由于缺少根证书导致产品安装或升级问题

技术文章 ID: KB87096
上次修改时间: 2022/03/31

环境

McAfee Active Response (MAR) 2.x
McAfee Agent (MA) 5.x
McAfee Application and Change Control (MACC) 8.x
McAfee Data Exchange Layer (DXL) 5.x
McAfee Data Loss Prevention Endpoint (DLP Endpoint) 11.x
McAfee Endpoint Intelligence Agent (EIA) 2.x
McAfee Endpoint Security (ENS) 防火墙 10.x
McAfee ENS Platform (Common) 10.x
McAfee ENS 危险防护 10.x
McAfee ENS Web 控制 10.x
McAfee Host Intrusion Prevention (Host IPS) 8.0
McAfee Threat Intelligence Exchange Module (TIEm) for VirusScan Enterprise 1.x
McAfee VirusScan Enterprise (VSE) 8.8

摘要

本文的最近更新

日期	更新
2021 年 10 月 25 日	添加的WOW6432Node启用相关的组策略对象（GPO）时参考注册表信息。
2021 年 8 月 27 日	附加一个 ePO 端点部署工具包（EEDK）包，可用于通过 ePO 安装证书。更正了验证数字签名所需的根证书的键入。 Microsoft分发这些证书，作为Microsoft受信任的根程序.
2021 年 8 月 9 日	添加了所添加的开iCert 根证书和中间证书。

要在本文更新时收到电子邮件通知，请单击页面右侧的订购。您必须登录后才能订购。

问题

当您尝试安装或升级 McAfee Enterprise 产品时，会看到以下任一问题：

单击以展开要查看的部分。

McAfee Enterprise 产品安装或升级失败

对本文环境部分中列出的任何产品进行安装或升级失败。
安装或升级基础 ENS 平台时可能会发生故障。该故障还会影响安装或升级任何 ENS 平台模块。

记录以下错误：

VSEVSEInst_xxxxxx_xxxxxx.log:

错误 - SysCore 安装失败： 255
！>保留自定义操作Install_SysCore （）
CustomAction Install_SysCore returned actual error code 1603 (Note: This code might not be 100% accurate if translation happened inside sandbox)
Fin de la acción 12：28：11： InstallExecute 。 Return value 3.
MSI （98：70） [12：28：11：908]： Note: 1: 2265 2: 3: -2147287035

或：

>> 安装 SysCore： "C：\Program Files （x86）\McAfee\VirusScan Enterprise\VSCore\x64\mfehidin.exe" -i VSE88P9 -q -mfetrust_killbit –oastrust_off -l "C：\Users\asmith\AppData\Local\Temp\McAfeeLogs\vse8.8.0.core_install_060517_163652.log"-etl "C：\Users\asmith\AppData\Local\Temp\McAfeeLogs\vse8.8.0.core_install_060517_163652.etl" -x vse.xml OAS ELAM AAC DiskFilter firecore_driver EmailScan ScriptScan
！> 错误 - SysCore 安装失败： 255
<= leave custom action Install_SysCore()
CustomAction Install_SysCore returned actual error code 1603
注意：如果在沙盒内发生了转换，则上述代码的这一结果可能无法 100% 准确。
操作结束于 16：37：58： InstallExecute 。 Return value 3.

VSEvse8.8.0.core_install_xxxxxx_xxxxxx.log:

parseCertificate: CertAddSerializedElementToStore failed 80070005

或：

StartStopMFeServices：停止
StartStopAllMMSServices： start=false
StartStopAllMMSServices：错误！使用 -2146869243 表示 MmsControlCreate 失败
StartStopAllMMSServices： exit=0

或

错误！签名检查失败
Validate区： return=0
错误！验证文档时
策略禁用 0 服务已停止 0
返回4294967295

ENSMcAfee_Common_VScore_Install_date_time.log:

AAC 未安装。错误=-2146869243
错误！未能创建 AAC 控制。错误=-2146869243
StartStopAllMMSServices：错误！使用 -2146869243 表示 MmsControlCreate 失败

ENSMcAfee_MfeEpAac_date_time.log:

VerifyParentEntryPointIsMcAfeeSigned： VerifyProcess PID[2340] LastErr0x80096005时间戳特征码或证书无法验证或格式错误。
LastErr0x80096005时间戳特征码或证书无法验证或格式错误。

