Equipe Domaine et Sécurité - Microsoft CSS&MCS

Error : Invalid value for web configuration setting: Clm.EnrollAgent.Certificate.Hash

DomaineEtSecurite — Mon, 08 Oct 2018 13:36:51 GMT

Hello everyone,

When you renew the certificate of the accounts ClmAgent and ClmEnrollAgent and update the web.config file with the new certificate hashes, you have this error message

In the eventlog, you also have this error :

Warning,9/26/2018 9:18:29 AM,ASP.NET 4.0.30319.0,1310,Web Event,"Event code: 3008

Event message: A configuration error has occurred.

Event time: 9/26/2018 9:18:29 AM

Event time (UTC): 9/26/2018 7:18:29 AM

Event ID: c7c35726a4b1417fb5a52139727a0d7c

Event sequence: 2

Event occurrence: 1

Event detail code: 0

Application information:

Application domain: /LM/W3SVC/1/ROOT/CLMxxxx

Trust level: Full

Application Virtual Path: /CLM

Application Path: D:\FIM\Certificate Management\web\

Machine name: XXXX

Process information:

Process ID: 2352

Process name: w3wp.exe

Account name: XXXX\clmWebPool

Exception information:

Exception type: ConfigurationErrorsException

Exception message: An error occurred creating the configuration section handler for ClmConfiguration: Invalid value for web configuration setting: Clm.EnrollAgent.Certificate.Hash. Value received: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx. (D:\FIM\Certificate Management\web\web.config line 65)

at System.Configuration.BaseConfigurationRecord.EvaluateOne(String[] keys, SectionInput input, Boolean isTrusted, FactoryRecord factoryRecord, SectionRecord sectionRecord, Object parentResult)

at System.Configuration.BaseConfigurationRecord.Evaluate(FactoryRecord factoryRecord, SectionRecord sectionRecord, Object parentResult, Boolean getLkg, Boolean getRuntimeObject, Object& result, Object& resultRuntimeObject)

at System.Configuration.BaseConfigurationRecord.GetSectionRecursive(String configKey, Boolean getLkg, Boolean checkPermission, Boolean getRuntimeObject, Boolean requestIsHere, Object& result, Object& resultRuntimeObject)

at System.Configuration.BaseConfigurationRecord.GetSection(String configKey)

at Microsoft.Clm.Web.GlobalASAX.Application_Start(Object sender, EventArgs e)

at Microsoft.Clm.Web.Global.Application_Start(Object sender, EventArgs e)

Invalid value for web configuration setting: Clm.EnrollAgent.Certificate.Hash. Value received: ‎xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx.

at Microsoft.Clm.Common.ClmConfiguration.HexStringToByteArray(String hex, String settingName)

at Microsoft.Clm.Common.ClmConfiguration.Create(Object parent, Object configContext, XmlNode section)

at System.Configuration.RuntimeConfigurationRecord.RuntimeConfigurationFactory.CreateSectionImpl(RuntimeConfigurationRecord configRecord, FactoryRecord factoryRecord, SectionRecord sectionRecord, Object parentConfig, ConfigXmlReader reader)

at System.Configuration.RuntimeConfigurationRecord.RuntimeConfigurationFactory.CreateSectionWithRestrictedPermissions(RuntimeConfigurationRecord configRecord, FactoryRecord factoryRecord, SectionRecord sectionRecord, Object parentConfig, ConfigXmlReader reader)

at System.Configuration.RuntimeConfigurationRecord.CreateSection(Boolean inputIsTrusted, FactoryRecord factoryRecord, SectionRecord sectionRecord, Object parentConfig, ConfigXmlReader reader)

at System.Configuration.BaseConfigurationRecord.CallCreateSection(Boolean inputIsTrusted, FactoryRecord factoryRecord, SectionRecord sectionRecord, Object parentConfig, ConfigXmlReader reader, String filename, Int32 line)

The cause could be in the D:\FIM\Certificate Management\web\web.config with the hash.

To resolve this issue, we would suggest to open a ticket for the MIM Microsoft support to troubleshoot deeper the issue.

Thank you,

Huu-Duc, LÊ

Nouveau rollup MIM version 4.5.26.0 est disponible

DomaineEtSecurite — Wed, 18 Jul 2018 15:07:15 GMT

Bonjour à tous,

Le nouveau rollup MIM 4.5.26.0 est disponible est téléchargeable à partir de ce lien.

Pour avoir les détails, je vous invite à lire l’article qui lui est dédié.

