SCCM MP Üzerinde 403 Forbidden Hatası ve Sertifika Kaynaklı Sorunun Giderilmesi

SCCM (System Center Configuration Manager) altyapısında bazen istemci (client) iletişimleri veya yönetim noktası (MP – Management Point) servisleri beklenmeyen şekilde başarısız olabilir. Bu durum çoğu zaman HTTP 403 Forbidden hatasıyla kendini gösterir.

Geçtiğimiz günlerde karşılaştığım bir senaryoda, SCCM MP sunucusunda istemcilerle olan iletişim kesilmiş ve MP_Location.log, mpcontrol.log gibi log dosyalarında aşağıdaki gibi bir hata mesajı yer almaya başlamıştı:

The HTTP status code and text is 403, Forbidden

Sorunun Nedeni

Bu hata çoğunlukla yetkisiz erişim, sertifika güven zinciri sorunları veya IIS üzerindeki HTTPS yapılandırmalarıyla ilgili olabilir. Ancak bu durumda sorun daha spesifikti: MP sunucusu istemci isteklerini reddediyor, 403 döndürüyordu ve istemciler site bileşenlerine erişemiyordu.

İlk kontrol ettiğim adımlar şunlardı:

• IIS servisinin çalıştığını ve HTTPS binding’inin doğru yapılandırıldığını doğruladım.
  
• SCCM istemcilerinin Management Point ile bağlantı kuramadığını fark ettim.
  
• mpcontrol.log dosyasında aşağıdaki benzer satırlar vardı: vbnetCopyEditCall to HttpSendRequestSync failed for port 443 with status code 403, text: Forbidden

Sertifika Denetimi

Sertifika tabanlı iletişimlerde SCCM MP’nin istemcilere sunduğu kök sertifika zincirinde bir uyumsuzluk olması halinde bu tür hatalar görülebilir. Bu nedenle PowerShell üzerinden kök sertifika deposunu kontrol ettim:

Get-Childitem cert:\LocalMachine\root -Recurse | Where-Object {$_.Issuer -ne $_.Subject} | Format-List

Bu komut, kök sertifika deposunda kendi kendini imzalamamış (yani üçüncü bir otorite tarafından imzalanmış) sertifikaları listeler. Bu tip sertifikaların kök sertifika deposunda bulunması SCCM gibi güvenlik duyarlı sistemlerde sorun yaratabilir.

Listelediğim sertifikalardan biri sistemde kullanılmayan, üçüncü partiye ait eski bir kök CA sertifikasıydı ve güven zincirine zarar veriyordu. Bu sertifikayı doğrudan MMC üzerinden ya da PowerShell ile kaldırdım:

Remove-Item "cert:\LocalMachine\root\<Thumbprint>"

Servis Yeniden Başlatma ve Sonuç

Sertifika silindikten sonra aşağıdaki adımları uyguladım:

• IIS servislerini yeniden başlattım: “iisreset“
  
• SCCM MP bileşenini yeniden başlattım : “Restart-Service SMS_EXECUTIVE“

Tüm bu işlemler sonrası istemcilerin MP’ye erişimi yeniden sağlandı ve 403 hatası loglardan kayboldu.