Microsoft Entra zertifikatbasierte Authentifizierungszertifikatsperrliste (Certificate Revocation List, CRL)

Eine Zertifikatsperrliste (Certificate Revocation List, CRL) ist eine Liste von Zertifikaten, die von der ausstellenden Zertifizierungsstelle vor dem geplanten Ablaufdatum widerrufen wurden. CRLs sind für die Authentifizierungsintegrität unerlässlich. Wenn ein Zertifikat widerrufen wird, wird es auch dann als nicht vertrauenswürdig markiert, wenn es nicht abgelaufen ist. Durch die Einbeziehung von CRLs in die zertifikatbasierte Authentifizierung wird sichergestellt, dass nur gültige, nicht widerrufene Zertifikate akzeptiert werden, und Microsoft Entra ID jeden Versuch mit einem widerrufenen Zertifikat blockiert.

CRLs werden von der Zertifizierungsstelle digital signiert und an öffentlich zugänglichen Speicherorten veröffentlicht, sodass sie über das Internet heruntergeladen werden können, um den Sperrstatus von Zertifikaten zu überprüfen. Wenn ein Client ein Zertifikat für die Authentifizierung darstellt, überprüft das System die CRL, um zu ermitteln, ob das Zertifikat widerrufen wurde.

Wenn das Zertifikat in der CRL gefunden wird, wird der Authentifizierungsversuch abgelehnt. CRLs werden in der Regel regelmäßig aktualisiert, und Organisationen sollten sicherstellen, dass sie über die neueste Version der CRL verfügen, um genaue Entscheidungen über die Gültigkeit von Zertifikaten zu treffen.

In der Microsoft Entra zertifikatbasierten Authentifizierung (CBA) muss das System, wenn CRLs konfiguriert sind, die CRL während der Authentifizierung abrufen und überprüfen. Wenn Microsoft Entra ID nicht auf den CRL-Endpunkt zugreifen kann, schlägt die Authentifizierung fehl, da die CRL erforderlich ist, um die Gültigkeit des Zertifikats zu bestätigen.

Funktionsweise einer CRL in zertifikatbasierter Authentifizierung

Eine CRL funktioniert, indem ein Mechanismus bereitgestellt wird, um die Gültigkeit von Zertifikaten zu überprüfen, die für die Authentifizierung verwendet werden. Der Prozess umfasst mehrere wichtige Schritte:

• Zertifikatausstellung: Wenn ein Zertifikat von einer Zertifizierungsstelle ausgestellt wird, ist es bis zum Ablaufdatum gültig, es sei denn, es wird zuvor widerrufen. Jedes Zertifikat enthält einen öffentlichen Schlüssel und wird von der Zertifizierungsstelle signiert.

• Widerruf: Wenn ein Zertifikat widerrufen werden muss (z. B. wenn der private Schlüssel kompromittiert wird oder das Zertifikat nicht mehr benötigt wird), fügt die Zertifizierungsstelle es der CRL hinzu.

• CRL-Verteilung: Die Zertifizierungsstelle veröffentlicht die CRL an einem Speicherort, auf den Clients zugreifen können, z. B. einen Webserver oder einen Verzeichnisdienst. Die CRL wird in der Regel von der Zertifizierungsstelle signiert, um die Integrität sicherzustellen. Wenn die CRL nicht von der Zertifizierungsstelle signiert ist, wird der Kryptografiefehler AADSTS2205015 ausgelöst und Sie sollten die in den FAQ beschriebenen Schritte ausführen, um das Problem zu beheben.

• Überprüfung des Clients: Wenn ein Client ein Zertifikat zur Authentifizierung vorlegt, ruft das System die CRL für jede Zertifizierungsstelle in der Zertifikatkette von den veröffentlichten Speicherorten ab und prüft auf widerrufene Zertifizierungsstellen. Wenn ein CRL-Speicherort nicht verfügbar ist, schlägt die Authentifizierung fehl, da das System den Sperrstatus des Zertifikats nicht überprüfen kann.

• Authentifizierung: Wenn das Zertifikat in der CRL gefunden wird, wird der Authentifizierungsversuch abgelehnt, und der Client wird der Zugriff verweigert. Wenn sich das Zertifikat nicht in der CRL befindet, wird die Authentifizierung normal fortgesetzt.

