Добър ден, уважаеми читателю,
Ще ви разкажа за собствения си кошмар, който преживях, мигрирайки CA от Windows 2008R2 на Windows 2012 R2. В интернет има много статии по този въпрос и проблеми не би трябвало да има.
За съжаление, не съм особено Windows администратор, аз съм по-скоро *nix администратор, но задачата за миграция на CA беше поставена — трябваше да бъде изпълнена.
Под кат ще разкажа как преминах през този процес и получих не съвсем Happy End в края на краищата.
И така, да започнем…
Изходни данни:
Източник — Windows 2008 R2 с Root CA
Цел — Windows 2012R2
Серверът Windows 2012R2 вече беше инсталиран и минимално настроен.
Първоначално планът за действие беше следният (съкращени действия):
1) Правим Backup на CA+Private Key и го копираме на обща шера за двата компютъра
2) Извадете target от домейна и променете IP адреса
3) Правим snapshot на сървъра
4) Променяме IP адреса на източника
5) Влизаме на новия сървър Windows 2012R2 като администратор — въвеждаме го в домейна с същото име и задаваме стария IP адрес
6) Инсталираме ролята Active Directory Certificate Service (CA, CA Web Enrollment, NDES, Online Responder)
7) Указваме, че това е Enterprise CA
8) Възстановяваме CA+Private Key от резервното копие
9) Happy End
Съгласете се, че не е имало нищо сложно. И започнах с реализацията. Всъщност нямаше проблеми и всичко мина безпроблемно… Услугата стартира, шаблоните за сертификати се появиха и самите сертификати се появиха. Всичко беше ОК. Затова отидох да спя. На сутринта нямаше оплаквания относно работата на CA и затова си помислих, че всичко работи и се заех с други задачи. В процеса на решаването им ми беше нужен сертификат. Създадох .csr и отидох по връзката , за да подпиша и получа сертификат и в този момент се появи грешка. За съжаление не направих скрийншот, но там се споменаваше за несъответствие в информацията за потребителя и още някакви грешки. Е, оказа се, че сме в беда — помислих си. Започнах да търся в Google, но за съжаление не намерих нищо смислено.
Вечерта решихме да изтрием CA Windows 2012R2 и да инсталираме всичко отново и тук допуснах грешка, вместо Enterprise CA избрах варианта Standalone CA (за грешката си разбрах по-късно). Извършвах всички операции отново… всичко премина без грешки — но при избора на папка Certificate Templates — получавам Element not found, макар че ако изберете Manage — шаблоните са на място.
Помислих, че ми липсват права за CN=Certificate Templates, затова с помощта на ADSI Edit зададох Read за vm_ca$. Рестартирах CertSvc и… резултат: Element not found.
Тук ми стана тъжно, защото е около 2 часа през нощта… и CA не работи. Изключвам CA Windows 2012R2 и възстановявам VM CA Windows 2008R2 от snapshot. Връщам сървъра в AD (тъй като при опит за влизане с домейнов акаунт се появява грешка във взаимоотношенията между сървър и AD).
Мисля си… сега всичко ще бъде ОК, но уви… все така Certificate Templates — получавам Element not found. Оставям всичко до сутринта — защото сутринта е по-мъдра.
Сутринта погледнах в интернет, прочетох разнообразие от статии — решавам да преинсталирам CA на стария сървър в надежда да реша проблема Element Not Found и издаването на сертификати през Web.
Процесът е доста прост:
1) Премахвам ролята CA
2) Рестартирам
3) Чакам завършването на процеса на изтриване
4) Добавям ролята CA (посочвам CA, CA Web Enrollment, NDES, Online Responder)
5) Уточнявам, че имам Enterprise CA и имам частен ключ
6) Чакам завършването на инсталацията и възстановявам всичко от резервното копие, което направихме в самото начало.
7) Както обикновено, всичко мина успешно — без грешки и услугата стартира
С треперещо сърце щраквам на Certificate Templates — и… ми излезе списък — това вече е малка победа. Остава да проверя работата на издаването на сертификата през уеб. Преминавам по линка: и щракам на Request a Certificate и след това advanced certificate request… посочвам .csr заявка и получавам готов сертификат. Облекчено… Успях да възстановя CA.
Изводи:
1) Обязательно правете резервно копие и snapshot
2) Документирайте действията си — това ще помогне да върнете всичко обратно или да намерите грешка по-бързо
P.s. На мен ми предстои да опитам миграцията на CA от Windows 2008R на Windows 2012R2 отново.
Източник: habr.com