ENSMcAfee_Common_Bootstrapper_date_time.log:

运行应用程序获取安装程序排除项失败： 2148098053
通过获取安装程序排除项mfeEpAAC MFEPROTECT 失败
现在，尝试使用受 MFEINSTALL 保护的 mfeEpAAC 获取安装程序排除项
解压缩 MfeEpAac.exe： C：\Windows\TEMP\MfeEpAac.exe
提取成功
这是一个 64 位系统
"C：\Windows\TEMP\MfeEpAac.exe" -add -rootlocation "C：\Program Files\McAfee\Endpoint Security" -rootlocation "C：\Program Files （x86）\McAfee\Endpoint Security" -文件夹 "C：\ProgramData\McAfee\Endpoint Security"
PROCESS 返回代码： 3221225506
运行应用程序获取安装程序排除项失败： 3221225506

注意：错误代码0x80096005和 -2146869243转换为：TRUST_E_TIME_STAMP. 时间戳特征码或证书无法验证或格式错误。未能验证证书信息会导致此错误。

ENSSetupapi.dev.log:

Sto：{DRIVERSTORE_IMPORT_NOTIFY_VALIDATE.EN_US}15:24:26.278
打开 INF：打开 INF： 'C：\windows\System32\DriverStore\Temp\{0e190d7e-0a4d-0593-f0cf-a3732f126723}\mfenlfk.inf' （[字符串]）
Sig：{_VERIFY_FILE_SIGNATURE.EN_US}15:24:26.285
sig: Key = mfenlfk.inf
sig：文件路径 = C：\windows\System32\DriverStore\Temp\{0e190d7e-0a4d-0593-f0cf-a3732f126723}\mfenlfk.inf
sig：目录 = C：\windows\System32\DriverStore\Temp\{0e190d7e-0a4d-0593-f0cf-a3732f126723}\mfenlfk.cat
! Sig： 针对特定（有效）目录验证文件失败！（0x800b0109）
! Sig： 错误0x800b0109：证书链已处理，但终止在根证书中，该证书受信任提供程序信任。
sig： {_VERIFY_FILE_SIGNATURE exit （0x800b0109）} 15：24：26.370
Sig：{_VERIFY_FILE_SIGNATURE.EN_US}15:24:26.370
sig: Key = mfenlfk.inf
sig：文件路径 = C：\windows\System32\DriverStore\Temp\{0e190d7e-0a4d-0593-f0cf-a3732f126723}\mfenlfk.inf
sig：目录 = C：\windows\System32\DriverStore\Temp\{0e190d7e-0a4d-0593-f0cf-a3732f126723}\mfenlfk.cat
! sig：无法通过特定 Authenticode（tm）目录验证文件！（0x800b010a）
! Sig： 错误0x800b010a：无法将证书链构建到受信任的根颁发机构。
sig： {_VERIFY_FILE_SIGNATURE exit （0x800b010a）} 15：24：26.376
!!! Sto： 验证驱动程序包时发生意外错误. 假设驱动程序包未签名。目录 = mfenlfk.cat ，错误 = 0x800B010A
!!! Sto： 驱动程序包被视为未签名.
!!! ndv： 驱动程序包签名验证失败。 Error = 0xE0000247
其他名称： {DRIVERSTORE_IMPORT_NOTIFY_VALIDATE exit （0xe0000247）} 15：24：26.377
!!! Sto： 驱动程序包无法签名验证。 Error = 0xE0000247
!!! sto: Failed to import driver package into Driver Store. Error = 0xE0000247
出站驱动程序包： {stage Driver Package：exit（0xe0000247）} 15：24：26.379
!!! Sto： 未能将驱动程序包阶段性到驱动程序存储。错误 = 0xE0000247，时间 = 936 ms
出站： {导入驱动程序包： exit （0xe0000247）} 15：24：26.382
inf：打开 INF： 'C：\windows\TEMP\{432DB9E4-6388-432F-9ADB-61E8782F4593}\mpt_install_base\x64\mfenlfk.inf' （[字符串]）
! Inf：添加到驱动程序存储失败
! Inf：错误0xe0000247：尝试将驱动程序添加到存储时遇到问题.
!!!inf：返回失败至 SetupCopy 设施/

VSE8.8补丁安装失败;回滚机制也失败

A VSE8.8补丁升级安装失败，回滚机制也失败。该故障会损坏系统中 VSE 的安装。它还将 McAfee 验证信任保护服务保留为停止状态和 VSE OnAccessScanner 服务禁用.

