Beheben Sie HTTP-Fehler vom Connector für SCEP

LimitExceededException

Das Ausstellungslimit der Zertifizierungsstelle wurde überschritten.

Die dem Connector zugeordnete private Zertifizierungsstelle (CA) hat ihr Kontingent für die Anzahl der Zertifikate, die sie ausstellen kann, überschritten.

Ein SCEP-Connector kann während seiner gesamten Lebensdauer nur mit einer privaten CA verbunden werden. Wenn Sie die Grenzen Ihrer privaten CA ausgeschöpft haben, erstellen Sie entweder einen neuen Connector oder fordern Sie eine Kontingenterhöhung an. Weitere Informationen zu Kontingenten für private CA finden Sie unter AWS Private Certificate Authority Kontingente.

Nein

ValidationException

Die Anfrage muss base64 enthalten.

Der Connector für SCEP kann die HTTP GET-Anfrage nicht verarbeiten, da der Text kein gültiges Base64-Format hat.

Wenn möglich, konfigurieren Sie Ihre Clients so, dass sie HTTP-POST-Nachrichten anstelle von HTTP-GET-Nachrichten verwenden. Wenn Sie HTTP GET verwenden müssen, müssen die Nachrichten das Base64-Format verwenden. Wenn Ihre Kunden diese Anforderungen nicht erfüllen, wenden Sie sich an uns, AWS Support um Unterstützung zu erhalten.

Nein

ValidationException

Die Zertifizierungsstelle ist nicht aktiv.

Die dem Connector zugeordnete private CA ist inaktiv.

Reaktivieren Sie die private CA. Weitere Informationen finden Sie unter Aktualisieren Sie eine private CA in AWS Private Certificate Authority.

Nein

ValidationException

Die Gültigkeit des Zertifikats der Zertifizierungsstelle muss ab heute mindestens ein Jahr betragen.

Die private Zertifizierungsstelle, die dem Allzweckconnector zugeordnet ist, muss ab heute eine Gültigkeitsdauer von einem Jahr haben.

Stellen Sie das Zertifikat mit einer Gültigkeitsdauer von mehr als einem Jahr ab heute erneut aus. Hinweise zur Verwaltung von Zertifikaten finden Sie unterVerwalten Sie den privaten CA-Lebenszyklus.

Nein

ValidationException

Das in der Anfrage enthaltene Zertifikat ist abgelaufen.

Das temporäre Zertifikat, das vom Client-Gerät bei jeder Transaktion generiert wurde, war beim Empfang durch den Dienst abgelaufen.

Es ist sehr wahrscheinlich, dass die Zeiteinstellungen Ihrer Client-Geräte nicht richtig konfiguriert sind und dass sie Zertifikate erstellen, deren Datum hinter der Echtzeit liegt. Wenn Sie dieses Problem nicht lösen können, wenden Sie sich an uns, um AWS Support Unterstützung zu erhalten.

Nein

ValidationException

Die Anfrage enthält eine ungültige kryptografische Nachrichtensyntax.

Der Dienst konnte die SCEP-Anforderungsnachricht nicht dekodieren.

Überprüfen Sie, ob Ihre SCEP-Nachrichten der in SCEP RFC 8894 definierten kryptografischen Nachrichtensyntax entsprechen. https://www.rfc-editor.org/rfc/rfc8894.html Wenn Sie dieses Problem nicht lösen können, wenden Sie sich an uns, um Unterstützung zu erhalten. AWS Support

Nein

ValidationException

Der Connector ist nicht aktiv.

Der Status des Connectors ist nicht aktiv.

Den Status eines Connectors finden Sie in der Konsole oder im Feld Status in der API. Der Status eines Connectors kann „Erstellt“, „Aktiv“, „Löschen“ oder „Fehlgeschlagen“ lauten. Wenn der Status „Wird erstellt“ lautet, versuchen Sie es später mit Ihrer Anfrage. Wenn der Status „Fehlgeschlagen“ lautet, sehen Sie sich den Grund für den Status an, um das Problem zu beheben, und erstellen Sie dann einen neuen Connector.

Nein

ValidationException

In der Anfrage muss ein gültiges Zertifikat enthalten sein.

Das in der Anforderungsnachricht des Clients enthaltene transiente Zertifikat fehlte oder war ungültig.