• CRL-Updates: Die CRL wird regelmäßig von der Zertifizierungsstelle aktualisiert, und Clients sollten sicherstellen, dass sie über die neueste Version verfügen, um genaue Entscheidungen zur Zertifikatgültigkeit zu treffen. Das System speichert die CRL für einen bestimmten Zeitraum zwischen, um den Netzwerkdatenverkehr zu reduzieren und die Leistung zu verbessern, aber das System sucht auch regelmäßig nach Updates.

Grundlegendes zum Zertifikatsperrprozess in Microsoft Entra zertifikatbasierter Authentifizierung

Mit dem Zertifikatsperrprozess können Authentifizierungsrichtlinienadministratoren ein zuvor ausgestelltes Zertifikat widerrufen, sodass es nicht für die zukünftige Authentifizierung verwendet werden kann.

Administratoren von Authentifizierungsrichtlinien konfigurieren den CRL-Verteilungspunkt während des Einrichtungsprozesses für vertrauenswürdige Anbieter im Microsoft Entra-Tenant. Jeder vertrauenswürdige Aussteller sollte über eine CRL verfügen, auf die Sie mithilfe einer internetorientierten URL verweisen können. Weitere Informationen finden Sie unter Konfigurieren von Zertifizierungsstellen.

Microsoft Entra ID unterstützt nur einen CRL-Endpunkt und nur HTTP oder HTTPS. Es wird empfohlen, HTTP anstelle von HTTPS für die CRL-Verteilung zu verwenden. CRL-Prüfungen treten während der zertifikatbasierten Authentifizierung auf, und jede Verzögerung oder ein Fehler beim Abrufen der CRL kann die Authentifizierung blockieren. Die Verwendung von HTTP minimiert die Latenz und vermeidet potenzielle Zirkelabhängigkeiten, die durch HTTPS verursacht werden (was selbst eine Zertifikatüberprüfung erfordert). Um die Zuverlässigkeit sicherzustellen, hosten Sie CRLs auf hoch verfügbaren HTTP-Endpunkten, und stellen Sie sicher, dass sie über das Internet zugänglich sind.

1. Wenn ein Benutzer eine interaktive Anmeldung mit einem Zertifikat durchführt, lädt Microsoft Entra ID die Zertifikatsperrliste (Certificate Revocation List, CRL) des Kunden herunter und speichert sie zwischen, um zu überprüfen, ob Zertifikate während der Authentifizierung des Benutzers widerrufen werden. Microsoft Entra verwendet das SubjectKeyIdentifier-Attribut anstelle von SubjectName, um die Zertifikatkette zu erstellen. Wenn CRLs aktiviert sind, müssen PKI-Konfigurationen SubjectKeyIdentifier- und Authority Key Identifier-Werte enthalten, um eine ordnungsgemäße Sperrüberprüfung sicherzustellen.

   SubjectKeyIdentifier stellt einen eindeutigen, unveränderlichen Bezeichner für den öffentlichen Schlüssel des Zertifikats bereit, wodurch er zuverlässiger als SubjectName ist, der über Zertifikate hinweg geändert oder dupliziert werden kann. Mit diesem Attribut wird die präzise Kettenbildung und konsistente CRL-Validierung in komplexen PKI-Umgebungen sichergestellt.

   Von Bedeutung

   Wenn ein Authentifizierungsrichtlinienadministrator die Konfiguration der CRL überspringt, führt Microsoft Entra ID während der zertifikatbasierten Authentifizierung des Benutzers keine CRL-Überprüfungen durch. Dieses Verhalten kann bei der anfänglichen Problembehandlung hilfreich sein, sollte jedoch nicht für die Produktionsverwendung berücksichtigt werden.

   • Nur Basis-CRL: Wenn nur die Basis-CRL konfiguriert ist, wird Microsoft Entra ID sie herunterladen und zwischenspeichern, bis der Zeitstempel für das nächste Update erreicht ist. Die Authentifizierung schlägt fehl, wenn die CRL abgelaufen ist und aufgrund von Verbindungsproblemen nicht aktualisiert werden kann oder wenn der CRL-Endpunkt keine aktualisierte Version bereitstellt. Microsoft Entra setzt die CRL-Versionierung strikt durch: Wenn eine neue CRL veröffentlicht wird, muss ihre CRL-Nummer höher sein als die der vorherigen Version.

