar det tjänstkonto och de kryptografiska inställningar som NDES ska använda.

1. Logga in på NDES-server med ett konto som har de nödvändiga administratörsbehörigheterna.
2. Öppet server manager.
3. I det övre högra hörnet klickar du på gul aviseringsflagga.
4. Från aviseringsmenyn väljer du Konfigurera Active Directory-certifikattjänster på målservernDetta kommer att starta Konfigurationsguiden för Active Directory-certifikattjänster.
5. På referenser sidan, bekräfta att det visade kontot har tillräckliga behörigheter för att utföra konfigurationen.
6. Kontot som används bör vanligtvis vara ett Domänadministratör eller ett annat konto med nödvändiga rättigheter för att konfigurera AD CS-rolltjänster.
7. Klicka Nästa.
8. På Rolltjänster sida, välj Registreringstjänst för nätverksenheterSe till att endast den avsedda rolltjänsten är markerad.
9. Klicka Nästa.
10. När du uppmanas att göra det, ange det servicekonto som NDES ska köras under i formatet: DOMÄN\tjänstkonto.
11. Ange och bekräfta lösenordet för det här kontot.
12. Dubbelkolla att användarnamnet är korrekt stavat och tillhör den avsedda domänen.
13. Klicka Nästa.
14. På CA för NDES sida, klicka Välja och välj rätt utfärdande certifikatutfärdare från listan. Verifiera anslutningsinformationen om du uppmanas till det.
15. Klicka OK, Klicka sedan Nästa.
16. Verifiera kryptografiska inställningar:
    • Det rätta kryptografisk leverantör väljs.
    • Ocuco-landskapet nyckellängd uppfyller din organisations säkerhetskrav och bästa praxis i branschen.
17. Om du använder en HSM-stödd leverantör, se till att HSM-programvaran och leverantören är installerade och fungerar korrekt.
18. Granska alla konfigurationsval på Bekräftelse sida.
19. Se till att alla uppgifter är korrekta innan du klickar Inställd.
20. När konfigurationen är klar visar guiden en Resultat sida.

Hur verifierar man en lyckad NDES-installation?

• Öppna en webbläsare på NDES-server och navigera till http://localhost/certsrv/mscep/mscep.dllDu borde se en Svarssida för SCEP-funktioner.
• In IIS-hanteraren, bekräfta CertSrv ansökan och mscep virtuell katalog finns under Standardwebbplats.
• Öppet Tjänster (services.msc) och bekräfta Registreringstjänst för nätverksenheter körs.
• In Loggboken, kolla efter Händelse-ID 6 från källan MSCEP, vilket bekräftar lyckad uppstart.
• Bekräfta C:\inetpub\wwwroot återskapades korrekt av IIS under den nya installationen.

Hur kan krypteringskonsulting hjälpa till?

Encryption Consulting har omfattande erfarenhet av att leverera kompletta PKI- lösningar för företag och myndigheter. Vi erbjuder både professionella tjänster och vår automatiseringsplattform ( CertSecure Manager ) för att säkerställa att er PKI är säker, robust och framtidsklar.

1. PKI-tjänster

Heltäckande rådgivnings-, design- och implementeringstjänster som hjälper organisationer att bygga, modernisera och styra säkra miljöer med offentlig nyckelinfrastruktur.

2. Projektering

Vi utvärderar er kryptografiska miljö, granskar PKI-konfigurationer, beroenden och krav, och sammanställer resultaten i en strukturerad, kundgodkänd projektplan.

3. CP/CPS-utveckling

I nästa fas kommer vi att utveckla en certifikatpolicy (CP) och en certifieringspraxis (CPS) i linje med RFC#3647. Dessa dokument är anpassade till din organisations regelverk, säkerhetskrav och operativa krav.

4. PKI-design och implementering

Vi designar och driftsätter robusta PKI-infrastrukturer, inklusive offline-root- CA :er , utfärdande CA:er, NDES-servrar, HSM- integration etc., beroende på kundens behov. Leveranserna inkluderar PKI-designdokument, byggguider, ceremoniskript och systemkonfigurationer. När driftsättningen är klar genomför vi grundliga tester, validering, finjusteringar och kunskapsöverföringssessioner för att stärka ditt team.

5. Kontinuitet i verksamheten och katastrofåterställning

Efter driftsättningen utvecklar och implementerar vi strategier för affärskontinuitet och katastrofåterställning, genomför redundantester och dokumenterar operativa arbetsflöden för hela PKI- och HSM-infrastrukturen, med stöd av en omfattande PKI-driftsguide.

6. Löpande support och underhåll

Efter implementeringen erbjuder vi ett prenumerationsbaserat årligt supportpaket som ger omfattande täckning för PKI-, CLM- och HSM-komponenter. Detta inkluderar incidenthantering, felsökning, systemoptimering, hantering av certifikatlivscykeln, CP/CPS-uppdateringar, nyckelarkivering, uppgraderingar av HSM-firmware, granskningsloggning och patchhantering.

Denna metod säkerställer att din PKI-infrastruktur inte bara är säker och kompatibel, utan också skalbar, robust och helt i linje med dina långsiktiga operativa och regulatoriska mål.

CertSecure-hanterare

CertSecure Manager från Encryption Consulting är en lösning för hantering av certifikatlivscykeln som förenklar och automatiserar hela livscykeln, så att du kan fokusera på säkerhet snarare än förnyelser.