SCEP-compatible Clients müssen ein selbstsigniertes Zertifikat bereitstellen, um sich zu authentifizieren. Wenn Ihr Kunde das erforderliche selbstsignierte Zertifikat nicht bereitstellen kann, wenden Sie sich an uns AWS Support, um Unterstützung zu erhalten.

Nein

ValidationException

Die Anforderungs-URI ist ungültig.

Der Connector für SCEP kann die Anfrage nicht analysieren, da der URI-Pfad oder die Abfrage der Anfrage ungültig sind.

Administratoren sollten die Konfigurationseinstellungen der Client-Geräte überprüfen, die in der Regel über ein MDM-System (Mobile Device Management) verwaltet werden. Weitere Informationen finden Sie unter Schritt 2: Kopieren Sie die Connector-Details in Ihr MDM-System.

Nein

ValidationException

In der Anfrage ist genau ein Host-Header erforderlich.

Der Client hat in der Anfrage keinen gültigen HTTP-Host-Header angegeben, der für die Verarbeitung der Anfrage erforderlich ist.

Der HTTP-Host-Header ist erforderlich, um Anfragen zu unterscheiden, die an verschiedene Connectoren gesendet werden. Wenn Ihr Client den erforderlichen HTTP-Host-Header nicht bereitstellen kann, wenden Sie sich an uns, um AWS Support Unterstützung zu erhalten.

Nein

ValidationException

Die Anfrage konnte nicht dekodiert werden. Bitte senden Sie eine gültige SCEP-Anfrage.

Der Dienst konnte die CMS-Anfrage (Cryptographic Message Syntax), die Ihr Client gesendet hat, nicht dekodieren und verarbeiten.

Wenn Ihre Kunden Probleme mit unserer Implementierung von SCEP haben, notieren Sie sich die Anforderungs-ID (x-amzn-requestid) aus der Antwort und kontaktieren Sie uns. AWS Support

Nein

ValidationException

Die Antwort konnte nicht mit den aus der Anfrage abgeleiteten Werten kodiert werden. Bitte senden Sie eine gültige SCEP-Anfrage.

Der Dienst konnte die SCEP-Antwort nicht codieren.

Dieses Problem tritt normalerweise auf, wenn der Dienst das bereitgestellte Anfordererzertifikat nicht verwenden kann, um die SCEP-Antwortnachricht ordnungsgemäß zu verschlüsseln. Dies kann beispielsweise passieren, wenn das Zertifikat des Anforderers über einen ECDSA-Schlüssel (Elliptic Curve Digital Signature Algorithm) verfügt, den Connector for SCEP nicht unterstützt.

Wenn dieses Problem auftritt, konfigurieren Sie zuerst Ihren MDM- oder SCEP-Client für die Verwendung von RSA. Wenn Sie das Problem immer noch nicht lösen können, notieren Sie sich die Anforderungs-ID (x-amzn-requestid) aus der Antwort und wenden AWS Support Sie sich an uns, um Unterstützung zu erhalten.

Nein

ValidationException

Nicht unterstützter Algorithmus: <OID>

Die Anfrage wurde entweder signiert oder mit einem nicht unterstützten kryptografischen Algorithmus verschlüsselt.

Unser Service unterstützt bestimmte veraltete und schwache kryptografische Algorithmen nicht. Diese Informationen werden den Kunden im Rahmen der GetCACaps Anfrage mitgeteilt. Einige Clients verwenden diese Methode jedoch möglicherweise nicht, um die unterstützten Algorithmen zu überprüfen.

Wenn Ihre Clients mit den von unserem Service unterstützten kryptografischen Algorithmen nicht kompatibel zu sein scheinen, wenden Sie sich an uns, AWS Support um Unterstützung zu erhalten.

Nein

ValidationException

MessageType wird nicht unterstützt PkiOperation .

Die Anforderungsnachricht enthielt einen ungültigen PkiOperation Nachrichtentyp und konnte vom Dienst nicht verarbeitet werden.

Unser Dienst unterstützt nur eine Teilmenge der in RFC 8894 definierten SCEP-Protokoll-Nachrichtentypen. Insbesondere erkennen und verarbeiten wir die folgenden Nachrichtentypen: CertRep, pkcsReq,, getCRL und. GetCert CertPoll

Wir teilen den Kunden die unterstützten Nachrichtentypen über die Methode getCACaps mit. Leider verwenden einige Kunden diese Methode möglicherweise nicht und entsprechen möglicherweise nicht den Funktionen unseres Dienstes.