VSE 安装日志中会记录错误（C:\Windows\Temp\McAfeeLogs):

VSEVSE88_Patch_xxxxxx_xxxxxx.log:

>>安装 SysCore： "C：\Program Files （x86）\McAfee\VirusScan Enterprise\VSCore\x64\mfehidin.exe" -i VSE88P7 -q -mfetrust_killbit -l "C：\Windows\TEMP\McAfeeLogs\vse8.8.0.core_install_041416_090556.log" -etl "C：\Windows\TEMP\McAfeeLogs\vse8.8.0.core_install_041416_090556.etl" -x vse.xml OAS ELAM AAC DiskFilter firecore_driver EmailScan ScriptScan
！> 错误 - SysCore 安装失败： 255
<= leave custom action Install_SysCore_Patch()
CustomAction Install_SysCore_Patch returned actual error code 1603
注意：如果在沙盒内发生了转换，则上述代码可能无法 100% 准确。
MSI （DC：14） [09：06：35：968]：用户策略值"DisableRollback"为 0
MSI （DC：14） [09：06：35：968]：计算机策略值"DisableRollback"为 0

VSEVse8.8.0.core_install_xxxxxx_xxxxxx.log:

GetAccessAndDeleteFile： FileDelete（C：\Program Files （x86）\Common Files\McAfee\SystemCore\mcvssnmp.dll）失败，返回错误 5
GetAccessAndDeleteFile： FileDelete（C：\Program Files （x86）\Common Files\McAfee\SystemCore\mcvssnmp.dll.a5a7.deleteme）失败，返回错误 2

安装错误：非安装安装
错误！未能创建 AAC 控制。错误=-2146762486
返回4294967295

VSE8.8补丁管理扩展升级失败（无法创建 AP 配置）

A VSE8.8补丁管理扩展升级失败，出现以下消息：Orion.log文件（..\Program Files(x86)\McAfee\ePolicy Orchestrator\Server\Conf\Orion):

BUILD FAILED
D：\PROGRA~1\McAfee\EPOLIC~1\server\extensions\installed\VIRUSCAN8800\8.8.0.448\install.xml：78： com.mcafee.orion.core.cmd 。
CommandException： APPolicyMigrateCommand：未能创建 AP 配置

证书验证错误会导致以下问题：APConfig对象。产品无法验证涉及的 DLL 证书。因此，无法创建APConfig对象以更新策略。

类别和规则字段在 VSE 访问保护策略中不包含数据

以下字段类别和规则在 VSE 访问保护策略中不包含数据。升级 VSE 后会出现该问题8.8补丁扩展。

规则字段在 VSE 访问保护策略中不包含数据

以下字段规则在 VSE 访问保护策略中不包含数据。升级 VSE 后会出现该问题8.8补丁扩展。

使用 nnnnxdat.exe （V2）或 V3_nnnndat.exe （V3）包的更新失败

使用nnnnxdat.exe （V2）或V3_nnnndat.exe（V3）包在缺少一个或多个根证书时失败。

警告：证书 - 在核心安装日志中找不到根

在核心安装日志中发现以下错误：

Warning: Certificate - not found in Root

产品核心安装日志包含与以下示例类似的错误：

注意： 核心安装日志中的证书名称可能有所不同。

MACC mac_mpt.log:

[09：14：16：612] - 存在总计 1 个警告值
代码 [0x60001100] ：必需的证书无法位于证书存储中。
存在总计 1 个错误值
代码 [0x20005011] ：安装过程中发生内部错误。
警告：在根中找不到证书 UTN-USERFirst-Object。
警告：在根中找不到证书 GlobalSign Root CA - R1。
退出代码将被4294967295

VSEVSEInst_.log:

警告：在根中找不到证书 UTN-USERFirst-Object。
RecordActionCode：操作结果 1 类别 1 消息 16（最终0x60001100。
警告：在根中找不到证书 GlobalSign Root CA - R1。
LoadElamPplCerts：确保 PPL 证书加载到操作系统中
StartStopMFeServices：停止
StartStopAllMMSServicesExceptVTP： start=false
StartStopAllMMSServicesExceptVTP：错误！ -2146762486 MmsControlCreate 发生故障
StartStopAllMMSServicesExceptVTP： exit=0
错误： StartStopMfeServices：无法停止服务...
StartStopMFeServices： return=0
错误！停止服务时。