Microsoft KB Article: https://support.microsoft.com/en-us/help/4073679
Download: https://www.microsoft.com/en-us/download/details.aspx?id=57078

Cordialement,

Huu-Duc LÊ

Problème de lenteur lors de l’utilisation du portail MIM CM

DomaineEtSecurite — Wed, 18 Apr 2018 15:11:19 GMT

Bonjour à tous,

Si vous rencontrez des problèmes de lenteur, même de manière intermittente, lors de l’utilisation du portail MIM CM (certificate management).

Les premières vérifications sont : la bande passante du réseau, la communication entre MIM CM avec les contrôleurs de domaine et le CA.

Si tous ces points ont été vérifiés et que la lenteur persiste, vérifiez si vous n’avez pas des groupes avec un grand nombre de membres, ou bien des groupes contenant des groupes imbriqués. Si c’est le cas, il y a 2 axes de travail possibles :

. La première possibilité consiste à réorganiser les groupes, afin d’éviter d’avoir des groupes ayant des milliers de membres, ou bien d’avoir un compte utilisateur appartenant à des centaines de groupes.

. La deuxième possibilité consiste à modifier le fichier web.config de MIM CM, afin que MIM CM demande des informations moins détaillées sur les groupes avec les appartenances. Pour plus d’information à ce sujet, veuillez visiter ce lien :

https://technet.microsoft.com/en-us/library/cc720663(v=ws.10).aspx#BKMK_WebUserSlow

Cordialement,

Huu-Duc LÊ

Equipe européenne FIM/MIM

MIM Portal: Error: The page cannot be found

DomaineEtSecurite — Wed, 03 Jan 2018 17:08:00 GMT

Bonjour à tous,

Lorsque vous venez d’installer le MIM portal et que vous essayez d’accéder au portail MIM, il se pourrait que vous ayez cette erreur.

Une des causes possibles serait le ‘managed pipeline method’, qui devrait être configurée à classic, comme ceci.

Pour plus d’information, visitez ce lien :

https://docs.microsoft.com/en-us/microsoft-identity-manager/prepare-server-sharepoint

A warning message will appear saying that Windows Classic authentication method is being used, and it may take several minutes for the final command to return. When completed, the output will indicate the URL of the new portal

Si vous avez le ‘managed pipeline method’ configuré à integrated, peut être qu’il faudrait réinstaller le sharepoint en suivant les recommandations ci-dessus.

Huu-Duc LÊ

Reset password, erreur 3000 dans le portail MIM avec le code d’erreur 0x80005000 dans le journal application.

DomaineEtSecurite — Thu, 16 Nov 2017 09:04:13 GMT

Bonjour à tous,

Dans un cas très rare, il se pourrait que lors d’un reset du mot de passe d’un compte utilisateur dans le portail MIM, une erreur 3000 se produit comme ci-dessous.

Dans le journal application, vérifiez si vous avez des erreurs avec la pile suivante :

The server encountered an error while attempting to perform a set/change password operation.

"BAIL: MMS(18308): ..\dnutils.cpp(1341): 0x800700b7 (Cannot create a file when that file already exists.)

BAIL: MMS(18308): ..\dnutils.cpp(1341): 0x800700b7 (Cannot create a file when that file already exists.)

BAIL: MMS(18308): admaexport.cpp(2905): 0x80005000 (unable to get error text)

BAIL: MMS(18308): admaexport.cpp(3292): 0x80005000 (unable to get error text)

ERR_: MMS(18308): ..\ma.cpp(8531): ExportPasswordSet failed with 0x80005000

Forefront Identity Manager 4.4.1642.0"

Le code 0x80005000 signifie ceci :

Value	Description	Corrective Action
0x80005000L	E_ADS_BAD_PATHNAME	An invalid ADSI pathname was passed. Verify that the object exists on the directory server and check for typos in the path.

Ceci veut dire qu’il y a un problème avec l’objet dans la recherche dans Active Directory, qui ne trouve pas cet objet.

Voici les points à vérifier :

. Le Distinguished Name (DN) du compte utilisateur en question, il se pourrait qu’il y ait des caractères spéciaux dans le DN qui font que ADSI ne peut pas interpréter comme “/” ou “\”. Comme test, supprimer ces caractères spéciaux afin de voir si l’erreur 3000 disparait.

. Voir si cet objet utilisateur existe réellement dans l’Active Directory

. Vérifier au niveau Active Directory s’il n’y a pas des DC ou domaine ‘fantômes’, c’est à dire des DC qui n’ont pas été dépromus correctement et qu’il reste des traces dans l’AD, et que ADSI cherche à les contacter.

