跨受信任林环境配置CES与CEP PKI时遇到的问题

看起来你踩了跨林PKI部署里很典型的Kerberos身份传递坑——先明确一点：Kerberos认证模式下，CEP/CES确实需要正确配置SPN和委托，你的核心思路是对的，问题出在配置细节上。我帮你拆解两个核心问题的排查方向：

一、先解决Kerberos认证「Access was denied by the remote endpoint」的问题 #

• 检查SPN注册的正确性：CES/CEP是基于IIS的Web服务，Kerberos认证要求HTTP类型的SPN必须绑定到运行服务的域账户上，而非服务器的计算机账户。你可以用setspn -L <你的CES服务账户名>命令查看已注册的SPN，确认包含HTTP/<CES服务器的FQDN>和HTTP/<CES服务器的NetBIOS名>（比如HTTP/ces01.domainA.com和HTTP/ces01）。如果没有，用setspn -S HTTP/xxx DomainA\svc-ces命令手动注册，注意不要重复注册（重复会直接导致Kerberos认证失败）。
• 修正跨林Kerberos委托的配置：你之前配置了HOST和RPCSS的委托，这是错误的——正确的委托应该是让CES服务账户能把DomainB电脑的身份传递给DomainA的CA服务。具体操作：在DomainA的AD用户和计算机中找到CES服务账户，打开属性→委派选项卡，选择「信任此用户以委派指定服务」，然后添加DomainA CA服务器的certsvc服务（也就是CA的Kerberos SPN：certsvc/<CA服务器FQDN>）。另外，跨林环境下必须用约束性委托，非约束性委托在跨林场景下容易出问题且安全性差。
• 确认跨林信任的Kerberos开关：确保两个林的双向信任启用了Kerberos认证。可以在DomainA的DC上运行net trust DomainB.com /kerberos:yes来确认并启用（如果未启用的话）。
• 检查服务账户的基础权限：除了IISUsers组和CA的Request Certificates权限，还要确保CES服务账户是对应IIS应用池的身份，并且对CEP/CES站点的物理文件目录有读取权限。

二、解决「Certificate types are not available」的问题 #

这个问题其实是前面Kerberos身份传递失败的连锁反应：当你去掉SPN和委托后，CEP/CES会自动 fallback 到NTLM认证，但NTLM不支持跨林身份传递——此时CES会用自己的服务账户身份去访问DomainA的CA，而不是DomainB电脑的身份。CA检查权限时，看到的是CES服务账户（它没有你配置的证书模板Read/Enroll权限），自然就看不到可用的证书类型了。所以这个问题的根源还是Kerberos身份传递没配置对，解决了第一个问题，这个问题大概率会自动消失。

额外的排查工具/步骤 #

• 启用Kerberos日志：在DomainB的测试电脑上，打开事件查看器→应用程序和服务日志→Microsoft→Windows→Kerberos-Key-Distribution-Center，右键启用日志。然后尝试连接CEP，查看是否有事件ID 4769（票证请求失败）或4771（预认证失败）的错误，这些日志会告诉你Kerberos认证失败的具体原因（比如SPN找不到、委托权限不足等）。
• 启用CA审核日志：在DomainA的CA控制台里，右键CA→属性→审核选项卡，勾选所有审核项。然后尝试请求证书，查看CA的审核日志，确认CA接收到的身份是DomainB的电脑账户还是CES服务账户——这能直接验证身份传递是否成功。
• 强制Kerberos认证：在IIS的CEP和CES站点的身份验证设置里，禁用匿名和NTLM认证，只保留Kerberos。这样就不会 fallback 到NTLM，能更快定位Kerberos的配置问题。

备注：内容来源于stack exchange，提问作者corndog