Manchmal müssen auf Windows-Endgeräten schnell und einfach (selbst-signierte) Zertifikate verteilt werden. Eine Herausforderung insofern sich die Endanwender nicht mit den Besonderheiten von Zertifikaten und Windows auskennen. Zwar kann man dies Umgehen, indem man die Verteilung der Zertifikate mittels Gruppenrichtlinien (GPO) vornimmt. Allerdings steht dieses Mittel nicht immer zu Verfügung bzw. ist manchmal schwer praktikabel. Z.B. wenn keine bzw. nur eine temporäre eine Verbindung zur Windows-Domäne besteht. Ich habe daher nach einem Weg gesucht, die die Zertifikate einfach verschicken und mittels Skript unter Windows importieren zu können.
Lösung
Ich habe mir dazu ein kleines Batch Skript geschrieben. Dieses kann aus einer Verzeichnisstruktur Zertifikate für „vertrauenswürdige Herausgeber“ (Trusted Publishers), „Zwischenzertifizierungsstellen“ (Sub CAs) und „Vertrauenswürdige Stammzertifizierungsstellen“ (Root CAs) für den kompletten lokalen Rechner oder für den jeweiligen User importieren, um eine PKI abzubilden. Der Endanwender muss dann nur noch das Skript entpacken und per Doppelklick ausführen. Die Zertifikate werden anschließend entweder für den lokalen Computer oder für den lokalen Benutzer (Variante des Skripts) im certstore installiert. Diese Lösung möchte ich Euch gerne zur Verfügung stellen.
Das Batch-Skript: (Download weiter unten)
:: PKI Script
:: target Windows Clients and Servers starting from Windows XP and Server 2003
:: src Lars Mautsch. www.software-plattformen.de
:: context admin
::Disclaimer
: The batch script is provided as is. Use it as your own risk. The author cannot be made liable for any damage/harm this script or miss-use of certificates/PKIs might cause.
@echo off
cd /d %~dp0
: root certificates
certutil -f -addstore root root\yourcacertname.cer
: subca certificates
certutil -f -addstore subca subca\yoursubcacertname.cer
: trusted publisher certificates
certutil -f -addstore trustedpublisher trustedpublisher\yourcertname.cer
: wait for user to view result
pause
Erläuterungen zum Skript und Anpassung für den eigenen Anwendungsfall:
ZIP-Archiv mittels 7-zip o.ä. auf den lokalen Rechner entpacken, bspw. in C:\wartung
Das eigentliche Skript befindet sich im root/Basisordner und trägt den Namen „add_certs_system.bat“ . Die Variante für den einzelnen User: add_certs_user.bat
Die Zertifikate, die Ihr verteilen möchtet, werden in die jeweiligen Unterordnern platziert:
root: Für Vertrauenswürdige Stammzertifizierungsstellen – Root CAs
Anschließend die Dateinamen, der zu verteilenden Zertifikate im Skript anpassen, nicht benötigte Teile einfach mit „:“ auskommentieren. Z. B. falls Ihr keine subca benötigt.
Zum Testen: Skript als Administrator ausführen: Rechtsklick auf das Skript – als Administrator ausführen.
Komplette Verzeichnisstruktur wieder packen (ZIP, …) und dann an Endanwender/Nutzer verteilen.
Viel Spaß & Erfolg damit! Wie immer erfolgt die Nutzung komplett auf eigene Gewähr. Ich schließe jegliche Haftung für entstandene Schäden, bspw. durch falsch verwendete, oder selbst-signierte Zertifikate, Tippfehler etc. komplett aus. Über Feedback und insb. Verbesserungsvorschläge freue ich mich sehr. Lasst diese doch gerne wieder der Allgemeinheit zukommen!
