通过certreq向NDES服务提交请求时遇URL无效错误求助

错误原因 #

你当前的命令误用了-config参数——该参数用于指定CA服务器的标识（格式为CA服务器FQDN\CA名称），而非SCEP服务的URL。直接将SCEP目录URL传入-config会导致端点识别失败，触发WS_E_INVALID_ENDPOINT_URL错误。

修正后的命令 #

结合NDES的SCEP提交要求，正确的命令需要包含-Web选项（指定通过Web服务提交）、完整的SCEP端点URL（指向mscep.dll），以及必填的挑战密码：

certreq -submit -attrib "CertificateTemplate:TestMobile" -Web -p 23E4CD1A4384204E -config "http://MyServer/CertSrv/mscep/mscep.dll" CRYPTOTEST.csr

额外排查点 #

• 验证SCEP端点有效性：访问http://MyServer/CertSrv/mscep/mscep.dll，确认返回正常（无404/500错误），说明IIS上的SCEP站点配置正确。
• 权限检查：
  • 确保服务账户CRYPTOTEST\testservicendes在NDES服务器上拥有CertSrv Request DCOM Access权限
  • 确认TestMobile证书模板的权限列表中，该账户已被授予注册权限
• 挑战密码准确性：再次核对从http://MyServer/CertSrv/mscep_admin/获取的挑战密码，确保无输入错误
• 网络与防火墙：执行命令的服务器需能正常访问NDES的SCEP URL，排除代理、防火墙或端口拦截问题

内容的提问来源于stack exchange，提问作者ELUCIDE