Windows-Fehlerbehebung: WinRM-Zertifikatsobjektfilter ohne Aussteller

Fehlerbeschreibung

Der Fehler. "The WinRM client cannot process the request because client certificate subject filters were specified without any issuers." happens during remote Windows Management (WinRM) or PowerShell sessions. It appears when your client machine forces certificate-based authentication but the WinRM client configuration contains a matching subject filter rule that lacks a corresponding certificate authority (CA) issuer thumbprint.

Durch das Sicherheitsdesign verhindert Windows, dass WinRM Anfragen mit einem Subject-Filter ausführt, es sei denn, es kann auch die Authentifizierung auf eine bekannte, gültige ausstellende Zertifikatsbehörde beschränken.

Schritt für Schritt

Folgen Sie diesen Schritten. client machine Erlebt den Fehler, um die Konfiguration zu korrigieren.

Schritt 1: Öffnen Sie PowerShell als Administrator

1. Drücken Sie die... Windows Key auf deiner Tastatur.
2. Typ PowerShell in die Suchleiste.
3. Mit der rechten Maustaste. Windows PowerShell Von der Liste.
4. Wählen Sie. Run as administrator.

Schritt 2: Überprüfen Sie bestehende Filter für Clientzertifikate

Führen Sie diesen Befehl aus, um Ihre aktuellen WSMan-Konfigurations-Einträge zu überprüfen:

Get-ChildItem -Path WSMan:\localhost\ClientCertificate

Finden Sie alle konfigurierten Einträge, die eine Subject Eigentum, aber ein Leerzeichen fehlt. Issuer Eigentum.

Schritt 3: Entfernen des fehlerhaften Konfigurationseingangs

Clear out the incorrect configuration completely so you can rebuild it safely. Run the following command (replace {ItemName} mit der spezifischen Postenkennung oder dem Index in Schritt 2, die häufig ClientCertificate oder strukturiert als Index wie 1, 2 ):

Remove-Item -Path WSMan:\localhost\ClientCertificate\{ItemName} -Force

Hinweis: Wenn Sie alle Client-Zertifikatsverknüpfungen löschen möchten, um neu zu starten, können Sie verwenden:

Get-ChildItem -Path WSMan:\localhost\ClientCertificate | Remove-Item -Force

Schritt 4: Finden Sie den richtigen Fingerabdruck des Zertifikatsherausgebers

Sie benötigen den Daumenabdruck der Stamm- oder Zwischenzertifikatsbehörde (CA), die Ihr Benutzerzerzertifikat erstellt hat.

1. Führen Sie diesen Befehl aus, um Ihre persönlichen Zertifikate anzuzeigen:

   Get-ChildItem -Path Cert:\LocalMachine\My

2. Suchen Sie nach dem Zertifikat, das Sie für die Authentifizierung verwenden.
3. Beachten Sie die... Thumbprint Sie können den Fingerabdruck des Ausstellers anzeigen, indem Sie:

   (Get-ChildItem -Path Cert:\LocalMachine\My\{YourCertThumbprint}).Issuer

Schritt 5: Wiederherstellen der Kartierung sowohl mit dem Subjekt als auch mit dem Emittenten

Run this command to create a valid mapping configuration, making sure to include the -Issuer Parameter:

$MappingParameters = @{
    Path       = 'WSMan:\localhost\ClientCertificate'
    Subject    = 'your_user_principal_name@domain.com'
    URI        = '*'
    Issuer     = 'INSERT_ISSUER_THUMBPRINT_HERE'
    Credential = (Get-Credential)
    Force      = $true
}
New-Item @MappingParameters

1. Ersetzen. your_user_principal_name@domain.com mit Ihrer exakten Zertifikatszeile Subject/UPN.
2. Ersetzen. INSERT_ISSUER_THUMBPRINT_HERE mit der tatsächlichen SHA-1-Druckzeichenfolge, die in Schritt 4 gefunden wurde.
3. Geben Sie Ihre Account-Anmeldeinformationen an, wenn Sie vom sicheren Popup aufgefordert werden.

Schritt 6: Wiederaufnehmen des WinRM-Dienstes