Unter verschiedenen Windows-Versionen, wie bspw. Windows 8, Windows 10 oder Windows 11 wächst die Datei „CBS.log“ im Log-Ordner von Windows ungebremst (also in: %WINDIR%\log\CBS – z.B. C:\WINDOWS\log\CBS ). Mich hat das Problem unvorbereitet überrascht und mein System-Laufwerk C: und die CBS.log sind aufgrund eines fehlgeschlagenen Windows-Updates voll gelaufen und hatten keinen freien Speicherplatz mehr. Mehr zum spezifischen Problem und der Ursachenbehebung mit Windows Update und CBS.logs findet ihr weiter unten im Text sowie unter diesen beiden Quellen: hier und hier.
Man muss jedoch, um weiterzukommen erst einmal die Datei CBS.log löschen. Denn man braucht erst einmal wieder Speicherplatz auf dem Systemlaufwerk.
chip.ch hat auf seiner zwei Tipps veröffentlicht, um die CBS.log zu löschen. Die untenstehende Anleitung baut hauptsächlich auf dieser Quelle auf.
Variante 1: Löschen der CBS-Dateien über die Windows Systemsteuerung (Datenträgerbereinigung)
Hinweis: Bei den verschiedenen Windows Versionen sind die Schritt ggf. minimal unterschiedlich. Beispielswiese gibt es bei Windows 10 weniger Schritte. Das grundlegende Vorgehen ist jedoch ähnlich. Lasst Euch davon nicht abschrecken!
Datenträgerbereinigung starten: Drückt die Windows-Taste und gebt in die Suchleiste von Windows den Begriff „Datenträger“ ein. Klickt anschließend auf die „Datenträgerbereinigung„. Auf Englisch: „Disk Cleanup Tool“
Wählt im nächsten Schritt Eure Windows-Systemfestplatte aus aus und bestätigt mit „OK“. In der Regel wird die Systemfestplatte das Laufwerk C: sein.
Anschließend wird die Festplatte wird nach zu löschenden Dateien und Ordnern durchsucht. Wartet nun ein paar Minuten, bis der Vorgang abgeschlossen ist. Der Vorgang kann je nach Systemstatus einige Zeit in Anspruch nehmen. Bitte nicht ungeduldig werden und diesen Vorgang abbrechen. Denn ansonsten müsst Ihr den Vorgang erneut starten und verbraucht noch mehr Zeit.
Klickt dann auf „Systemdateien bereinigen“ / Englisch: „Clean up system files“. Siehe Screenshot. Im Dialog wählt Ihr abermals die Windows-Festplatte aus. Wartet auch hier. bis diese Überprüfung abgeschlossen ist.
Markiert nun alle Dateien, die Ihr löschen möchtet. Insbesondere die Dateien „vom Windows System generierte Windows-Fehlerbericht“ bzw. Englisch: „System created Windows Error Reporting“ sowie die Temporären Dateien / Temporary Files sollten ausgewählt werden. Denn hierunter verstecken sich u.a. die CBS-Logdateien. Bestätigt die Auswahl mit OK.
Nach dem erfolgreichen Löschvorgang wird das Programm automatisch geschlossen und die CBS-Logdateien sollten verschwunden sein.
Variante 2: Manuelles Löschen der CBS-Dateien im Ordner
Öffnet den Windows-Explorer. Der Shortcut dafür: Windows Taste + E drücken. Wählt nun die Systemfestplatte aus. Dies wird bei den meisten Windows-Installationen das Laufwerk C: sein.
Navigiert nun im Systemlaufwerk zum Ordner „Windows“ und in die Unterordner „Log“ und darin den Unterordner „CBS“
Markiert alle Dateien und Unterordner (Shortcut: STRG + A) und drückt die Taste [Entf] bzw. [Del] auf der Tastatur, um diese zu löschen.
Wichtiger Hinweis: Sollte die Fehlermeldung auftauchen, dass das Löschen bestimmter Dateien nicht möglich ist, da tinstaller bzw. der TrustedInstaller von Windows Update noch Zugriff auf diese hat, so müssen zugehörige Prozesse via taskmanager beendet werden. Bzw. muss der Dienst TrustedInstaller beendet werden. Das Beenden des Dienstes gelingt via: Start -> Ausführen -> services.msc und Auswählen des entsprechenden Dienstes +Rechtsklick und „Neu starten“. Manchmal ist ein Neustart des Rechners notwendig, um Windows wirklich zum Löschen der Datei zu überreden. Denn dann wurde der Trusted Installer bzw. Windows Update Dienst sauber neu gestartet. Siehe hierzu auch dieser Foreneintrag.