     Die CRL-Nummer gewährleistet eine monotone Versionierung und verhindert so Replay-Angriffe, bei denen eine ältere CRL erneut eingeführt werden könnte, um die Sperrprüfung zu umgehen. Durch die Anforderung, dass jede neue CRL über eine höhere Versionsnummer verfügt, Microsoft Entra ID garantiert, dass die aktuellsten Widerrufsdaten immer verwendet werden.

   • Base + Delta CRL: Wenn beide konfiguriert sind, müssen beide gültig und barrierefrei sein. Fehlt eines der beiden oder ist abgelaufen, schlägt die Zertifikatsvalidierung gemäß RFC 5280-Standards fehl.

2. Die zertifikatbasierte Benutzerauthentifizierung schlägt fehl, wenn eine CRL für den vertrauenswürdigen Aussteller konfiguriert ist und Microsoft Entra ID die CRL aufgrund von Verfügbarkeits-, Größen- oder Latenzeinschränkungen nicht herunterladen können. Diese Einschränkung macht den CRL-Endpunkt zu einem kritischen einzelnen Fehlerpunkt, wodurch die Resilienz der zertifikatbasierten Authentifizierung Microsoft Entra ID reduziert wird. Um dieses Risiko zu minimieren, empfehlen wir die Verwendung hochverfügbarer Lösungen, die eine durchgängige Verfügbarkeit für CRL-Endpunkte gewährleisten.

3. Wenn die CRL den interaktiven Grenzwert für eine Cloud überschreitet, schlägt die anfängliche Anmeldung des Benutzers mit dem folgenden Fehler fehl:

   The Certificate Revocation List (CRL) downloaded from {uri} has exceeded the maximum allowed size ({size} bytes) for CRLs in Microsoft Entra ID. Try again in few minutes. If the issue persists, contact your tenant administrators.

4. Microsoft Entra ID versucht, die CRL herunterzuladen, die den dienstseitigen Grenzwerten unterliegt (65 MB in öffentlichen Microsoft Entra ID und 150 MB in Azure für US-Behörden).

5. Benutzer können die Authentifizierung nach ein paar Minuten wiederholen. Wenn das Zertifikat des Benutzers widerrufen und in der CRL angezeigt wird, schlägt die Authentifizierung fehl.

   Von Bedeutung

   Der Token-Widerruf für ein widerrufenes Zertifikat erfolgt aufgrund des CRL-Zwischenspeicherns nicht sofort. Wenn eine CRL bereits zwischengespeichert ist, werden neu widerrufene Zertifikate erst erkannt, wenn der Cache mit einer aktualisierten CRL aktualisiert wird. Delta CRLs enthalten diese Updates in der Regel, sodass die Sperrung wirksam wird, sobald die Delta-CRL geladen wurde. Wenn Delta-CRLs nicht verwendet werden, hängt der Widerruf vom Gültigkeitszeitraum der Basis-CRL ab. Administratoren sollten Token nur dann manuell widerrufen, wenn die sofortige Sperrung wichtig ist, z. B. in Szenarien mit hoher Sicherheit. Weitere Informationen finden Sie unter Konfigurieren der Sperrung.

6. Aufgrund von Leistungs- und Zuverlässigkeitsgründen wird das Online Certificate Status Protocol (OCSP) nicht unterstützt. Anstatt die CRL bei jeder Verbindung vom Clientbrowser für OCSP herunterzuladen, lädt Microsoft Entra ID sie einmal bei der ersten Anmeldung herunter und speichert sie zwischen. Diese Aktion verbessert die Leistung und Zuverlässigkeit der CRL-Überprüfung. Außerdem wird der Cache indiziert, sodass die Suche jedes Mal viel schneller ist.

7. Wenn Microsoft Entra die CRL erfolgreich herunterlädt, wird sie zwischengespeichert und für alle nachfolgenden Verwendungen wieder verwendet. Es beachtet das Nächste Aktualisierungsdatum und, falls verfügbar, das Nächste CRL-Veröffentlichungsdatum (verwendet von Windows Server CAs) im CRL-Dokument.

8. Wenn das Zertifikat des Benutzers in der CRL als widerrufen aufgeführt wird, schlägt die Benutzerauthentifizierung fehl.

