Nie mogę zainstalować certyfikatu głównego. Automatyczne aktualizowanie bazy certyfikatów Zaufanych głównych urzędów certyfikacji na komputerach z systemem Windows, które nie mają bezpośredniego dostępu do Internetu

Podczas wypełniania dokumentów lub rejestracji organizacji użytkownicy napotykają błąd „Nie można zbudować łańcucha certyfikatów dla zaufanego urzędu głównego”. Jeśli spróbujesz ponownie, błąd pojawi się ponownie. Co zrobić w tej sytuacji, przeczytaj w dalszej części artykułu.

Przyczyny błędów w łańcuchu certyfikatów

Błędy mogą wystąpić z różnych powodów - problemy z Internetem po stronie klienta, blokowanie oprogramowania przez Windows Defender lub inne programy antywirusowe. Do tego brak certyfikatu głównego Urzędu Certyfikacji, problemy w procesie podpisu kryptograficznego i inne.

Naprawa błędu podczas tworzenia łańcucha certyfikatów dla zaufanego urzędu głównego

Przede wszystkim upewnij się, że nie masz problemów z połączeniem internetowym. Błąd może pojawić się w przypadku braku dostępu. Kabel sieciowy musi być podłączony do komputera lub routera.

1. Kliknij przycisk „Start” i wyszukaj „Wiersz poleceń”.
2. Wybierz go prawym przyciskiem myszy i kliknij „Uruchom jako administrator”.
3. Wprowadź następujące polecenie w oknie DOS „ping google.ru”.

Gdy Internet jest podłączony, powinieneś zobaczyć dane o wysłanych pakietach, prędkości transmisji i inne informacje. Jeśli nie ma Internetu, zobaczysz, że pakiety nie dotarły do ​​miejsca przeznaczenia.

Sprawdźmy teraz obecność certyfikatu głównego urzędu certyfikacji. Aby to zrobić:

Jeśli nie ma certyfikatu, musisz go pobrać. W większości przypadków znajduje się on w certyfikatach głównych i użytkownik musi jedynie go zainstalować. Warto również pamiętać, że najlepiej jest korzystać z przeglądarki Internet Explorer, aby w trakcie pracy zdarzało się mniej błędów i awarii. Spróbuj znaleźć urząd certyfikacji w certyfikatach głównych, wystarczy kliknąć przycisk „Zainstaluj”, ponownie uruchomić przeglądarkę, a problem z błędem „Nie można zbudować łańcucha certyfikatów dla zaufanego urzędu głównego” zostanie rozwiązany .”

Sprawdzanie certyfikatu głównego urzędu certyfikacji w przeglądarce

Test można wykonać w przeglądarce.

1. Z menu wybierz „Serwis”.
2. Następnie kliknij wiersz „Opcje internetowe”.
3. Kliknij kartę Spis treści.
4. Tutaj musisz wybrać „Certyfikaty”.
5. Następna zakładka to „Zaufane urzędy certyfikacji”. Powinien znajdować się tutaj certyfikat główny urzędu certyfikacji, zwykle znajduje się on na dole listy.

Teraz spróbuj ponownie wykonać kroki, które spowodowały błąd. Aby uzyskać certyfikat główny, należy skontaktować się z odpowiednim centrum, w którym otrzymano UPC ES.

Inne sposoby naprawienia błędu łańcucha certyfikatów

Przyjrzyjmy się, jak poprawnie pobrać, zainstalować i używać CryptoPro. Aby upewnić się, że program nie jest zainstalowany na Twoim komputerze (jeśli na komputerze jest kilku użytkowników), musisz otworzyć menu Start. Następnie wybierz „Programy” i poszukaj na liście „CryptoPro”. Jeśli nie istnieje, zainstalujemy go. Możesz pobrać program z linku https://www.cryptopro.ru/downloads. Tutaj potrzebujesz „CryptoPro CSP” - wybierz wersję.

W kolejnym oknie powinien pojawić się komunikat dotyczący rejestracji wstępnej.

Instalacja CryptoPro

Po pobraniu pliku instalacyjnego należy go uruchomić, aby zainstalować go na komputerze. System wyświetli ostrzeżenie, że program prosi o pozwolenie na zmianę plików na komputerze, zezwól mu na to.

Przed zainstalowaniem programu na komputerze należy wyodrębnić wszystkie tokeny. Przeglądarka musi być skonfigurowana do działania, z wyjątkiem przeglądarki Opera, w niej zostały już dokonane wszystkie ustawienia domyślne. Jedyne, co pozostaje użytkownikowi, to aktywować specjalną wtyczkę do pracy. Podczas tego procesu zobaczysz odpowiednie okno, w którym Opera oferuje aktywację tej wtyczki.

Po uruchomieniu programu konieczne będzie wprowadzenie klucza w oknie.