原因

以下一个或多个证书缺少：

Root certificates:
- AAA Certificate Services
- AddTrust External CA Root
- DigiCert Assured ID Root CA
- GlobalSign
- GlobalSign Root CA
- Microsoft Code Verification Root
- USERTrust RSA Certification Authority
- UTN-USERFirst-Object
- Verisign Universal Root Certification Authority
- Verisign Class 3 Public Primary Certification Authority - G5

或：

中间证书颁发机构证书：
- AddTrust External CA Root
- COMODO RSA Code Signing CA
- DigiCert SHA2 Assured ID Timestamping CA
- GlobalSign
- GlobalSign Root CA
- GlobalSign CodeSigning CA - G3
- GlobalSign CodeSigning CA - SHA256 - G3
- McAfee Code Signing CA 2
- McAfee OV SSL CA 2
- USERTrust RSA Certification Authority
- Verisign Class 3 Code Signing 2010 CA

最新的 McAfee Enterprise 二进制文件已使用更新的 SHA-1 和 SHA-256 证书签名。需要这些根证书来验证数字签名。 Microsoft分发这些证书，作为Microsoft受信任的根程序.

缺少根证书的原因包括，但不仅限于：

管理员已从系统中删除证书。
系统未连接 Internet，执行根 AutoUpdate （自动根更新）时需要该连接。
当以下注册表值如下设置时，生效的组策略会阻止根证书更新：
- HKLM\SOFTWARE\Policies\Microsoft\SystemCertificates\AuthRoot\DisableRootAutoUpdate is set to 1.
- HKLM\SOFTWARE\WOW6432Node\Policies\Microsoft\SystemCertificates\AuthRoot\DisableRootAutoUpdate被设置为1.
- HKLM\SOFTWARE\Policies\Microsoft\SystemCertificates\Root\ProtectedRoots 存在。

解决方案

使用以下解决方案解决缺少的证书问题：

单击以展开您要查看的解决方案。

导入验证数字签名所需的证书

导入验证数字签名所需的证书。安装证书后，可以成功安装或升级产品。

在物理中安装缺少的根证书第三方受信任的根证书颁发机构商店。 (AAA Certificate Services, AddTrust External CA Root, DigiCert Assured ID Root CA, GlobalSign, GlobalSign Root CA, Microsoft Code Verification Root, USERTrust RSA Certification Authority, UTN-USERFirst-Object, Verisign Class 3 Public Primary Certification Authority - G5, and Verisign Universal Root Certification Authority)
在物理中安装丢失的中间证书颁发机构证书中间证书颁发机构 商店。 Add the certificates listed below:
- COMODO RSA Code Signing CA
- DigiCert SHA2 Assured ID Timestamping CA
- GlobalSign, GlobalSign CodeSigning CA - G3, GlobalSign CodeSigning CA - SHA256 - G3, and GlobalSign Root CA
- McAfee Code Signing CA 2, McAfee OV SSL CA 2
- Trust External CA Root
- USERTrust RSA Certification Authority (2028)
- Verisign Class 3 Code Signing 2010 CA)

选项 1 - 使用Active Directory策略安装证书
McAfee Enterprise 建议您使用组Active Directory策略来安装证书，进行广泛的部署。有关如何使用组策略部署注册表更改的信息，请参阅Microsoft文章：配置注册表项.

部署对的注册表更改。计算机策略，而不是用户政策。有关示例说明，请参阅：KB92948 - 如何确定系统是否拥有更新的根证书.

Option 2 - Install the certificates directly on the system
如果您具有单个系统或仅有几个系统，您可以使用以下文件之一（.bat文件或.reg文件），以在系统上直接安装证书。或者，您可以使用任何适当的管理部署方法远程安装证书。

要安装证书，请：

Download the file DigiCert_USERFirst_VeriSign_Comodo_GlobalSign_and_USERTrust.bat.txt in the Attachment section of this article. 将文件重命名为DigiCert_USERFirst_VeriSign_Comodo_GlobalSign_and_USERTrust.bat并运行该脚本。

或：
Download the file DigiCert_USERFirst_VeriSign_Comodo_GlobalSign_and_USERTrust.reg.txt in the Attachment section of this article. 将文件重命名为DigiCert_USERFirst_VeriSign_Comodo_GlobalSign_and_USERTrust.reg并导入。