   

   Von Bedeutung

   Aufgrund der Art der CRL-Zwischenspeicherungs- und Veröffentlichungszyklen wird dringend empfohlen, dass Sie bei einem Zertifikatsperrung auch alle Sitzungen des betroffenen Benutzers in Microsoft Entra ID widerrufen.

9. Microsoft Entra ID versucht, eine neue CRL aus dem Verteilungspunkt vorab abzurufen, wenn das zwischengespeicherte CRL-Dokument abgelaufen ist. Wenn die CRL über ein "Nächstes Veröffentlichungsdatum" verfügt, führt Microsoft Entra einen CRL-Vorababruf durch, auch wenn die CRL im Cache nicht abgelaufen ist. Ab sofort gibt es keine Möglichkeit, den Download der CRL manuell zu erzwingen oder erneut auszutriggern.

   Hinweis

   Microsoft Entra ID überprüft die CRL der ausstellenden Zertifizierungsstelle und anderer Zertifizierungsstellen in der PKI-Vertrauenskette bis zur Stammzertifizierungsstelle. Für die Überprüfung der Zertifikatsperrliste in der PKI-Kette gilt eine Obergrenze von maximal 10 Zertifizierungsstellen ab dem Leaf Client-Zertifikat. Die Einschränkung besteht darin, sicherzustellen, dass ein schlechter Akteur den Dienst nicht herunterlädt, indem eine PKI-Kette mit einer großen Anzahl von CAs mit einer größeren CRL-Größe hochgeladen wird. Wenn die PKI-Kette des Mandanten mehr als 10 Zertifizierungsstellen aufweist und wenn eine Zertifizierungsstelle kompromittiert ist, sollten Authentifizierungsrichtlinienadministratoren den kompromittierten vertrauenswürdigen Aussteller aus der Microsoft Entra Mandantenkonfiguration entfernen. Weitere Informationen finden Sie unter CRL Pre-Fetching.

Konfigurieren des Widerrufs

Um ein Clientzertifikat zu widerrufen, ruft Microsoft Entra ID die Zertifikatsperrliste (Certificate Revocation List, CRL) aus den URLs ab, die als Teil der Zertifizierungsstelleninformationen hochgeladen wurden, und speichert sie zwischen. Der letzte Veröffentlichungszeitstempel (Effective Date-Eigenschaft ) in der CRL wird verwendet, um sicherzustellen, dass die CRL noch gültig ist. Auf die CRL wird in regelmäßigen Abständen verwiesen, um den Zugriff auf Zertifikate zu widerrufen, die Teil der Liste sind.

Sofortiger Widerruf von Sitzungen mit Entra CBA

Es gibt viele Szenarien, in denen ein Administrator alle Sitzungstoken sofort widerrufen muss, damit der gesamte Zugriff für einen Benutzer widerrufen wird. Solche Szenarien umfassen

• Kompromittierte Konten
• Kündigung des Mitarbeiters
• Entra-Ausfall, bei dem zwischengespeicherte Anmeldeinformationen verwendet werden, die keine CRL-Überprüfung enthalten
• andere Insider-Bedrohungen.

Wenn eine sofortigere Sperrung erforderlich ist (z. B. wenn ein Benutzer ein Gerät verliert), kann das Autorisierungstoken des Benutzers ungültig werden. Um das Autorisierungstoken ungültig zu machen, legen Sie das Feld StsRefreshTokensValidFrom für diesen bestimmten Benutzer mithilfe von Windows PowerShell fest. Sie müssen das StsRefreshTokensValidFrom-Feld für jeden Benutzer aktualisieren, für den Sie den Zugriff widerrufen möchten.

Um sicherzustellen, dass der Widerruf beibehalten wird, müssen Sie das Gültigkeitsdatum der CRL auf ein Datum festlegen, nachdem der von StsRefreshTokensValidFrom festgelegte Wert liegt, und sicherstellen, dass das betreffende Zertifikat in der CRL enthalten ist.

Die folgenden Schritte beschreiben den Prozess zum Aktualisieren und Ungültigieren des Autorisierungstokens durch Festlegen des Felds StsRefreshTokensValidFrom .

