Die Berechtigungen dieser Zertifikatvorlage lassen nicht zu, dass der aktuelle Benutzer sich für diesen Zertifikattyp einschreibt

Aktiviert man daraufhin die Checkbox Alle Vorlagen anzeigen, dann sieht man sie zwar, aber ihr Status lautet auf Nicht verfügbar und er wird ergänzt durch die Meldung

Die Berechtigungen dieser Zertifikatvorlage lassen nicht zu, dass der aktuelle Benutzer sich für diesen Zertifikattyp einschreibt.

Fordert man das Server-Zertifikat aus certmgr.msc an, dann findet sich dort der Hinweis:

Die angegebene Funktion wurde für die Anwendung nicht konfiguriert. Dieser Typ von Zertifikat kann nur für einen Computer herausgegeben werden.

Berechtigung für Computer vergeben

Diese Fehlermeldung enthält bereits den Hinweis auf die Ursache und die Lösung des Problems. Die fehlende Berechtigung bezieht sich nicht auf den Benutzer, der certlm.msc ausführt, sondern auf den Computer, von dem aus das Zertifikat angefordert wird.

Entsprechend muss man diesem Rechner die notwendige Berechtigung auf das Template einräumen. Dazu startet man certtmpl.msc und öffnet die Eigenschaften der betreffenden Vorlage. Dort wechselt man zum Reiter Sicherheit und klickt auf Hinzufügen.

Falls man nur einen einzelnen Computer in die Liste aufnehmen möchte, dann klickt man im nächsten Dialog auf die Schaltfläche Objekttypen und aktiviert dort das Kästchen für Computer.

Anschließend kehrt man zum vorherigen Dialog zurück und gibt im entsprechenden Feld den Namen des Computer-Objekts ein.

In der Regel wird man hier aber eine Gruppe angeben, welche die Computer enthält, die berechtigt werden sollen.

Sobald der oder die Computer in der Liste auf der Registerkarte Sicherheit erscheinen, markiert man sie und räumt ihnen neben dem Recht für Lesen noch das für Registrieren ein.

Nach dem Abschluss dieses Vorgangs sollte der Computer die nötigen Rechte besitzen, so dass bei der nächsten CSR die Webserver-Vorlage mit dem Status Verfügbar in der Liste auftaucht.

Zusammenfassung

Möchte man ein Server-Zertifikat von einer AD-Zertifizierungsstelle anfordern, dann kann die Vorlage den Status Nicht verfügbar aufweisen, ergänzt um den Hinweis auf fehlende Berechtigungen.

Diese betreffen aber nicht den Benutzer, sondern den Computer, von dem aus die Anfrage erfolgt. Diesem muss man daher in certtmpl.msc die nötigen Rechte auf die Vorlage einräumen.