Die Dateien und Ordner werden vom System automatisch wieder erstellt.
Beobachtet daher regelmäßig diesen Ordner, um Dateien und Ordner zu löschen und Speicherplatz freigeben zu können.
Hintergründe zum Amoklauf von Windows und den durch die CBS.log voll „gemüllten“ Datenträger (Quelle giga.de)
Auslöser für dieses Fehlverhalten ist ein altbekannter Windows-Bug:
Das Windows Betriebssystem speichert die sogenannten Component Based Servicing (CBS)-Logdateien im Ordner C:\Windows\Logs\CBS.
Wenn die derzeitige Datei CBS.log eine bestimmte Größe erreicht, benennt Windows in der Regel die Datei um. Dies erfolgt gemäß dem Schema CbsPersist_YYYYMMDDHHMMSS.log. Hierbei stehen Y für Jahre, M für Monate usw.
Gelingt dies, versucht Windows die umbenannte Datei zu komprimieren, um Speicherplatz zu sparen. Ähnlich einem Logrotate unter Linux-artigen Betriebssystemen.
Allerdings schlägt dieser Vorgang manchmal aus unterschiedlichen Gründen fehl. Beispielsweise tritt ein Fehler auf, wenn die Datei bereits eine Größe von zwei GB erreicht hat. Oder es existieren Probleme mit dem Betriebssystem oder insbesondere dem Dateisystem. Auch besteht die Möglichkeit, dass ein Windows-Update dauerhaft fehlt schlägt.
Während des Komprimierungsversuchs werden allerdings mehrere 100 MB im Ordner C:\Windows\Windows\Temp belegt. Und leider nicht gelöscht… somit ist dieser Speicherplatz voll gemüllt.
Der Vorgang kann sich alle 20 Minuten wiederholen, wodurch irgendwann die Festplatte voll läuft, da die Dateien nicht gelöscht werden, und kein Speicherplatz mehr verfügbar ist.
Ursachenbeseitigung
Wie zuvor bereits angedeutet, ist die Ursache für das Verhalten oftmals ein Problem im Betriebssystem bzw. des Filesystems. Diese können unterschiedlichste Ursachen haben. Allerdings empfiehlt es sich in diesem Fall oftmals, zunächst eine Überprüfung des Systems mit dem Systemdatei-Überprüfungsprogramm (SFC) vorzunehmen. SFC überprüft alle geschützten Systemdateien und ersetzt die beschädigten Dateien durch eine zwischengespeicherte Kopie. Waren diese korrupten Dateien die Ursache für das Problem der großen CBS-Dateien, so ist dieses anschließend verschwunden. Ich habe erlebt, dass in einem großen Anteil der Fälle, damit das Problem langfristig behoben ist. So weit so gut… Wie müsst Ihr dazu vorgehen?
Startet zunächst am besten das Windowssystem neu. Herunterfahren und Euer System anschalten. und hochfahren. Also nicht nur „Neu Starten“ wählen, richtig herunterfahren.
Nach dem Neustart SFC starten. Dazu die Eingabeaufforderung mit Administratorenrechten starten. Auf Start klicken bzw. Windows-Taste drücken und „cmd“ eingeben, Rechtsklick auf „Eingabeaufforderung“ und dann Linksklick auf „Als Administrator ausführen“. Anschließend bestätigen.
In der sich nun öffnenden Eingabeaufforderung den folgenden Befehl eingeben: sfc /scannow . Siehe Screenshot unten.
Der Vorgang kann nun einige Zeit andauern.
Ausführen des Befehls sfc /scannow in der Eingabeaufforderung mit Administratorrechten
Nachdem das System gescannt und ggf. repariert wurde, erscheint eine Meldung in der nachfolgenden Form: „Überprüfung abgeschlossen. Der Windows-Ressourcenschutz hat hat beschädigte Dateien gefunden und erfolgreich repariert. […].“ Die Änderungen stehen dann interessanterweise wieder in der CBS.log, deren Wachstum der Grund für den Artiekl ist… 🙂
Die Eingabeaufforderung schließen. Dazu einfach den Befehl „exit“ eingeben.