# Authenticate to Microsoft Graph
Connect-MgGraph -Scopes "User.Read.All"

# Get the user
$user = Get-MgUser -UserPrincipalName "test@yourdomain.com"

# Get the StsRefreshTokensValidFrom property
$user.StsRefreshTokensValidFrom

Das von Ihnen festgelegte Datum muss in der Zukunft sein. Wenn sich das Datum nicht in der Zukunft befindet, wird die StsRefreshTokensValidFrom-Eigenschaft nicht festgelegt. Wenn sich das Datum in der Zukunft befindet, wird StsRefreshTokensValidFrom auf die aktuelle Uhrzeit festgelegt (nicht auf das durch Set-MsolUser Befehl angegebene Datum).

Erzwingen der CRL-Überprüfung für CAs

Wenn Sie CAs in den Microsoft Entra-Vertrauensspeicher hochladen, müssen Sie keine CRL oder das CrlDistributionPoint-Attribut einschließen. Sie können eine Zertifizierungsstelle ohne einen CRL-Endpunkt hochladen, und die zertifikatbasierte Authentifizierung schlägt nicht fehl, wenn eine ausstellende Zertifizierungsstelle keine CRL angibt.

Um die Sicherheit zu erhöhen und Fehlkonfigurationen zu vermeiden, kann ein Administrator für Authentifizierungsrichtlinien verlangen, dass die CBA-Authentifizierung fehlschlägt, wenn eine Zertifizierungsstelle, die ein Endbenutzerzertifikat ausstellt, keine CRL konfiguriert.

Aktivieren der CRL-Überprüfung

1. Wählen Sie "CRL-Überprüfung erforderlich" aus (empfohlen), um die CRL-Überprüfung zu aktivieren.

   

   Wenn Sie diese Einstellung aktivieren, schlägt CBA fehl, wenn das Endbenutzerzertifikat von einer Zertifizierungsstelle stammt, die keine CRL konfiguriert.

2. Ein Authentifizierungsrichtlinienadministrator kann eine Zertifizierungsstelle ausnehmen, wenn ihre CRL Probleme aufweist, die behoben werden müssen. Wählen Sie "Ausnahme hinzufügen" aus, und wählen Sie alle CAs aus, die ausgenommen werden sollen.

   

3. CAs in der ausgenommenen Liste müssen keine CRL konfigurieren, und die von ihnen ausgestellten Endbenutzerzertifikate schlagen keine Authentifizierung fehl.

   Wählen Sie "CAs" und dann "Hinzufügen" aus. Verwenden Sie das Textfeld "Suchen ", um die Zertifizierungsstellenlisten zu filtern und bestimmte Zertifizierungsstellen auszuwählen.

   

Anleitung zum Einrichten von CRLs (Basis- und Delta-CRL) für Microsoft Entra ID

1. Veröffentlichen barrierefreier CRLs:

   • Stellen Sie sicher, dass Ihre Zertifizierungsstelle sowohl die Basis-CRL als auch die Delta-CRLs (falls zutreffend) für internetorientierte URLs veröffentlicht, auf die über HTTP zugegriffen werden kann.
   • Microsoft Entra ID können keine Zertifikate überprüfen, wenn CRLs auf nur internen Servern gehostet werden. Die URLs sollten hoch verfügbar, leistungsfähig und robust sein, um Authentifizierungsfehler aufgrund von Nichtverfügbarkeit zu verhindern.
   • Überprüfen Sie die CRL-Barrierefreiheit, indem Sie die CRL-URL in einem Browser testen und certutil -url für Verteilungsprüfungen verwenden.

2. Konfigurieren von CRL-URLs in Microsoft Entra ID:

   • Laden Sie das öffentliche Zertifikat der Zertifizierungsstelle in Microsoft Entra ID hoch und konfigurieren Sie die CRL-Verteilungspunkte (CDPs).
   • Basis-CRL-URL: Enthält alle widerrufenen Zertifikate.
   • Delta-CRL-URL (optional, aber empfohlen): Enthält Zertifikate, die seit der letzten Veröffentlichung der Basis-CRL widerrufen wurden.
   • Verwenden Sie Tools wie certutil, um die Gültigkeit von CRL zu überprüfen und Zertifikat- und CRL-Probleme lokal zu beheben.

