Die Verbindung scheitert mit 08S01 „UntrustedRoot“
Eine Verbindung über https scheitert sofort mit SQLSTATE 08S01 und der Meldung:
Der Dienst ist nicht erreichbar: Die gesicherte Verbindung (TLS) kam nicht zustande - … UntrustedRoot … Häufigster Grund: Das Zertifikat des Dienstes ist auf diesem Rechner nicht als vertrauenswürdig eingetragen.
In Access erscheint nur „ODBC-Verbindung … fehlgeschlagen“ (3151); die Meldung oben steht dann in der Ablaufverfolgung des Treibers.
Umgebung
Treiber in beiden Bitbreiten, jede Anwendung; Dienst mit einem Zertifikat, das nicht von einer öffentlichen Zertifizierungsstelle stammt (eigene Firmen-CA, selbstsigniert).
Ursache
Der Treiber prüft das Zertifikat des Dienstes gegen die Zertifikatsspeicher von Windows. Kennt dieser Arbeitsplatz die ausstellende Stelle nicht, bricht die Verbindung ab. Einen Schalter, die Prüfung abzuschalten, gibt es bewusst nicht: Eine abgeschaltete Prüfung schickte Schlüssel, Kennwörter und Codes an jeden, der sich zwischen Arbeitsplatz und Dienst stellt. Der Treiber wiederholt den Versuch nicht – ein nicht vertrautes Zertifikat ist drei Sekunden später dasselbe.
Behebung
- Klären Sie, wer das Zertifikat ausgestellt hat: Fragen Sie den Betreiber des Dienstes, oder öffnen Sie die Adresse des Dienstes im Browser und sehen Sie sich das Zertifikat an.
- Stammt es von einer Firmen-CA, verteilen Sie deren Stammzertifikat per Gruppenrichtlinie an alle Arbeitsplätze: Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Richtlinien für öffentliche Schlüssel > Vertrauenswürdige Stammzertifizierungsstellen.
- Für einen einzelnen Arbeitsplatz, etwa zum Testen, importieren Sie das Stammzertifikat als Administrator unter Lokaler Computer > Vertrauenswürdige Stammzertifizierungsstellen.
- Auf Dauer geben Sie dem Dienst ein Zertifikat einer öffentlichen Stelle; das Installationspaket des Datendienstes bringt dafür einen Bezug über Let's Encrypt mit. Dann ist auf den Arbeitsplätzen nichts zu verteilen.
Die Bitbreite spielt keine Rolle: x86- und x64-Treiber lesen dieselben Zertifikatsspeicher.
Prüfung
Öffnen Sie die Adresse des Dienstes (…/odata/v4/) in Edge oder Chrome auf demselben Arbeitsplatz;
beide prüfen Zertifikate gegen die Zertifikatsspeicher von Windows wie der Treiber. (Ein Browser mit
eigenem Zertifikatsspeicher taugt für diese Probe nicht.) Es erscheint kein
Zertifikatshinweis. Danach verbindet der Treiber, und die Ablaufverfolgung zeigt die Antwort des
Dienstes auf $metadata statt der TLS-Meldung.