Automatisering för kortlivade certifikat: Med ACME- och 90-dagars/47-dagars TLS-certifikat som blir standard är manuell förnyelse inte längre ett praktiskt alternativ. CertSecure Manager automatiserar registrering, förnyelse och driftsättning för att säkerställa att certifikat aldrig går ut obemärkt.

Sömlös DevOps- och molnintegration: Certifikat kan tillhandahållas direkt till webbservrar och molninstanser, och de integreras med moderna loggverktyg som Datadog, Splunk, ITSM-verktyg som ServiceNow och DevOps-verktyg som Terraform och Ansible.

Stöd för flera CA:er: Många organisationer använder flera CA:er (interna Microsoft CA, publika CA:er som DigiCert och GlobalSign, etc.). CertSecure Manager integreras mellan dessa källor och ger en enda plattform för utfärdande och livscykelhantering.

Enhetliga utfärdande- och förnyelsepolicyer: CertSecure Manager tillämpar din organisations nyckelstorlekar, algoritmer och förnyelseregler konsekvent över alla certifikat, inte bara automatiserar förnyelser med flera certifikatutfärdare, utan säkerställer också att varje certifikat uppfyller dina säkerhetsstandarder varje gång.

Proaktiv övervakning och förnyelsetestning: Kontinuerlig övervakning, i kombination med simulerad förnyelse-/utgångstestning, säkerställer att du identifierar risker innan certifikat påverkar produktionssystemen.

Centraliserad synlighet och efterlevnad: En konsoliderad instrumentpanel visar alla certifikat, nyckellängder, starka och svaga algoritmer samt deras utgångsdatum. Granskningsspår och policytillämpning förenklar efterlevnaden av PCI DSS , HIPAA och andra ramverk.

Om du fortfarande undrar var och hur du ska börja säkra din PKI, finns Encryption Consulting här för att stödja dig med sina PKI-supporttjänster . Du kan räkna med oss ​​som din betrodda partner, och vi kommer att vägleda dig genom varje steg med tydlighet, förtroende och praktisk expertis.

Beyond the Fix: Building Crypto-Agility Into Your AD CS Environment

Fixing a stalled NDES install gets device enrollment working again today, but it’s also a natural checkpoint to look at where your broader AD CS environment stands. Microsoft’s May 2026 security update (KB5087539) brought ML-DSA post-quantum signature support to AD CS on Windows Server 2025 — the same server role this guide covers. Our analysis of what ML-DSA support really means for your Microsoft PKI walks through what was delivered, what’s still coming, and how to plan a migration against real regulatory deadlines.

That transition goes smoother when it’s built on two foundations: a documented cryptographic inventory and a phased migration plan. Our guide on building a cryptographic inventory (CBOM) covers how to discover and catalog every algorithm and key length in use, including the templates and certificates NDES issues, while the Guide för migrering av kvantkryptografi efter kvantkryptering (9 faser) lays out the sequence for moving from quantum-vulnerable algorithms like RSA to quantum-resistant ones such as ML-KEM and ML-DSA without breaking the PKI you just finished repairing.

Vanliga frågor om partihandel med mat och dryck

What does ERROR_PATH_NOT_FOUND (0x80070003) mean during NDES setup?

It means the CMSCEPSetup module, which configures IIS virtual directories and registers the CA connection during NDES setup, tried to access a file system path or registry location that doesn’t exist on the machine, and aborted the installation as a result. It is a symptom of a broken or residual system state, not a corrupted installer.

Why does this NDES error happen specifically on Windows Server 2025?

On Windows Server 2025, removing the IIS role does not always fully clean up the inetpub folder and related registry keys (InetStp, W3SVC). If IIS is reinstalled on top of that residual state, CMSCEPSetup can’t locate the paths it expects and NDES configuration fails with 0x80070003.

Do I need to delete the inetpub folder to fix this error?

If you’re recovering from a failed install on Windows Server 2025, yes — deleting the inetpub folder after a restart (Step 3) is usually necessary to clear the residual IIS state that triggers 0x80070003. If this is a genuinely first-time install with no prior IIS or NDES history, this step is not needed; see the decision table above.

What certificate templates does NDES require to complete setup?

NDES requires the CEP Encryption and Exchange Enrollment Agent (Offline request) templates to be published on the issuing CA, with the NDES service account granted Read and Enroll permissions on both. If either template is missing or the permissions aren’t set, the installer fails to locate the required enrollment paths.

Can this NDES configuration failure be avoided entirely?

Largely, yes. Fully removing IIS and confirming the InetStp and W3SVC registry keys are gone before reinstalling, rather than reinstalling IIS on top of a partially removed prior install, avoids the residual state that causes most 0x80070003 failures on Windows Server 2025.

Slutsats

På Windows Server 2025 orsakas felet CMSCEPSetup::Install: ERROR_PATH_NOT_FOUND (0x80070003) oftast av ett kvarvarande IIS-tillstånd som kvarstår efter att rollen har tagits bort. Åtgärden kräver att IIS tas bort helt, att servern startas om, att inetpub-mappen tas bort och att överblivna IIS-registernycklar rensas innan du installerar om IIS och kör NDES-guiden igen.

I tidigare versioner av Windows Server beror problemet vanligtvis på saknade IIS-funktioner, felaktig konfiguration av certifikatutfärdare, inaktuella MSCEP-registernycklar eller behörigheter för servicekonton. Gå igenom stegen i ordning och använd Loggboken för att lokalisera eventuella återstående saknade sökvägar.