مساء الخير عزيزي القارئ،
سأخبركم عن الكابوس الذي مررت به أثناء نقل CA من Windows 2008R2 وما بعده Windows 2012 R2. هناك الكثير من المقالات على الإنترنت حول هذا الموضوع، ولم يكن من المفترض أن تكون هناك أي مشاكل.
للأسف، أنا لست كذلك حقاً Windows يا مدير النظام، أنا أميل أكثر إلى إدارة أنظمة *nix، ولكن تم تحديد مهمة ترحيل CA - يجب القيام بها.
أسفل المقطع، سأخبرك كيف مررت بهذه العملية وانتهى بي الأمر بنهاية سعيدة تمامًا.
وهكذا ذهبنا ...
خلفية:
مصدر - Windows 2008 R2 مع Root CA
هدف - Windows 2012R2
الخادم Windows كان لديّ بالفعل نظام التشغيل 2012R2 مثبتًا ومُهيأً بشكل بسيط.
في البداية كانت خطة العمل كالتالي (الإجراءات المختصرة):
1) قم بإنشاء نسخة احتياطية من CA + مفتاح خاص وانسخه إلى مشاركة مشتركة لكلا الجهازين
2) إزالة الهدف من المجال وتغيير IP
3) قم بعمل لقطة للخادم
4) تغيير IP في المصدر
5) قم بتسجيل الدخول إلى الخادم الجديد Windows في نظام التشغيل Windows Server 2012 R2، ضمن حساب المسؤول، أدخله في النطاق بنفس الاسم وقم بتعيين عنوان IP القديم.
6) قم بتعيين دور خدمة شهادات Active Directory (CA، وتسجيل ويب CA، وNDES، والمستجيب عبر الإنترنت)
7) نشير إلى أن هذا هو Enterprise CA
8) استعادة CA + المفتاح الخاص من النسخة الاحتياطية
9) نهاية سعيدة
أوافق، لا يوجد شيء معقد. وبدأت في تنفيذه. في الواقع لم تكن هناك مشاكل وسار كل شيء كالساعة... بدأت الخدمة وظهرت قوالب الشهادات وظهرت الشهادات نفسها. بشكل عام، كل شيء على ما يرام. لذلك ذهبت إلى السرير. في الصباح لم تكن هناك شكاوى حول عمل CA، وبالتالي افترضت أن كل شيء كان يعمل وانتقلت إلى مهام أخرى. وفي عملية حلها، كنت بحاجة إلى شهادة. لقد قمت بإنشاء .csr واتبعت الرابط للتوقيع واستلام الشهادة وفي هذه المرحلة حدث خطأ. لسوء الحظ، لم ألتقط لقطة شاشة، لكنها أظهرت عدم تطابق معلومات المستخدم وبعض الأخطاء الأخرى. حسنًا، ها نحن هنا، اعتقدت. لقد بدأت بالبحث على Google، لكن لسوء الحظ لم أجد أي شيء واضح.
قررنا إزالة برنامج CA في المساء. Windows قمت بتثبيت Windows Server 2012 R2 وأعدت تثبيت كل شيء، ثم ارتكبت خطأً: بدلاً من اختيار Enterprise CA، اخترت Standalone CA (مع أنني لم أدرك خطئي إلا لاحقًا). كررت جميع الخطوات مرة أخرى... سارت الأمور على ما يرام، ولكن عند تحديد مجلد قوالب الشهادات، تظهر لي رسالة خطأ "العنصر غير موجود"، مع أن القوالب موجودة عند تحديد "إدارة".
اعتقدت أنه لا توجد حقوق كافية لـ CN=قوالب الشهادات، لذلك باستخدام ADSI Edit قمت بالقراءة لـ vm_ca$. لقد قمت بإعادة تشغيل CertSvc و... النتيجة: لم يتم العثور على العنصر.
شعرت بالحزن لأن الساعة كانت الثانية صباحاً... ولم يكن جهاز التكييف يعمل. فأطفأته. Windows 2012R2 واستعادة VM CA Windows نظام التشغيل Windows Server 2008 R2 من لقطة. أقوم بإعادة الخادم إلى Active Directory (لأنني عندما أحاول تسجيل الدخول باستخدام حساب مجال، أتلقى خطأ في العلاقة بين الخادم و(AD).
حسنًا، أعتقد... أن كل شيء سيكون على ما يرام الآن، ولكن للأسف... لا تزال قوالب الشهادات هي نفسها - لم يتم العثور على العنصر. سأترك كل شيء حتى الصباح، فالصباح أحكم من المساء.
بحثت على جوجل هذا الصباح وقرأت مقالات مختلفة، وقررت إعادة تثبيت CA على الجهاز القديم. الخادم على أمل حل مشكلة "العنصر غير موجود" عن طريق إصدار الشهادات عبر الإنترنت.
عملية بسيطة للغاية:
1) حذف دور CA
2) الزائد
3) انتظر حتى تكتمل عملية الإزالة
4) أضف دور CA (حدد CA، وتسجيل ويب CA، وNDES، والمستجيب عبر الإنترنت)
5) نشير إلى أن لدي مرجع مصدق للمؤسسة ولدي مفتاح خاص
6) ننتظر اكتمال التثبيت واستعادة كل شيء من النسخة الاحتياطية التي قمنا بها في البداية.
7) كالعادة، كل شيء يسير على ما يرام - لا توجد أخطاء وبدأت الخدمة
بقلب غارق، قمت بالنقر على "نماذج الشهادات" - و... لقد حصلت على قائمة - وهذا بالفعل انتصار صغير. يبقى التحقق من عملية إصدار الشهادة عبر الويب. أتبع الرابط: ثم اضغط على طلب شهادة ثم طلب شهادة متقدمة... أقوم بتحديد طلب .csr واحصل على شهادة جاهزة. أقوم بالزفير... كان من الممكن استعادة CA.
الاستنتاجات:
1) تأكد من عمل نسخة احتياطية ولقطة
2) قم بتوثيق أفعالك - سيساعدك هذا على استعادة كل شيء أو العثور على الخطأ بشكل أسرع
ملاحظة: عليّ أن أحاول ترحيل المرجع المصدق مرة أخرى Windows 2008R وما بعدها Windows 2012R2.
المصدر: www.habr.com