Zuletzt das System neu starten. Damit sollte das Problem inkl. der Ursachen hoffentlich der Vergangenheit angehören.
Wie immer gilt: Alle Angaben ohne Gewähr und Einsatz auf eigenes Risiko. Viel Spaß & viel Erfolg! Ich freue mich über mögliches Feedback in den Kommentaren oder via E-Mail o.ä.
Ich hatte in den letzten Monaten häufiger Probleme, die monatlichen Qualitätsrollups unter Windows Server 2016 mit Hilfe der Windows Updates GUI in der Systemsteuerung zu installieren. So bereiteten bspw. die kumulativen Updates KB4284833 und KB4284880 wieder Probleme. Es scheitert nach langer Installationsdauer mit dem Windows Update Fehlercode 0x800705b4. Daher habe ich mich auf die Suche gemacht und in den Microsoft-Foren eine Möglichkeit gefunden, manuell die erfolgreiche Installation der entsprechenden Updates anzustoßen. Diese führt über das so genannte Server Konfigurationstool (Sconfig). Das Tool ist eigentlich für die Verwaltung und Konfiguration der abgespekten Windows Server Core-Installationen (ohne Windows GUI) gedacht ist. Es funktioniert auch bei den normalen Windows Server-Versionen hervorragend. Da es gängige Fehler in der Windows Update-Mechanik (Dienste, etc.) durch Neustarten und Löschen von Caches beseitigt, hilft es Windows Update-Probleme zu beseitigen.
Schritt-für-Schritt Anleitung, um mittel Sconfig Windows Updates ohne den Fehler 0x800705b4 durchzuführen:
Vorbereitender Schritt: Windows Defender (Echtzeitschutz) für die nachfolgenden Schritte de-aktivieren. Ich habe gemerkt, dass dies die nachfolgenden Schritte spürbar beschleunigt.
Start -> Ausführen
// Kommandozeile öffnen – Administratorrechte sollten für den aktuellen Benutzer vorhanden sein)
Im nun folgenden Dialog muss die Option 6 – „Updates herunterladen und installieren“ ausgewählt werden:
Auswahlmenü des Serverkonfigurationstools
Anschließend wird abgefragt, ob alle verfügbaren Updates oder nur empfohlene Updates gesucht werden sollen. An dieser Stelle kann entweder A für „Alle“ oder „E“ für Empfohlene Updates ausgewählt werden.
// Ich habe mich im Folgenden immer für die Option „Alle“ entschieden. Wird die andere Option (nur empfohlene Updates) gewählt, sehen die Screenshots minimal anders aus.
Suche nach Updates. Optionen: Alle Updates suchen oder nur noch empfohlenen Updates suchen.
Nun werden die verfügbaren Updates angezeigt. Bitte jetzt die gewünschten Updates auswählen: entweder „alle“ zu installierenden Updates, „keine“ oder „einzelne“ Updates.
// Ich habe mich wieder für die Option „alle“ entschieden. Siehe oben.
Nun starten nacheinander das Herunterladen und anschließend die Installation der Updates.
// Dies kann je nach Auswahl einige Zeit in Anspruch nehmen. Bitte plant ausreichend Zeit ein.
Herunterladen und anschließende Installation der Updates – bitte Zeit einplanen!
Die Installation sollte ohne den Fehlercode 0x800705b4 abgeschlossen werden.
Windows Defender wieder aktivieren.
Wie immer gilt: Alle Angaben ohne Gewähr und Einsatz auf eigenes Risiko. Viel Erfolg beim Update Eures Windows 2016 Servers – hoffentlich ohne 0x800705b4 ;-). Feedback ist willkommen!
Update 05. Juli 2018: Auf Giga.de gibt es weitere Hilfestellungen, falls die o.g. Vorgehensweise das Problem nicht beseitigt.