3. Gültigkeitszeiträume festlegen:

   • Legen Sie den Gültigkeitszeitraum der Basis-CRL lang genug fest, um den Betriebsaufwand und die Sicherheit auszugleichen (in der Regel Tage bis Wochen).
   • Legen Sie den Gültigkeitszeitraum der Delta-CRL kürzer fest (in der Regel 24 Stunden), um widerrufene Zertifikate rechtzeitig erkennen zu können.
   • Kürzere Gültigkeitsdauer der Delta-CRL verbessert die Sicherheit, indem das Zeitfenster verkürzt wird, in dem widerrufene Zertifikate gültig bleiben, was jedoch die Ausstellungs- und Verteilungslast erhöht.
   • Die empfohlene 24-Stunden-Standardgültigkeit für Delta-CRLs auf Windows Servern ist eine allgemein akzeptierte Standardsicherheit und -leistung.
   • Microsoft Entra ID wurde entwickelt, um häufige Delta-CRL-Updates ohne Leistungsbeeinträchtigung effizient zu behandeln, und fortlaufende Verbesserungen helfen, dies weiter zu verbessern.
   • Microsoft Entra ID wendet Drosselungsmechanismen an, um vor DDoS-Angriffen während delta-CRL-Downloads zu schützen, was zu temporären Fehlern wie "AADSTS2205013" für eine kleine Teilmenge von Benutzern führen kann.

4. Hohe Verfügbarkeit und Leistung sicherstellen:

   • Hosten Sie CRLs auf zuverlässigen Webservern oder CdNs (Content Delivery Networks), um Verzögerungen oder Fehler während des Abrufs zu minimieren.
   • Überwachen Sie die Veröffentlichung und Zugänglichkeit der CRL proaktiv.

5. Schutz vor Drosselungs- und verteilten Denial-of-Service-Angriffen (DDoS):

   • Zum Schutz der Microsoft Entra ID-Dienste und -Benutzer werden CRL-Abrufvorgänge bei hoher Auslastung oder potenziellem Missbrauch gedrosselt.
   • Planen Sie die Veröffentlichung und den Ablauf von CRLs außerhalb der Hauptgeschäftszeiten, um die Wahrscheinlichkeit zu minimieren, dass sich die Drosselung auf die Benutzer auswirkt.

6. CRL-Größenverwaltung

   • Halten Sie CRL-Nutzlasten so klein wie möglich, idealerweise durch häufige Delta-CRL-Veröffentlichung und Archivierung alter Einträge, um die Abrufgeschwindigkeit zu verbessern und die Bandbreite zu reduzieren.

7. Aktivieren der CRL-Überprüfung

   • Erzwingen sie die CRL-Überprüfung in Microsoft Entra ID Richtlinien, um sicherzustellen, dass widerrufene Zertifikate erkannt werden. Weitere Informationen finden Sie unter Aktivieren der CRL-Überprüfung.
   • Erwägen Sie die temporäre Umgehung der CRL-Überprüfung nur als letztes Mittel bei der Problembehandlung mit einem Verständnis der Sicherheitsrisiken.

8. Testen und Überwachen

   • Führen Sie regelmäßige Tests durch, um zu überprüfen, ob CRLs von Microsoft Entra ID heruntergeladen und ordnungsgemäß erkannt werden.
   • Verwenden Sie die Überwachung, um CRL-Verfügbarkeits- oder Validierungsprobleme zu erkennen und schnell zu beheben.

CRL-Fehlerreferenz

Häufig gestellte Fragen

In diesen nächsten Abschnitten werden häufig gestellte Fragen und Antworten im Zusammenhang mit Zertifikatsperrlisten behandelt.

Gibt es eine Beschränkung für die CRL-Größe?

Die folgenden CRL-Größenbeschränkungen gelten:

• Download-Limit für die interaktive Anmeldung: 20 MB (Azure Global einschließlich GCC), 45 MB für (Azure US Government, einschließlich GCC High, Dept. of Defense)
• Downloadgrenzwert für Dienste: 65 MB (Azure Global mit Government Community Cloud, GCC), 150 MB (Azure US Government mit GCC High, Dept. of Defense)

Wenn ein CRL-Download fehlschlägt, wird die folgende Meldung angezeigt:

"Die von {uri} heruntergeladene Zertifikatsperrliste (Certificate Revocation List, CRL) hat die maximale zulässige Größe ({size} Bytes) für CRLs in Microsoft Entra ID überschritten. Versuchen Sie es in wenigen Minuten erneut. Wenn das Problem weiterhin besteht, wenden Sie sich an Ihre Mandantenadministratoren."