Program do uruchomienia znajdziesz w następującej ścieżce: „Start”, „Wszystkie programy”, „CryptoPro”, „CryptoPro CSP”. W oknie, które zostanie otwarte, kliknij przycisk „Wprowadź licencję” i w ostatniej kolumnie wprowadź klucz. Gotowy. Teraz należy odpowiednio skonfigurować program, aby odpowiadał Twoim potrzebom. W niektórych przypadkach do podpisu elektronicznego wykorzystywane są dodatkowe narzędzia - CryptoPro Office Signature i CryptoAKM. Możesz naprawić błąd – nie ma możliwości zbudowania łańcucha certyfikatów dla zaufanego centrum głównego – po prostu ponownie instalując CryptoPro. Spróbuj tego, jeśli inne wskazówki nie pomogą.

Czy błąd nadal się pojawia? Wyślij prośbę do działu wsparcia, w którym musisz opublikować zrzuty ekranu swoich kolejnych działań i szczegółowo wyjaśnić swoją sytuację.

Instalowanie certyfikatów z podpisem własnym jest bardzo częstym zadaniem administratora systemu. Zwykle robi się to ręcznie, ale co w przypadku, gdy jest ich dziesiątki? I co zrobić w przypadku ponownej instalacji systemu lub zakupu nowego komputera, ponieważ certyfikatów może być więcej niż jeden. Pisać ściągawki? Po co, skoro istnieje znacznie prostszy i wygodniejszy sposób - zasady grupowe ActiveDirectory. Po skonfigurowaniu polityki nie musisz się już martwić, czy użytkownicy posiadają niezbędne certyfikaty.

Dzisiaj przyjrzymy się dystrybucji certyfikatów na przykładzie certyfikatu głównego Zimbra, który wyeksportowaliśmy do . Nasze zadanie będzie następujące - automatyczna dystrybucja certyfikatu na wszystkie komputery wchodzące w skład jednostki (OU) - Biuro. Pozwoli to uniknąć instalowania certyfikatu tam, gdzie nie jest on potrzebny: na północy, na stanowiskach magazynowych, kasowych itp.

Otwórzmy przystawkę i utwórzmy nową politykę w kontenerze Obiekty zasad grupy, w tym celu kliknij kontener prawym przyciskiem myszy i wybierz Tworzyć. Polityka umożliwia instalację jednego lub kilku certyfikatów jednocześnie. To, co zrobimy, zależy od Ciebie, jednak my wolimy tworzyć własną politykę dla każdego certyfikatu, dzięki temu możemy bardziej elastycznie zmieniać zasady ich wykorzystania. Polisie warto też nadać jasną nazwę, aby otwierając konsolę pół roku później nie trzeba było boleśnie pamiętać do czego ona służy.

Następnie przeciągnij politykę do kontenera Biuro, co umożliwi zastosowanie go w tym urządzeniu.

Teraz kliknij prawym przyciskiem myszy politykę i wybierz Zmiana. W otwartym Edytorze zasad grupy rozwijamy się sekwencyjnie Konfiguracja komputera - Konfiguracja Windowsa - Ustawienia zabezpieczeń - Polityki kluczy publicznych- . W prawej części okna, w menu prawym przyciskiem myszy wybierz Import i zaimportuj certyfikat.

Polityka została utworzona, czas sprawdzić, czy jest prawidłowo stosowana. W mgnieniu oka Zarządzanie zasadami grupy wybierzmy Symulacja zasad grupy i uruchom go prawym przyciskiem myszy Kreator symulacji.

Większość ustawień można pozostawić jako domyślną, jedyne co musisz określić to użytkownik i komputer dla którego chcesz sprawdzić politykę.

Po przeprowadzeniu symulacji możemy sprawdzić, czy profil został pomyślnie zastosowany na określonym komputerze, w przeciwnym razie rozwiń element Odrzucone obiekty i sprawdź, dlaczego dana polityka nie miała zastosowania do danego użytkownika lub komputera.

Następnie sprawdzimy działanie polityki na komputerze klienckim; w tym celu zaktualizujemy polityki ręcznie za pomocą polecenia:

Aktualizacja Gp

Otwórzmy teraz magazyn certyfikatów. Najłatwiej to zrobić poprzez Internet Explorera: Opcje internetowe -Treść -Certyfikaty. W kontenerze musi znajdować się nasz certyfikat Zaufane główne urzędy certyfikacji.

Jak widać wszystko działa i administrator ma o jeden ból głowy mniej, certyfikat zostanie automatycznie rozesłany na wszystkie komputery umieszczone w oddziale Biuro. W razie potrzeby możesz ustawić bardziej złożone warunki stosowania polityki, ale wykracza to poza zakres tego artykułu.

