证书注册过程中出现错误0x800706ba

尝试在 Windows Server 上注册证书时，证书失败并出现错误0x800706ba“RPC 服务器不可用”。本文介绍解决此问题的步骤。

适用于： 支持的 Windows Server 版本 原始 KB 编号： 4042719、4516764、5021150

遇到此问题时，可能会看到以下一个或多个症状。

注意

发生此问题时，如果将用于请求证书的用户帐户添加到证书颁发机构 (CA) 上的本地管理员组，则注册基于用户的模板会成功。 但是，针对基于计算机的模板进行注册仍返回相同的错误。

在证书注册期间收到类似于以下内容的错误消息。

注册证书时出错。 无法向证书颁发机构提交证书请求。 URL： \MyPKI 错误：RPC 服务器不可用。 0x800706ba (WIN32：1322 RPC_S_SERVER_UNAVAILABLE)

网络跟踪显示对 Active Directory 中的配置分区的成功轻型目录访问协议 (LDAP) 查询;跟踪中显示了可用的模板。

然后，请求服务器尝试对 CA 执行远程过程调用 (RPC) ，并获取响应“ACCESS DENIED”。

例如：

此外，还可以找到 MICROSOFT 远程过程调用 (MSRPC) 绑定尝试和错误：

在网络跟踪中，你发现以下错误：

状态：MSRPC：c/o 错误：Call=0x3 Context=0x1 Status=0x5 (访问被拒绝)

例如：

如果启用了审核，则可以在 CA 服务器上观察到分布式组件对象模型 (DCOM) 错误，详细说明 了匿名登录 尝试：

注意

如果自动注册失败并出现相同的错误，则会在应用程序日志中记录事件 ID 82。

由于以下原因之一，可能会出现此问题：

这些组策略位于 “计算机配置\Windows 设置\安全设置\本地策略\用户权限分配”中。

注意

可以运行 whoami /groups 来标识用户帐户的组，或使用 Active Directory 用户和计算机 来标识属于该用户或计算机帐户的组。

由于用于证书注册的用户帐户使用 Kerberos 的身份验证失败，因此身份验证机制降级为“匿名登录”。登录在 DCOM 级别失败。

在证书服务器上打开提升的命令提示符。

运行 gpresult /h 命令。 例如，gpresult /h appliedgpo.html。

打开生成的 .html 文件，并查看部分： 设置 \ 策略 \ Windows 设置 \ 本地策略 \ 用户权限分配

记下 “获奖 GPO 名称”。

若要解决此问题，请编辑 获胜 GPO。

注意

组策略 对象 (GPO) 配置设置是出于原因，因此，在进行任何更改之前，应与安全团队联系。

将相应的用户组添加到 “从网络访问此计算机” 组策略。 例如：

然后，从 “拒绝从网络访问此计算机 ”组策略中删除用户帐户或计算机帐户所属的组。

有关详细信息，请参阅 从网络访问此计算机 - 安全策略设置。

下面是默认权限：

若要解决此问题，请在证书服务器上打开 “本地用户和组 ”，找到 “用户组” ，然后添加缺少的组。

若要解决此问题，请按照下列步骤操作：

若要解决此问题，请按照下列步骤操作：

若要确定问题，请验证 GPO 是否已应用于证书服务器。 请按照下列步骤操作：

在证书服务器上打开提升的命令提示符。

运行 gpresult /h 命令。 例如，gpresult /h appliedgpo.html。

打开 .html 文件，并标识已将 “未经身份验证 RPC 客户端的限制” 组策略配置为“ 未配置”的获胜 GPO。

组策略位于 “管理模板”\“系统”\“远程过程调用”\“对未经身份验证的 RPC 客户端的限制”。

在服务器上安装 Active Directory 证书服务角色时，会自动向本地 证书服务 DCOM 访问 组授予对组件服务管理工具的权限。 如果删除了这些默认权限，可能会遇到本文中所述的症状。 若要验证是否具有正确的权限，请执行以下步骤：

有关详细信息，请参阅 对未经身份验证的 RPC 客户端的限制：在脸上打入域的组策略。