本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
排除来自 SCEP 连接器的 HTTP 错误
当您的客户端触发适用于 SCEP 数据平面 API 的连接器操作并导致错误时，SCEP 连接器会向请求客户端发送 HTTP 响应代码，其中包含有关错误的信息。
除了直接向客户端提供的服务响应外，您还可以使用用于 SCEP 的显示器连接器本节中描述的监控工具来查看和调试导致 HTTP 错误的错误。
以下是服务向 SCEP 客户端返回的错误消息、潜在原因以及您可以采取的解决问题的步骤。
HTTP 400 错误请求
HTTP 400 响应代码意味着，由于明显的客户端错误，例如请求中缺少数据或数据无效，SCEP 连接器无法处理请求。如果错误是由 SCEP-protocol 特定错误引起的，则 SCEP 连接器将 SCEP 响应作为二进制文件包含在消息中。出于以下任何原因，SCEP API 的连接器可以返回 400 个响应。
| 响应标头 (x-amzn-) ErrorType | 错误消息 (x-amzn-) ErrorMessage | 根本原因 | 修复 | 包括 SCEP 响应吗？ |
|---|---|---|---|---|
|
LimitExceededException |
已超过证书颁发机构颁发限制。 |
与连接器关联的私有证书颁发机构 (CA) 已超过其可以颁发的证书数量的配额。 |
一个 SCEP 连接器在其生命周期内只能连接到一个私有 CA。如果您已用尽私有 CA 的限制，请创建新的连接器或申请增加配额。有关私有 CA 配额的更多信息，请参阅AWS 私有证书颁发机构 配额。 |
否 |
|
ValidationException |
该请求必须包含 base64。 |
SCEP 的连接器无法处理 HTTP GET 请求，因为正文无效 Base64。 |
如果可能，将您的客户端配置为使用 HTTP POST 消息而不是 HTTP GET 消息。如果您必须使用 HTTP GET，则消息必须使用 Base64 格式。如果您的客户不符合这些要求，请联系AWS Support |
否 |
|
ValidationException |
证书颁发机构未激活。 |
与连接器关联的私有 CA 处于非活动状态。 |
重新激活私有 CA。有关信息，请参阅在中更新私有 CA AWS 私有证书颁发机构。 |
否 |
|
ValidationException |
证书颁发机构证书的有效期必须从今天起至少一年。 |
从今天起，与通用连接器关联的私有 CA 的有效期必须为一年。 |
从今天起补发有效期超过一年的证书。有关管理证书的信息，请参阅管理私有 CA 生命周期。 |
否 |
|
ValidationException |
请求中包含的证书已过期。 |
客户设备在每笔交易中生成的临时证书在服务接收时已过期。 |
您的客户端设备很可能没有正确配置时间设置，并且它们创建的证书的日期落后于实时日期。如果您无法解决此问题，请联系AWS Support |
否 |
|
ValidationException |
该请求包含无效的加密消息语法。 |
该服务无法解码 SCEP 请求消息。 |
检查您的 SCEP 消息是否符合 S CEP RFC 8894 中定义的加密消息语法。 |
否 |
|
ValidationException |
连接器未激活。 |
连接器的状态为未激活。 |
您可以在控制台或 API 的 “状态” 字段中找到连接器的状态。连接器的状态可以是创建、活动、删除或失败。如果状态为 “正在创建”，请稍后尝试您的请求。如果状态为失败，请查看状态原因以解决问题，然后创建新的连接器。 |
否 |
|
ValidationException |
申请中必须包含有效的证书。 |
来自客户端的请求消息中包含的临时证书缺失或无效。 |
SCEP-compatible 客户必须提供自签名证书来验证自己的身份。如果您的客户无法提供所需的自签名证书，请联系AWS Support |
否 |
|
ValidationException |
请求 URI 无效。 |
SCEP 的连接器无法解析请求，因为请求的 URI 路径或查询无效。 |
管理员应验证客户端设备的配置设置，这些设备通常通过移动设备管理 (MDM) 系统进行管理。有关更多信息，请参阅 第 2 步：将连接器详细信息复制到您的 MDM 系统中。 |
否 |
|
ValidationException |
请求中只需要一个主机标头。 |
客户端未在请求中提供有效的 HTTP 主机标头，这是处理请求所必需的。 |