Aby zainstalować certyfikaty należy podłączyć pendrive z podpisem elektronicznym, otworzyć go i zainstalować certyfikaty

1. Zainstaluj certyfikat głównego urzędu certyfikacji w zaufanych urzędach głównych, w tym celu musisz:

1.1. Kliknij dwukrotnie certyfikat głównego urzędu certyfikacji - plik „Head Certification Authority.cer”.

1.2. W formularzu, który się otworzy, kliknij przycisk „Zainstaluj certyfikat…”.

1.3. Wybierz opcję „Umieść wszystkie certyfikaty w następnym sklepie” (zaznacz pole przed napisem) i kliknij przycisk „Przeglądaj”.


1.4. Na liście, która się otworzy, wybierz „Zaufane główne urzędy certyfikacji” i kliknij „OK”.

2. Zainstaluj certyfikat osobisty

Instalacja certyfikatu osobistego odbywa się za pomocą programu CryptoPro CSP
2.1. Należy uruchomić program CryptoPro CSP (przycisk Start -> CryptoPro CSP lub przycisk Start -> Wszystkie programy -> CRYPTO-PRO -> CryptoPro CSP).

2.2. W oknie, które zostanie otwarte, wybierz zakładkę „Usługa” i kliknij przycisk „Zainstaluj certyfikat osobisty...”.

2.3. W oknie, które zostanie otwarte, kliknij przycisk „Przeglądaj”, wybierz certyfikat organizacji na dysku flash - drugi plik z rozszerzeniem „cer” (nie plik certyfikatu CA (w przykładzie - „adicom.cer” )) i kliknij „Dalej”.




2.4. W formularzu, który się otworzy, kliknij „Dalej”


2.5. W formularzu, który się otworzy, zaznacz pole wyboru „Znajdź kontener automatycznie”. W rezultacie „Nazwa kontenera kluczy” zostanie wypełniona i kliknij „Dalej”


2.6. W formularzu, który się otworzy, kliknij „Dalej”


2.7. W formularzu, który się otworzy, kliknij „Zakończ”


Na komputerze lokalnym użytkownika instalowane jest wszystko, co niezbędne do wygenerowania podpisu elektronicznego – można podpisywać drukowane formularze.

3. Zainstaluj w przeglądarce rozszerzenie (dodatek) CryptoPro Extension for Cades Browser Plug-in

Aby zainstalować rozszerzenie przeglądarki (dodatek) CryptoPro Extension for Cades Browser Plugin, otwórz sklep z rozszerzeniami w swojej przeglądarce i wyszukaj rozszerzenia za pomocą słowa Cades / For Yandex.Browser link -

Na początek warto zwrócić uwagę, że w profilach grupowych stosowanych do komputerów nie powinien być włączony parametr blokujący działanie mechanizmu automatycznej aktualizacji. To jest parametr Wyłącz automatyczną aktualizację certyfikatów głównych w sekcji Konfiguracja komputera > Szablony administracyjne > System > Zarządzanie komunikacją internetową > Ustawienia komunikacji internetowej. Będziemy potrzebować tego parametru Wyłączony lub po prostu Nie skonfigurowano.

Jeśli spojrzysz na magazyn certyfikatów TrustedRootCA w sekcji Komputer lokalny, to na systemach, które nie mają bezpośredniego dostępu do Internetu, zestaw certyfikatów będzie, powiedzmy, niewielki:

Plik ten jest wygodny w użyciu np. gdy trzeba wybrać tylko określony zestaw z całego podzbioru dostępnych certyfikatów i wgrać je do osobnego pliku SST w celu dalszego wczytania, np. korzystając z lokalnej konsoli zarządzania certyfikatami lub korzystając z Konsola zarządzania zasadami grupy (do importowania do niektórych zasad domeny za pomocą parametru Konfiguracja komputera > Zasady > Ustawienia Windowsa > Ustawienia zabezpieczeń > Zasady kluczy publicznych > Zaufane główne urzędy certyfikacji).

Jednak dla interesującego nas sposobu dystrybucji certyfikatów głównych, modyfikując działanie mechanizmu autoaktualizacji na komputerach klientów końcowych, będziemy potrzebować nieco innej reprezentacji zestawu aktualnych certyfikatów głównych. Można go uzyskać za pomocą tego samego narzędzia Certutil, ale z innym zestawem kluczy.

W naszym przykładzie udostępniony folder sieciowy na serwerze plików będzie używany jako lokalne źródło dystrybucji. I tutaj warto zwrócić uwagę na fakt, że przygotowując taki folder należy ograniczyć możliwość zapisu, tak aby nie zdarzyło się, że ktoś będzie mógł modyfikować zestaw certyfikatów głównych, które następnie zostaną „rozsiane” po wielu komputery.