Wenn Ihre Kunden mit den von unserem Service unterstützten SCEP-Nachrichtentypen nicht kompatibel zu sein scheinen, wenden Sie sich an. AWS Support

Nein

BadRequestException

Das Challenge-Passwort ist ungültig.

Das vom Client angegebene Challenge-Passwort war für den kontaktierten Service-Endpunkt und den zugehörigen Connector ungültig. Das Challenge-Passwort ist eine im SCEP-Protokoll definierte erforderliche Sicherheitsmaßnahme, um sicherzustellen, dass nur autorisierte Clients auf den Dienst zugreifen können.

Stellen Sie sicher, dass Ihr Kunde in seiner Anfrage das richtige Challenge-Passwort angibt. Sie finden die Connector-Details in der Konsole oder über die GetChallengePassword API. Weitere Informationen finden Sie unter Schritt 2: Kopieren Sie die Connector-Details in Ihr MDM-System.

Ja

BadRequestException

In der Anfrage zur Zertifikatsignierung ist genau ein Challenge-Passwort erforderlich.

Der Client hat in seiner Anfrage entweder keine oder mehrere Challenge-Passwörter angegeben.

Stellen Sie sicher, dass Ihr Kunde in seiner Anfrage ein Challenge-Passwort angibt. Sie finden Challenge-Passwörter in den Details des Connectors in der Konsole oder über die GetChallengePassword API. Weitere Informationen finden Sie unter Schritt 2: Kopieren Sie die Connector-Details in Ihr MDM-System.

Ja

BadRequestException

Der Connector hat keinen Zugriff auf Azure.

Der Connector für Microsoft Intune autorisiert Client-Anfragen über Microsoft Intune. Dazu müssen Sie Connector for SCEP die Erlaubnis erteilen, auf Ihre Azure-Ressourcen zuzugreifen.

Konfigurieren Sie die unter beschriebenen Berechtigungen. Schritt 1: Zuschuss AWS Private CA Erlaubnis zur Verwendung Ihrer Microsoft Entra ID-Anwendung

Ja

BadRequestException

Die Azure-Anwendung hat keinen Zugriff auf Perform<action>.

Der Connector für Microsoft Intune autorisiert Client-Anfragen über Microsoft Intune. Dazu müssen Sie Connector for SCEP die Erlaubnis erteilen, auf Ihre Azure-Ressourcen zuzugreifen.

Konfigurieren Sie die unter beschriebenen Berechtigungen. Schritt 1: Zuschuss AWS Private CA Erlaubnis zur Verwendung Ihrer Microsoft Entra ID-Anwendung

Ja

BadRequestException

Die Azure-Anwendung wurde nicht gefunden.

Der Connector für Microsoft Intune autorisiert Client-Anfragen über Microsoft Intune. Dieser Fehler weist darauf hin, dass Ihre Microsoft Entra-ID keine App-Registrierung enthält oder dass die Intune-Details Ihres Connectors falsch konfiguriert sind.

Folgen Sie den Anweisungen im Thema. Konfigurieren Sie Microsoft Intune für Connector für SCEP

Ja

BadRequestException

Die Überprüfung der Intune-Zertifikatsignieranforderung ist fehlgeschlagen. Grund: <reason>

Der Connector für Microsoft Intune autorisiert Client-Anfragen über Microsoft Intune. Diese Fehlermeldung weist darauf hin, dass der Intune-Validierungsprozess fehlgeschlagen ist und der entsprechende Intune-Fehlercode bereitgestellt wird.

Folgen Sie den Anweisungen im Konfigurieren Sie Microsoft Intune für Connector für SCEP Thema. Wenn das Problem weiterhin besteht, wenden Sie sich an den Microsoft-Support.

Ja

BadRequestException

PkiOperation <message type>Nachrichtentyp wird nicht unterstützt:.

Die Anforderungsnachricht enthielt einen ungültigen Nachrichtentyp und konnte vom Dienst nicht verarbeitet werden.