需要使用 HTTP 主机标头来区分发到不同连接器的请求。如果您的客户端无法提供所需的 HTTP 主机标头，请联系AWS Support |
否 |
|
ValidationException |
无法解码该请求。请发送有效的 SCEP 请求。 |
该服务无法解码和处理您的客户发送的加密消息语法 (CMS) 请求。 |
如果您的客户在我们实施 SCEP 时遇到问题，请记下回复和联系AWS Support |
否 |
|
ValidationException |
无法使用源自请求的值对响应进行编码。请发送有效的 SCEP 请求。 |
该服务无法对 SCEP 响应进行编码。 |
当服务无法使用提供的请求者证书对 SCEP 响应消息进行正确编码时，通常会出现此问题。例如，如果请求者证书具有椭圆曲线数字签名算法 (ECDSA) 密钥，则可能会发生这种情况，而 SCEP 的 Connector 不支持该密钥。 如果您遇到此问题，请先将您的 MDM 或 SCEP 客户端配置为使用 RSA。如果您仍然无法解决问题，请记下回复中的请求 ID ( |
否 |
|
ValidationException |
不支持的算法：<OID> |
该请求由不支持的加密算法签名或加密。 |
我们的服务不支持某些过时和薄弱的加密算法。这些信息通过 如果您的客户似乎与我们的服务支持的加密算法不兼容，请联系AWS Support |
否 |
|
ValidationException |
不支持的 PkiOperation 消息类型。 |
请求消息包含无效的 |
我们的服务仅支持 RFC 8894 中定义的 SCEP 协议消息类型的一部分。具体而言，我们可以识别和处理以下消息类型： CertRep、pkcSreq、 GetCert、getCRL 和。 CertPoll 我们通过 getcaCaps 方法将支持的消息类型传递给客户端。不幸的是，有些客户可能没有使用这种方法，可能不符合我们的服务能力。 如果您的客户似乎与我们的服务支持的 SCEP 消息类型不兼容，请联系AWS Support |
否 |
|
BadRequestException |
质询密码无效。 |
客户端提供的质询密码对所联系的服务端点及其关联连接器无效。质询密码是 SCEP 协议中定义的一项必需的安全措施，以确保只有授权的客户端才能访问该服务。 |
确保您的客户在其请求中提供正确的质询密码。您可以在控制台的连接器详细信息中或通过 GetChallengePassword API 找到。有关更多信息，请参阅 第 2 步：将连接器详细信息复制到您的 MDM 系统中。 |
是 |
|
BadRequestException |
证书签名请求中只需要一个质询密码。 |
客户端在其请求中提供了零个或多个质询密码。 |
确保您的客户在请求中提供一个质询密码。您可以在控制台的连接器详细信息中或通过 GetChallengePassword API 找到质询密码。有关更多信息，请参阅 第 2 步：将连接器详细信息复制到您的 MDM 系统中。 |
是 |
|
BadRequestException |
该连接器无权访问 Azure。 |
微软 Intune 连接器通过微软 Intune 授权客户端请求。这要求你为 SCEP 的 Connector 授予访问你的 Azure 资源的权限。 |
是 |
|
|
BadRequestException |
Azure 应用程序没有权限执行<action>。 |
微软 Intune 连接器通过微软 Intune 授权客户端请求。这要求你为 SCEP 的 Connector 授予访问你的 Azure 资源的权限。 |
是 |
|
|
BadRequestException |
找不到 Azure 应用程序。 |
微软 Intune 连接器通过微软 Intune 授权客户端请求。此错误表示你的微软 Entra ID 中没有应用程序注册，或者你的连接器的 Intune 详细信息配置不正确。 |
按照为 SCEP 的连接器配置微软 Intune主题中的指导进行操作。 |
是 |
|
BadRequestException |
Intune 证书签名请求验证失败。原因：<reason> |
微软 Intune 连接器通过微软 Intune 授权客户端请求。此错误消息表明 Intune 验证过程失败，并且提供了相应的 Intune 错误代码。 |
按照为 SCEP 的连接器配置微软 Intune主题中的指导进行操作。如果问题仍然存在，请与 Microsoft 支持部门联系。 |
是 |
|
BadRequestException |
<message type>不支持的 PkiOperation 消息类型：。 |
