Неуспешна миграция на Сертифициращ орган (CA) от Windows 2008R към Windows 2012 R2

Добър ден, скъпи читателю,
Ще ви разкажа за кошмара, през който преминах, мигрирайки CA от Windows 2008R2 към Windows 2012 R2. Има много статии в интернет за това и не би трябвало да има проблеми.

За мое съжаление, аз всъщност не съм администратор на Windows, аз съм по-скоро администратор на *nix, но задачата за миграция на CA беше поставена - трябва да се направи.

По-долу ще ви разкажа как преминах през този процес и завърших с не съвсем HappyEnd.

И така да тръгваме...
Източни данни:
източник - Windows 2008 R2 с Root CA
Мишена - Windows 2012R2

Вече имах инсталиран и минимално конфигуриран Windows 2012R2.

Първоначално планът за действие беше както следва (съкратени действия):
1) Направете Backup CA+Private Key и го копирайте в общ дял за двата компютъра
2) Премахнете целта от домейна и променете IP
3) Направете моментна снимка на сървъра
4) Променете IP адреса на източника
5) Отиваме на новия сървър на Windows 2012R2 като администратор - въведете го в домейна със същото име и задайте стария IP
6) Задайте ролята на Active Directory Certificate Service (CA, CA Web Enrollment, NDES, Online Responder)
7) Посочваме, че това е Enterprise CA
8) Възстановете CA+Private Key от резервно копие
9) Щастлив край

Съгласете се, няма нищо сложно. И започнах да го прилагам. Всъщност нямаше никакви проблеми и всичко вървеше като по часовник... Услугата стартира, появиха се Certificate Templates и се появиха самите сертификати. Като цяло всичко е наред. Така че си легнах. Сутринта нямаше оплаквания от работата на CA и затова приех, че всичко работи и пристъпих към други задачи. В процеса на решаването им ми трябваше сертификат. Създадох .csr и последвах връзката vm_ca/certsvcда подпише и получи сертификат и на този етап е възникнала грешка. За съжаление не направих екранна снимка, но каза несъответствие на потребителската информация и някои други грешки. Е, ето ни, помислих си. Започнах да ровя в гугъл, но за съжаление не намерих нищо разбираемо.

Вечерта решихме да премахнем CA Windows 2012R2 и да инсталираме всичко ново и тогава направих грешка, вместо Enterprise CA избрах опцията Standalone CA (макар че по-късно научих за грешката си). Направих всички операции отново... всичко мина без грешки - но когато избера папката Certificate Templates, получавам Element not found, въпреки че ако избера Manage, тогава шаблоните са на мястото си.
Мислех, че няма достатъчно права за този CN=Certificate Templates, така че използвайки ADSI Edit, дадох Read за vm_ca$. Рестартирах CertSvc и... резултат: Елементът не е намерен.
Тогава се натъжих, защото беше 2 сутринта... и CA не работеше. Изключвам CA Windows 2012R2 и възстановявам VM CA Windows 2008R2 от моментна снимка. Връщам сървъра на AD (тъй като когато се опитам да вляза с домейн акаунт, възниква грешка относно връзката между сървъра и AD).
Е, мисля... сега всичко ще е наред, но уви... все още са същите шаблони на сертификати - получавам Element not found. Ще оставя всичко до сутринта - защото утрото е по-мъдро от вечерта.
Сутринта гугълнах и прочетох разни статии - реших да преинсталирам CA на стария сървър с надеждата да разреша проблема с елемента, който не е намерен и да издавам сертификати през мрежата.

Процесът е доста прост:
1) Изтрийте ролята на CA
2) Претоварване
3) Изчакайте процеса на премахване да завърши
4) Добавете ролята на CA (посочете CA, CA Web Enrollment, NDES, Online Responder)
5) Посочваме, че имам Enterprise CA и имам частен ключ
6) Изчакваме инсталацията да завърши и възстановяваме всичко от архива, който направихме в самото начало.
7) Както обикновено, всичко върви с гръм и трясък - няма грешки и услугата стартира

С присвито сърце щраквам върху Шаблони за сертификати - и... Дадоха ми списък - това вече е малка победа. Остава да се провери операцията по издаване на сертификат чрез мрежата. Следвам линка: vm_ca/certsvc и цъкам на Request a Certificate и след това на advanced certificate request... Посочвам .csr заявката и получавам готов сертификат. Издишвам... Беше възможно да се възстанови CA.

Изводи:
1) Не забравяйте да направите резервно копие и моментна снимка
2) Документирайте действията си - това ще ви помогне да върнете всичко обратно или да откриете грешката по-бързо

P.s. Трябва отново да опитам CA миграция от Windows 2008R към Windows 2012R2.

Източник: www.habr.com