Erreur de registre Easy-RSA sous Windows : vérifier la vue du registre

Ce message de registre est un échec de recherche d'outils, pas une CA cassée. Comparez les vues 32 bits et 64 bits avant de modifier le fichier batch ou la PKI.

Le fichier batch s'arrête avec « Le système n'a pas pu trouver la clé ou la valeur de registre spécifiée » et tout le monde suppose que l'autorité de certification est cassée. Elle ne l'est pas, ou du moins pas encore : le script a échoué pendant la recherche d'un logiciel, avant d'avoir demandé à Easy-RSA quoi que ce soit avec une clé. Cet ordre compte, car il signifie que la réparation est un problème de recherche et que la PKI n'est que spectatrice. Lire la ligne qui échoue constitue tout le diagnostic, et cela prend moins de temps que n'importe quel contournement.

L'erreur survient avant que la CA soit touchée

Les anciens fichiers batch d'Easy-RSA 2 localisent OpenSSL ou l'installation d'OpenVPN en interrogeant le registre, puis définissent des variables d'après ce qu'ils trouvent. Quand la requête ne renvoie rien, le script s'arrête avant qu'aucune opération de certificat ne s'exécute.

Un message sur une clé de registre est donc une preuve sur l'environnement du script, pas sur le répertoire de la CA.

Deux vues du registre, un seul fichier batch

Un processus 32 bits et un processus 64 bits peuvent voir des vues différentes du registre, et un fichier batch qui en suppose une peut manquer l'entrée qui existe dans l'autre. Ces comparaisons en lecture seule montrent la différence pour la clé héritée que certains anciens scripts utilisent :

reg query "HKLM\SOFTWARE\OpenVPN" /reg:32
reg query "HKLM\SOFTWARE\OpenVPN" /reg:64

La référence de reg query documente les sélecteurs de vue. Exécutez les deux dans le même contexte que le script qui échoue, car la vue dépend de la façon dont le processus démarre ainsi que des indicateurs. Si l'entrée n'existe que dans une vue, comparez le chemin vers lequel elle pointe avec les outils installés avant de changer quoi que ce soit. Une clé qui existe mais désigne un ancien répertoire d'installation est une autre panne qu'une clé absente.

Si aucune des deux vues ne contient l'entrée, l'installateur ne l'a jamais créée, et fabriquer une valeur à la main ne fera pas fonctionner les outils.

N'ajoutez pas /reg:64 sans condition

Le correctif tentant consiste à ajouter le sélecteur 64 bits à chaque requête et à passer à autre chose. Sur certaines installations, c'est correct ; sur d'autres, cela envoie le script vers une vue qui n'a réellement rien.

Ne changez la recherche qu'après avoir vu quelle vue contient la valeur attendue.

Découvrir n'est pas réparer la PKI

Cette erreur n'établit pas que le certificat de la CA, la clé de signature, le fichier de numéro de série ou la base de révocation sont endommagés. Lancer un clean-all copié d'un ancien tutoriel détruirait un ensemble d'objets complètement différent tout en laissant la recherche cassée. Gardez les deux activités séparées dans votre tête et dans le ticket. Si une opération de certificat échoue plus tard, évaluez-la d'après ses propres preuves.

Sauvegardez le répertoire de la CA avant toute expérience, même une expérience dont vous êtes sûr qu'elle est en lecture seule.

Passer à Easy-RSA 3 est une migration

Une installation maintenue devrait utiliser le lanceur et le modèle de configuration propres au paquet actuel, et Easy-RSA 3 n'est pas le même flux de travail par fichiers batch qu'Easy-RSA 2. Son guide de démarrage rapide pour une nouvelle PKI n'est pas une instruction de migration pour une autorité existante. Avant de changer de version, conservez le matériel de la CA ainsi que les registres d'émission et de révocation, et suivez les consignes de mise à niveau de cette version. Initialiser une CA de remplacement dans le répertoire faisant autorité pour faire disparaître une erreur de découverte d'outils est la pire option de la liste.

Un changement de version est un projet ; l'erreur de registre est un après-midi.

La comparaison qui le résout vraiment

Notez quatre choses et comparez-les directement :

  • Quel script a été exécuté, et quelle ligne a échoué.
  • Quelle vue du registre cette ligne a interrogée.
  • Quel chemin d'exécutable le script attendait.
  • Quelle installation existe réellement sur la machine.

Quand ces quatre éléments concordent, l'erreur disparaît, et tout problème de certificat qui subsiste peut être lu d'après ses propres preuves au lieu d'être imputé à la CA.

Articles similaires