Der Download verbleibt im Hintergrund mit höheren Grenzwerten.

Wir überprüfen die Auswirkungen dieser Grenzwerte und haben Pläne, sie zu entfernen.

Warum wird zwar ein gültiger Zertifikatsperrlisten-Endpunkt (CRL) aber keine Sperrliste angezeigt?

• Stellen Sie sicher, dass der CRL-Verteilungspunkt auf eine gültige HTTP-URL festgelegt ist.
• Stellen Sie sicher, dass auf den CRL-Verteilungspunkt über eine internetorientierte URL zugegriffen werden kann.
• Stellen Sie sicher, dass die CRL-Größen die vorgegebenen Grenzen nicht überschreiten.

Wie kann ich ein Zertifikat sofort widerrufen?

Führen Sie die Schritte aus, um ein Zertifikat manuell zu widerrufen.

Wie kann ich die Zertifikatsperrüberprüfung für eine bestimmte Zertifizierungsstelle aktivieren oder deaktivieren?

Es wird empfohlen, die Überprüfung der Zertifikatsperrliste (Certificate Revocation List, CRL) zu deaktivieren, da Sie keine Zertifikate widerrufen können. Wenn Sie jedoch Probleme mit der CRL-Überprüfung untersuchen müssen, können Sie eine Zertifizierungsstelle von der CRL-Prüfung im Microsoft Entra Admin Center ausschließen. Wählen Sie in der Richtlinie für CBA-Authentifizierungsmethoden "Konfigurieren" und dann " Ausnahme hinzufügen" aus. Wählen Sie die Zertifizierungsstelle aus, die Sie ausnehmen möchten, und Hinzufügen auswählen.

Nachdem ein CRL-Endpunkt konfiguriert wurde, können sich Endbenutzer nicht anmelden und sehen "AADSTS500173: CRL kann nicht heruntergeladen werden. Ungültiger Statuscode Verboten vom CRL-Verteilungspunkt."

Wenn ein Problem verhindert, dass Microsoft Entra die CRL herunterlädt, ist die Ursache häufig Firewall-Beschränkungen. In den meisten Fällen können Sie das Problem beheben, indem Sie Firewallregeln aktualisieren, um die erforderlichen IP-Adressen zuzulassen, damit Microsoft Entra die CRL erfolgreich herunterladen können. Weitere Informationen finden Sie unter Download Azure IP Ranges and Service Tags – Public Cloud from Official Microsoft Download Center.

Wie finde ich die CRL für eine Zertifizierungsstelle, oder wie behebt ich den Fehler "AADSTS2205015: Fehler bei der Zertifikatsperrliste (Certificate Revocation List, CRL)-Signaturüberprüfung"?

Laden Sie die CRL herunter, und vergleichen Sie das Zertifizierungsstellenzertifikat und die CRL-Informationen, um zu überprüfen, ob der crlDistributionPoint Wert für die Zertifizierungsstelle gültig ist, die Sie hinzufügen möchten. Sie können das CRL für die entsprechende CA konfigurieren, indem Sie den Ausstellersubjektschlüssel-Identifikator (SKI) der CA mit dem Autoritätsschlüsselbezeichner (AKI) des CRL abgleichen (CA Issuer SKI == CRL AKI).

In der folgenden Tabelle und Abbildung wird gezeigt, wie Informationen aus dem Zertifizierungsstellenzertifikat den Attributen der heruntergeladenen CRL zugeordnet werden.

• Microsoft Entra CBA-Zertifikatsperrliste

Nächste Schritte

• Übersicht über Microsoft Entra CBA
• How to configure Microsoft Entra CBA
• Microsoft Entra CBA auf iOS-Geräten
• Microsoft Entra CBA auf Android-Geräten
• Windows Smartcard-Authentifizierung mit Microsoft Entra CBA
• Zertifikatbenutzer-IDs
• Migrieren von Verbundbenutzern
• Häufig gestellte Fragen
• Problembehebung für Microsoft Entra CBA