Ошибка «Не найдены шаблоны сертификатов. Вы не имеете прав запрашивать сертификат на этом ЦС‚ или произошла ошибка доступа к Active Directory» — одна из самых распространённых проблем при работе со службами сертификации Active Directory (AD CS). В этой статье разберём‚ почему она возникает и как её устранить.
Что означает эта ошибка
При запросе сертификата (через оснастку certlm.msc / certmgr.msc‚ веб-регистрацию или автоматическую регистрацию) клиент обращается к центру сертификации (ЦС) и запрашивает список доступных шаблонов. Если список пуст или нужный шаблон отсутствует‚ система выдаёт сообщение о том‚ что шаблоны не найдены.
Основные причины возникновения
Шаблон не опубликован на центре сертификации
Самая частая причина — шаблон существует в Active Directory‚ но не добавлен в список выдаваемых на конкретном ЦС.
Решение:
- Откройте оснастку «Центр сертификации» (certsrv.msc) на сервере ЦС.
- Перейдите в раздел «Шаблоны сертификатов».
- Если нужного шаблона нет — щёлкните правой кнопкой мыши → Создать → Выдаваемый шаблон сертификата и выберите нужный шаблон.
Отсутствуют права на шаблон
У пользователя или компьютера‚ запрашивающего сертификат‚ должны быть разрешения «Чтение» и «Регистрация» (Enroll) на шаблон.
Решение:
- Откройте оснастку «Шаблоны сертификатов» (certtmpl.msc).
- Найдите нужный шаблон (например‚ «Пользователь со смарт-картой»)‚ нажмите правой кнопкой → Свойства.
- На вкладке «Безопасность» добавьте нужную учётную запись или группу и предоставьте права Чтение и Регистрация.
- Для веб-сервера — дайте компьютерной учётной записи сервера права на чтение и регистрацию‚ затем с этого сервера запустите certlm.msc (Локальный компьютер) и запросите сертификат.
Проблемы доступа к Active Directory
Клиент не может получить список шаблонов из-за ошибок репликации AD‚ проблем с DNS или недоступности контроллера домена.
Решение:
- Проверьте разрешение имён: nslookup имя_домена.
- Проверьте репликацию: repadmin /replsum.
- Убедитесь‚ что компьютер корректно присоединён к домену.
Несовместимость версий шаблона и ЦС
Шаблоны‚ созданные для Windows Server 2016 и новее‚ могут быть недоступны на старых серверах CEP (Certificate Enrollment Policy) или клиентах.
Решение: в свойствах шаблона на вкладке «Совместимость» установите подходящие версии ЦС и получателя сертификата (например‚ Windows Server 2012 R2 / Windows 8.1). После изменений подождите около 30 минут‚ пока сервер CEP получит обновлённые сведения о шаблоне.
Срок действия сертификата ЦС короче периода продления шаблона
Если сертификат самого центра сертификации истекает раньше‚ чем срок действия‚ заданный в шаблоне‚ запрос не обрабатывается.
Решение: продлите сертификат ЦС либо уменьшите срок действия в настройках шаблона.
Проблемы с пулом приложений веб-регистрации
При использовании веб-регистрации (страницы certsrv) шаблоны могут пропадать из-за некорректного пула приложений IIS.
Решение: создайте новый пул приложений‚ назначьте его сайту веб-регистрации и перезапустите приложение — шаблоны снова заработают.
Специфика ФСС и криптопровайдеров
При работе с порталом ФСС ошибка «Не найдены шаблоны сертификатов» часто возникает из-за того‚ что слетели корневые сертификаты. Проверьте наличие сертификата и закрытого ключа‚ переустановите корневые сертификаты удостоверяющего центра и криптопровайдер (КриптоПро CSP‚ ViPNet и т.п.).
Как правильно создать запрос на сертификат
- Откройте certlm.msc (для компьютера) или certmgr.msc (для пользователя).
- Перейдите в Личное → Сертификаты‚ правой кнопкой → Все задачи → Запросить новый сертификат.
- Выберите политику регистрации и нужный шаблон.
- При необходимости нажмите «Дополнительно» и укажите:
- Длину ключа — чем длиннее ключ‚ тем он надёжнее (рекомендуется 2048 бит и выше);
- флаг «Пометить ключи как экспортируемые» — если планируется экспорт сертификата вместе с закрытым ключом;
- версию средства электронной подписи — если выбран шаблон квалифицированной электронной подписи.
- Завершите мастер и дождитесь выдачи сертификата.
Полезные команды для диагностики
- certutil -CATemplates — вывести все шаблоны‚ опубликованные на ЦС;
- certutil -pulse — принудительно обновить политику регистрации;
- gpupdate /force — обновить групповые политики (при автоматической регистрации);
- certutil -config ⏤ -ping — проверить доступность ЦС.
В большинстве случаев ошибка «Шаблон не найден» решается тремя шагами: публикацией шаблона на ЦС‚ выдачей прав на чтение и регистрацию нужным учётным записям и проверкой доступности Active Directory. Если проблема возникает на веб-регистрации — проверьте пул приложений IIS‚ а при работе с ФСС — целостность корневых сертификатов и закрытого ключа.