请求消息包含无效的消息类型，无法由服务处理。 |
我们的服务仅支持 RFC 8894 中定义的 SCEP 协议消息类型的一部分。具体而言，我们可以识别和处理以下消息类型： CertRep、pkcSreq、 GetCert、getCRL 和。 CertPoll 我们通过 getcaCaps 方法将支持的消息类型传递给客户。不幸的是，有些客户可能没有使用这种方法，可能不符合我们的服务能力。 如果您的客户似乎与我们的服务支持的 SCEP 消息类型不兼容，请联系AWS Support |
是 |
|
BadRequestException |
不支持密钥算法或长度。 |
该服务不支持证书签名请求中包含的提供的公钥。 |
我们的服务仅支持高达 16,384 位的标准 RSA 密钥和不超过 521 位的 ECDSA 密钥。如果您的客户需要使用当前不支持的算法，请联系AWS Support |
是 |
HTTP 401 未授权
401 未授权响应状态代码指示客户端请求尚未完成，因为该请求缺少所请求资源的有效身份验证凭证。
| 响应标头 (x-amzn-) ErrorType | 错误消息 (x-amzn-) ErrorMessage | 根本原因 | 修复 | 包括 SCEP 响应吗？ |
|---|---|---|---|---|
|
AccessDeniedException |
连接器无权访问证书颁发机构。 |
SCEP 的连接器无权访问连接器的关联私有 CA。 |
使用 AWS Resource Access Manager适用于 SCEP 的连接器共享您的私有 CA。 |
否 |
|
AccountDoesNotExistException |
该 AWS 账户不存在。 |
SCEP 资源的连接器已不存在。 |
拥有目标资源的账户已被删除。如果这是错误的，请在关闭后的 90 天AWS Support |
否 |
未找到 HTTP 404
HTTP 404 响应代码通常意味着找不到你正在寻找的资源。
| 响应标头 (x-amzn-ErrorType | 错误消息 (x-amzn-) ErrorMessage | 根本原因 | 修复 | 包括 SCEP 响应吗？ |
|---|---|---|---|---|
|
ResourceNotFoundException |
证书颁发机构不存在。 |
连接器的关联私有 CA 已删除。 |
如果私有证书颁发机构 (CA) 被错误删除，则可以在宽限期内将其恢复。有关更多信息，请参阅 恢复私有 CA。 |
否 |
|
ResourceNotFoundException |
带有端点的连接器<URL>不存在。 |
客户端设备尝试连接到不属于任何现有连接器的 URL。 |
确保您的客户端为连接器提供正确的端点。要查看连接器 |
否 |
HTTP 409 冲突
HTTP 409 冲突响应表明自请求启动以来，与连接器关联的私有 CA 已更改。
| 响应标头 (x-amzn-) ErrorType | 错误消息 (x-amzn-) ErrorMessage | 根本原因 | 修复 | 包括 SCEP 响应吗？ |
|---|---|---|---|---|
|
ConflictException |
自请求启动以来，连接器已更改。 |
与连接器关联的私有 CA 已更新，触发了连接器内部证书的轮换，该证书用于通过 SCEP 与客户端设备进行通信。 随着新证书的部署，这种证书轮换可能会在更新期间导致临时问题。但是，应及时自动解决此错误。 |
几分钟后重试您的请求。如果问题仍未解决，请联系AWS Support |
否 |
HTTP 429 请求过多
适用于 SCEP 的连接器在每个区域都有账户级别的配额。如果您超过了对连接器的请求限制，您的请求将被拒绝，并出现 HTTP 429 错误。如果您需要增加配额，请参阅AWS 私有证书颁发机构 终端节点和配额。
| 响应标头 (x-amzn-) ErrorType | 错误消息 (x-amzn-) ErrorMessage | 根本原因 | 修复 | 包括 SCEP 响应吗？ |
|---|---|---|---|---|
|
ThrottlingException |
由于请求限制而导致请求被拒绝。 |
向该连接器发出的请求过多，导致某些请求被拒绝。 随着新证书的部署，这种证书轮换可能会在更新期间导致临时问题。但是，应及时自动解决此错误。 |
如果您超过了对连接器的请求限制，您的请求将被拒绝。如果您需要增加配额，请参阅 SCEP 终端节点和配额https://docs.aws.amazon.com/general/latest/gr/pca.html连接器。 |
否 |