Huu-Duc LÊ

Migrer votre FIM 2010 R2 vers MIM 2016 dès que possible

DomaineEtSecurite — Wed, 30 Aug 2017 06:34:59 GMT

Bonjour,

FIM 2010 R2 va entrer dans la période de support étendu à partir d’octobre 2017. par conséquence, nous vous recommandons fortement de migrer votre plateforme FIM 2010 R2 vers MIM 2016 SP1 dès que possible. En effet, il n’y aura plus de correctif développé sur FIM 2010 R2 et toutes les nouvelles fonctionnalités et améliorations vont être faites sur MIM 2016.

Pour plus d’information sur le support étendu de FIM 2010 R2, veuillez voir le lifecycle du produit.

https://support.microsoft.com/en-us/lifecycle/search?alpha=Microsoft%20Forefront%20Identity%20Manager%202010%20R2

Cordialement,

Huu-Duc LÊ

Le nouveau hotfix rollup MIM 2016 SP1 version 4.4.1642.0 est disponible

DomaineEtSecurite — Wed, 30 Aug 2017 06:04:00 GMT

Bonjour à tous,

Le nouveau rollup 4.4.1642.0 pour MIM 2016 SP1 est disponible à partir du 29 aout 2017.

Il est téléchargeable à partir d’ici.

https://www.microsoft.com/en-us/download/details.aspx?id=55794

Vous devez avoir au moins la version 4.4.1302.0. Si vous avez la version 4.4.1237.0, il faudrait la désinstaller et installer la version 4.4.1302.0

Cordialement,

Huu-Duc LÊ

Migrer de FRS vers DFSR.

DomaineEtSecurite — Wed, 21 Jun 2017 06:35:00 GMT

Bonjour,

A partir de Windows 2016 RS3, FRS n’est plus supporté. Nous vous invitons à migrer au plus vite vers DFSR si votre domaine utilise encore FRS pour répliquer SYSVOL.

Voici l’article annonçant la fin de FRS sur Windows 2016 RS3.

Windows Server 2016 RS3 no longer supports FRS

https://support.microsoft.com/en-us/help/4025991/windows-server-2016-rs3-no-longer-supports-frs

Huu-Duc LÊ

Comment résoudre les problèmes de conversion des Foreign Security Principal (FSP) ?

DomaineEtSecurite — Tue, 06 Jun 2017 12:13:00 GMT

Bonjour à tous,

Il se pourrait que vous rencontriez des problèmes de conversion des FSP entre une forêt distante et un des domaines enfants de votre forêt (alors que entre les domaines racines, il n’y a pas de problème de conversion des FSP).

Les premières points à vérifier sont :

- La vérification du trust inter-forêt entre les domaines racines des 2 forêts

- La vérification des ports au niveau des pare-feux

- Voir si Restrictions for unauthenticated RPC clients est présent, si oui désactiver . Cf ces articles :

https://blogs.technet.microsoft.com/askds/2011/04/08/restrictions-for-unauthenticated-rpc-clients-the-group-policy-that-punches-your-domain-in-the-face/

https://blogs.technet.microsoft.com/askds/2011/07/28/troubleshooting-sid-translation-failures-from-the-obvious-to-the-not-so-obvious/

- Voir si les ports ephemeral sont bloqués, si oui les débloquer dans le pare-feu afin de voir s’il y a une amélioration

External firewall did not allow for communication on ephemeral ports

- Et enfin, si les points mentionnés ci-dessus sont vérifiés, créer un trust entre le domaine racine de la forêt distante et le domaine enfant de sa forêt afin de voir s’il y a une amélioration. Si vous n’avez pas la possibilité de créer ce trust, pensez à redémarrer les domaines contrôleurs du domaine racine (ou parent) dont le domaine enfant a des problèmes de conversion des FSP.

Cordialement,

Huu-Duc LÊ

Nouveau rollup de MIM 2016 est disponible, version 4.4.1459.0

DomaineEtSecurite — Tue, 28 Mar 2017 12:18:00 GMT

Bonjour à tous,

Un nouveau rollup MIM est disponible à partir du 28 mars 2017.

Il contient des correctifs et notamment celui permettant de supprimer les requêtes qui ne sont pas purgées, ces requêtes seront purgées par une nouvelle store procedure qui est debug.DeleteObjectRemainders

Pour l’exécuter : exec debug.DeleteObjectRemainders

Vous trouverez les détails des correctifs dans cet article :

Hotfix rollup package (build 4.4.1459.0) is available for Microsoft Identity Manager 2016 Service Pack 1

https://support.microsoft.com/fr-fr/help/4012498/hotfix-rollup-package-build-4-4-1459-0-is-available-for-microsoft-iden

Le correctif se trouve ici :

https://www.microsoft.com/en-us/download/details.aspx?id=54952

Cordialement,

Huu-Duc LÊ

Equipe Domaine et Sécurité