วิธีกำหนดค่าบริการใบรับรองโฆษณาเพื่อผ่านข้อผิดพลาด WS_E_ENDPOINT_ACCESS_DENIED นี้

ฉันได้ปฏิบัติตามคำแนะนำในห้องปฏิบัติการทดสอบของ Microsoft สำหรับการตั้งค่าลำดับชั้นของ CA แบบสองชั้น ฉันติดตั้ง Certificate Enrollment Policy Web Service (CEP) บนเครื่องเดียวกับที่ออกใบรับรอง (CA) และติดตั้ง Certificate Enrollment Web Service (CES) ในเครื่องแยกต่างหาก ทั้งสามรายการอยู่ในโดเมนเดียวกัน: a.local ฉันมี serverB1 ในโดเมนอื่น b.local ซึ่งได้รับใบรับรองเซิร์ฟเวอร์ คำแนะนำบอกให้ฉันจำลองการต่ออายุใบรับรองโดยรันสองคำสั่งต่อไปนี้ 1. certutil -f -policyserver * - ลบแคชนโยบาย. เอาท์พุต:

ไดเรกทอรีแคช: C:\ProgramData\Microsoft\Windows\X509Enrollment

ชื่อ: ใบรับรองเซิร์ฟเวอร์ SSL-TLS (ค่าเริ่มต้น)
รหัส: {B85DA5F6-850F-4C44-A80C-F60747D4DD77}
URL: https://IssuingCA.a.local/KeyBasedRenewal_ADPolicyProvider_CEP_Certificate/service.svc/CEP
  มีไฟล์แคชอยู่: 48b23e1bb48a2bf09ce15b2526ef67eb32fe1251
    1662 (5730) ไบต์
    URL: https://IssuingCA.a.local/KeyBasedRenewal_ADPolicyProvider_CEP_Certificate/service.svc/CEP
    LastUpdate 18/2/2565 16:36 น
    กำลังลบรายการแคช!

ไฟล์แคชที่ถูกละเลย:
  มีไฟล์แคช: 83b7376cb9815a475c54a66bd64eb8bfd31d6005
    1662 (5730) ไบต์
    URL: https://IssuingCA.a.local/KeybasedRenewal_ADPolicyProvider_CEP_UsernamePassword/service.svc/CEP
    LastUpdate 18/2/2565 13:38 น
    กำลังลบรายการแคช!

CertUtil: คำสั่ง -PolicyCache เสร็จสมบูรณ์

2. certreq -machine -q -enroll -cert <thumbprint> ต่ออายุ แน่นอนด้วยรหัสประจำตัวที่ถูกต้องแทน เอาท์พุต:

https://ces1.a.local/IssuingCA_CES_Certificate/service.svc/CES
    ไม่สามารถส่งคำขอใบรับรองไปยังหน่วยงานออกใบรับรองได้
    การเข้าถึงถูกปฏิเสธโดยปลายทางระยะไกล 0x803d0005 (-2143485947 WS_E_ENDPOINT_ACCESS_DENIED)
ตัวประมวลผลคำขอใบรับรอง: การเข้าถึงถูกปฏิเสธโดยปลายทางระยะไกล 0x803d0005 (-2143485947 WS_E_ENDPOINT_ACCESS_DENIED)

Application Pool บน CES มอบให้กับผู้ใช้ a\ces CEP เพิ่งใช้เอกลักษณ์กลุ่มแอปพลิเคชันเริ่มต้น ฉันพยายามเปลี่ยนเป็น a\ces (และสร้าง SPN ที่สอดคล้องกัน) แต่นั่นไม่ได้สร้างความแตกต่าง ฉันกำลังเปลี่ยนสิ่งนั้นกลับ มีความคิดว่าเกิดอะไรขึ้นที่นี่? ฉันใหม่มากสำหรับทั้งหมดนี้ เพียงทำตามคำแนะนำ