Unser Dienst unterstützt nur eine Teilmenge der in RFC 8894 definierten SCEP-Protokoll-Nachrichtentypen. Insbesondere erkennen und verarbeiten wir die folgenden Nachrichtentypen: CertRep, pkcsReq,, getCRL und. GetCert CertPoll

Wir teilen den Kunden die unterstützten Nachrichtentypen über die Methode getCACaps mit. Leider verwenden einige Kunden diese Methode möglicherweise nicht und entsprechen möglicherweise nicht den Funktionen unseres Dienstes.

Wenn Ihre Kunden mit den von unserem Service unterstützten SCEP-Nachrichtentypen nicht kompatibel zu sein scheinen, wenden Sie sich an. AWS Support

Ja

BadRequestException

Der Schlüsselalgorithmus oder die Länge werden nicht unterstützt.

Der Dienst unterstützt den bereitgestellten öffentlichen Schlüssel, der in der Anforderung zur Zertifikatsignierung enthalten ist, nicht.

Unser Service unterstützt nur Standard-RSA-Schlüssel bis zu 16.384 Bit und ECDSA-Schlüssel bis zu 521 Bit. Wenn Ihre Kunden die Verwendung eines derzeit nicht unterstützten Algorithmus benötigen, wenden Sie sich bitte an uns, um Unterstützung zu erhalten. AWS Support

Ja

AccessDeniedException

Der Connector hat keinen Zugriff auf die Zertifizierungsstelle.

Der Connector für SCEP hat keinen Zugriff auf die dem Connector zugeordnete private CA.

Teilen Sie Ihre private CA mit dem Connector für SCEP, indem Sie ihn verwenden. AWS Resource Access Manager

Nein

AccountDoesNotExistException

Das AWS Konto existiert nicht.

Die Ressource Connector für SCEP ist nicht mehr vorhanden.

Das Konto, dem die Zielressource gehört, wurde gelöscht. Wenn dies versehentlich geschehen ist, wenden Sie sich AWS Support innerhalb der 90-tägigen Frist nach der Schließung an uns.

Nein

ResourceNotFoundException

Die Zertifizierungsstelle existiert nicht.

Die dem Connector zugeordnete private CA wurde gelöscht.

Es gibt eine Übergangsfrist, in der eine private Zertifizierungsstelle (CA) wiederhergestellt werden kann, falls sie versehentlich gelöscht wurde. Weitere Informationen finden Sie unter Stellen Sie eine private CA wieder her.

Nein

ResourceNotFoundException

Ein Connector mit Endpunkt <URL>ist nicht vorhanden.

Das Client-Gerät hat versucht, eine Verbindung zu einer URL herzustellen, die zu keinem vorhandenen Connector gehört.

Stellen Sie sicher, dass Ihr Client den richtigen Endpunkt für den Connector bereitstellt. Um die eines Connectors anzuzeigenEndpoint, rufen Sie die GetConnector API auf oder sehen Sie sie sich auf der Detailseite des Connectors in der Konsole an.

Nein

ConflictException

Der Connector hat sich geändert, seit die Anfrage initiiert wurde.

Die dem Connector zugeordnete private CA wurde aktualisiert, wodurch eine Rotation des internen Zertifikats des Connectors ausgelöst wurde, das für die Kommunikation mit Client-Geräten über SCEP verwendet wird.

Diese Zertifikatsrotation kann während des Aktualisierungszeitraums zu vorübergehenden Problemen führen, da das neue Zertifikat bereitgestellt wird. Dieser Fehler sollte jedoch automatisch und zeitnah behoben werden.

Versuchen Sie Ihre Anfrage in ein paar Minuten erneut. Wenn das Problem nicht behoben werden kann, wenden Sie sich an uns, um AWS Support Unterstützung zu erhalten.

Nein

ThrottlingException

Die Anforderung wurde aufgrund der Drosselung von Anforderungen abgelehnt.

Zu viele Anfragen wurden an diesen Connector gestellt, was dazu geführt hat, dass einige Anfragen abgelehnt wurden.

Diese Zertifikatsrotation kann während des Aktualisierungszeitraums zu vorübergehenden Problemen führen, da das neue Zertifikat bereitgestellt wird. Dieser Fehler sollte jedoch automatisch und zeitnah behoben werden.

Wenn Sie das Limit der Anfragen an einen Connector überschreiten, werden Ihre Anfragen abgelehnt. Wenn Sie Ihr Kontingent erhöhen müssen, finden Sie weitere Informationen unter Connector für SCEP-Endpunkte und Kontingente.

Nein