选项 3 - 使用安装证书ePolicy Orchestrator （ePO）
使用 ePO 端点部署工具包（EEDK）包DIGICERT1000.zip，查看此文章的附件部分。

解决阻止在自动更新根证书的问题

解决阻止在自动更新根证书的问题。

Microsoft组策略对象和自动更新，但允许管理根证书。证书存储的管理不在其技术支持。

使用以下解决方案只如果组策略阻止根证书更新：

注意：本文包含打开或修改注册表的信息。

以下信息供系统管理员使用。注册表修改是不可逆的，如果执行不正确可能会导致系统故障。
执行前，技术支持强烈建议您先备份注册表并了解还原过程。有关详细信息，请参阅 http://support.microsoft.com/kb/256986。
请不要运行未确认为真正的注册表导入文件的 REG 文件。

更改注册表值 HKLM\SOFTWARE\Policies\Microsoft\SystemCertificates\AuthRoot\DisableRootAutoUpdate从1自0.

注意：如果您要使用组策略进行广泛的部署更改，则此设置的组策略对象（GPO）处于：计算机配置,管理模板,系统,Internet Communication Management, Internet Communication settings,关闭自动根证书更新. 改变Turn off Automatic Root Certificates Update 从启用自禁用.
1. 按 Windows+R键，键入 regedit，然后单击确定。
2. 导航至HKLM\SOFTWARE\Policies\Microsoft\SystemCertificates\AuthRoot\DisableRootAutoUpdate.
3. 更改以下值：1自0.
4. 退出注册表编辑器。
如果存在，请删除注册表项ProtectedRoots，位于HKLM\SOFTWARE\Policies\Microsoft\SystemCertificates\Root\ProtectedRoots:
1. 按 Windows+R键，键入 regedit，然后单击确定。
2. 导航至HKLM\SOFTWARE\Policies\Microsoft\SystemCertificates\Root.
3. 右键单击ProtectedRoots点击出口，然后选择备份副本的保存位置。
4. 右键单击ProtectedRoots点击删除，然后单击是的何时提示。
5. 退出注册表编辑器。

附件 1

DigiCert_USERFirst_VeriSign_Comodo_GlobalSign_and_USERTrust.bat.txt
70K • < 1 minute @ broadband

附件 2

DigiCert_USERFirst_VeriSign_Comodo_GlobalSign_and_USERTrust.reg.txt
109K • < 1 minute @ broadband

附件 3

DIGICERT1000.zip
28K • < 1 minute @ broadband

免责声明

本文内容源于英文。如果英文内容与其翻译内容之间存在差异，应始终以英文内容为准。本文部分内容是使用 Microsoft 的机器翻译技术进行翻译的。

受影响的产品

Application and Change Control 8.3.x
Application and Change Control 8.2.x
Data Exchange Layer 5.x
Data Loss Prevention Endpoint 11.5.x (EOL)
Data Loss Prevention Endpoint 11.4.x (EOL)
Endpoint Intelligence Agent 2.6
Endpoint Security Firewall 10.7.x
Endpoint Security Firewall 10.6.x
Endpoint Security Threat Prevention 10.7.x
Endpoint Security Threat Prevention 10.6.x
Endpoint Security Web Control 10.7.x
Endpoint Security Web Control 10.6.x
Host Intrusion Prevention 8.0 (EOL)
Install/Uninstall
Known Issue/Product Defect
McAfee Active Response 2.x
McAfee Agent 5.7.x
McAfee Agent 5.6.x
Threat Intelligence Exchange Module for VirusScan Enterprise
Upgrade/Migrate
VirusScan Enterprise 8.8 (EOL)

语言:

此文章有以下语言版本：

German
English United States
Spanish Spain
French
Italian
Japanese
Portuguese Brasileiro
Chinese Simplified

Knowledge Center

由于缺少根证书导致产品安装或升级问题

环境

摘要

问题

原因

解决方案

相关信息

附件 1

附件 2

附件 3

免责声明

受影响的产品

语言:

Title

Title

Knowledge Center

由于缺少根证书导致产品安装或升级问题

环境

摘要

问题

原因

解决方案

相关信息

附件 1

附件 2

附件 3

免责声明

受影响的产品

语言:

选择您的区域

Title

Title