S2站点根域DC无法从AD CS证书服务器获取自动注册证书排查求助

• 校验组策略应用状态
  执行gpresult /h gpreport.html命令生成故障DC的组策略应用报告，对比S1站点正常根域DC的GPO应用结果，确认证书自动注册相关策略已正确生效，排除S2站点OU继承阻断、WMI过滤、安全过滤导致策略未应用的问题。
• 排查AD站点复制异常
  执行repadmin /showrepl命令检查S2站点根域DC的AD复制状态，确认证书模板、CA服务配置等跨域对象已完成同步，排除S2站点与其他站点的复制延迟、对象不一致导致DC无法识别可用证书模板的问题。
• 核对证书模板权限配置
  检查CA对应证书模板的安全属性，确认故障DC的计算机账号拥有读取、注册、自动注册权限，排除S2站点根域DC所属的组被配置了权限拒绝规则的情况。
• 提取证书注册客户端日志
  打开故障DC的事件查看器，定位到应用和服务日志\Microsoft\Windows\CertificateServicesClient-CertEnroll路径，查找申请失败的关联事件（常见事件ID为6、13、82），根据事件内的具体错误码缩小问题范围：如0x80070005对应权限异常、0x80094012对应模板不可用、0x80092013对应CRL访问失败。
• 校验CRL分发点可达性
  你已校验基础端口连通，需进一步在故障DC上执行certutil -URL <CA的CRL分发地址>命令，确认S2站点根域DC可正常获取CA的证书吊销列表，排除S2站点的代理规则、防火墙应用层拦截导致CRL资源无法访问的问题。
• 确认AD站点链路成本配置
  检查CA所属AD站点、S1/S2站点的链路成本配置，确认S2站点根域DC访问CA时没有被引导至无效的转发路径，排除路由层面的应用层连通异常。

内容的提问来源于stack exchange，提问作者GMN