Fehlerbehebung · 15.4
Fehlerbehebung: Deployment-Ziele
Ein fehlgeschlagenes Deployment wird als Event 1302 protokolliert, ein fehlgeschlagener Health-Check als Event 1322. Der Tab Helper eines Deployments listet die Voraussetzungen des Ziels auf, zum Beispiel für WinRM. Verwenden Sie im Deployment Test (dry run)…, um die Einstellungen vor dem Verteilen zu prüfen.
| Symptom | Ursache | Lösung |
|---|---|---|
| Alle Ziele | ||
| … requires PFX bytes (private key missing on this management host). oder … requires PEM certificate and private key | Das Ziel braucht den privaten Schlüssel, er wird aber nicht auf dem Management-Host aufbewahrt (Spalte Key zeigt –). | Erneuern Sie das Zertifikat mit Force renew…, damit die neue Version ihren privaten Schlüssel auf dem Management-Host behält, und verteilen Sie es dann erneut. |
| Deployment setting <key> is required. oder <Target> requires settings.<key> | Ein Pflichtfeld des Deployments ist leer. | Öffnen Sie das Deployment und füllen Sie die mit * markierten Felder aus. |
| Health: … thumbprint is <thumbprint>, expected <thumbprint> oder … is not bound to … | Das Ziel verwendet ein anderes Zertifikat, oder das Zertifikat wurde hochgeladen, aber nicht gebunden. | Verteilen Sie erneut. Bei Zielen mit manuellen Bindungen binden Sie das Zertifikat auf dem Ziel. |
| Certificate CN/SAN does not match hostname <host> | Der für das Ziel verwendete Name ist im Zertifikat nicht enthalten. | Fügen Sie den Namen dem Zertifikat hinzu oder verwenden Sie für das Ziel einen Namen des Zertifikats. |
| Windows (WinRM): Zertifikatsspeicher, IIS, RDS, Exchange, AD FS, SQL Server, NPS, File Path, UNC | ||
| Remote probe to <host> requires a WinRM credential. oder Credential <name> is missing or incomplete. | Für ein entferntes Windows-Ziel ist kein WinRM-Credential ausgewählt. | Wählen Sie ein Credential mit Zugriff auf das Ziel. |
| WinRM PowerShell timed out after <n>s. | Das Ziel antwortet nicht über WinRM. | Prüfen Sie den Tab Helper: Enable-PSRemoting -Force -SkipNetworkProfileCheck auf dem Ziel, eingehendes WinRM in der Firewall (TCP 5986 für HTTPS und/oder TCP 5985 für HTTP) und TrustedHosts auf dem Management-Host mit derselben Host-Angabe wie im Deployment. |
| IIS site <site> not found. | Der Name der Website existiert auf dem IIS-Server nicht. | Geben Sie den Namen der Website genau so ein, wie er im IIS-Manager erscheint. |
| UNC path must start with \\ (e.g. \\fileserver\certs). | Der UNC-Pfad hat das falsche Format. | Verwenden Sie die Form \\server\share\folder. |
| Linux (SSH): Nginx, Apache, HAProxy, Tomcat, PostgreSQL, MySQL/MariaDB, File Path | ||
| SSH credential <name> not found. | Es ist kein SSH-Credential ausgewählt, oder es wurde gelöscht. | Wählen Sie ein SSH-Credential vom Typ Linux SSH (Nginx / Apache), siehe Kapitel Nginx. |
| certPath and keyPath must be absolute Unix paths (start with /). | Es wurde ein relativer Pfad eingegeben. | Geben Sie absolute Pfade ein, zum Beispiel /etc/nginx/ssl/site.crt. |
| Health: Certificate file may be present but it is not bound in the live service config. | Die Datei wurde geschrieben, aber die Konfiguration des Dienstes verwendet sie nicht. | Verweisen Sie in der Konfiguration des Dienstes auf die Datei und laden Sie den Dienst neu. |
| Dateiziele und Export: File Path (WinRM), UNC-Freigabe, File Path (SSH), Export certificate | ||
| Warnung: The root certificate was not in the stored chain and was not found on this management host. The file was written without the root. | Include root ist eingeschaltet, die CA hat das Root-Zertifikat nicht in der Kette geliefert, und es liegt auf dem Management-Host (Computer oder aktueller Benutzer) weder unter Trusted Root Certification Authorities noch unter Intermediate Certification Authorities. TLSPilot lädt das Root-Zertifikat nicht herunter und sucht nicht auf dem Ziel. | Meist nichts: Clients haben das Root-Zertifikat in ihrem Root-Store, und die Standardreihenfolge lässt es weg. Braucht das empfangende System das Root-Zertifikat wirklich, importieren Sie das Root-Zertifikat der CA auf dem Management-Host in Cert:\LocalMachine\Root und exportieren bzw. verteilen Sie erneut, siehe Kapitel Ketten-Optionen. |
| PFX export could not build the certificate chain. The file was not written. | PFX mit eingeschaltetem Include chain: Der private Schlüssel oder das Zertifikat ist auf dem Management-Host nicht verfügbar, der Schlüssel passt zu keinem Zertifikat der Kette, oder die PFX-Datei liess sich nicht erstellen. TLSPilot schreibt keine unvollständige Datei; ein Deployment schlägt fehl (Event 1302). | Prüfen Sie, ob die Spalte Key des Zertifikats einen gespeicherten Schlüssel zeigt; falls nicht, erneuern Sie mit Force renew…, damit der Schlüssel auf dem Management-Host aufbewahrt wird. Exportieren bzw. verteilen Sie dann erneut. Ist der Schlüssel gespeichert und bleibt der Fehler, schalten Sie als Workaround Include chain für dieses Ziel aus; die PFX-Datei enthält dann nur das Zertifikat und den Schlüssel, siehe Kapitel Standardreihenfolge der Kette. |
| ADC und Firewalls: F5 BIG-IP, Palo Alto | ||
| Palo Alto partial commit failed: oder Partial commit finished but running config does not match | Der Commit auf der Firewall wurde nicht abgeschlossen. | Prüfen Sie ausstehende Änderungen und Commit-Sperren auf der Firewall und verteilen Sie dann erneut. |
| Cloud: Azure, Entra ID, Google Cloud, AWS, Omnissa UAG | ||
| Classic Front Door is not supported. Use a Standard or Premium profile. Classic ends on March 31, 2027. oder Front Door SKU is '<sku>'. Only Standard_AzureFrontDoor and Premium_AzureFrontDoor are supported. oder Front Door does not accept ECC certificates. Use RSA. | Es wird Azure Front Door (classic) oder ein ECC-Schlüssel verwendet. | Verwenden Sie ein Front-Door-Profil Standard oder Premium und einen RSA-Schlüssel. |
| No application found for appId <id> | Die App Registration existiert im Tenant nicht, oder das Credential darf sie nicht lesen. | Prüfen Sie die Application ID und die Berechtigungen des Credentials. |
| AWS ACM <action> failed (<status>), Azure Key Vault requires settings.vaultName or vaultUri. | Die Cloud-API hat den Aufruf abgelehnt, oder ein Pflichtfeld ist leer. | Prüfen Sie die Felder des Deployments und die Berechtigungen des Credentials in der Cloud. |
| Custom Deployment | ||
| Custom Deployment requires a PowerShell script (settings.script). oder Custom script is empty. | Im Deployment ist kein Skript hinterlegt. | Fügen Sie ein Skript hinzu, zum Beispiel eines der Beispielskripte, siehe Kapitel Custom Deployment. |