Не удачная миграция Certificate Authority(CA) с Windows 2008R на Windows 2012 R2

Добрый день уважамый читатель,
Я расскажу Вам о своем кошмаре, который я пережил мигрируя CA с Windows 2008R2 на Windows 2012 R2. В инете очень много статьй по этому поводу и никаких проблем не должно было быть.

К своему сожалению — я не особо Windows Admin, я больше *nix админ, но была поставлена задача миграции CA — ёё нужно сделать.

Под катом я расскажу, как я прошел этот процесс и получил не совсем HappyEnd в конечно итоге.

И так поехали…
Исходные данные:
Источник — Windows 2008 R2 с Root CA
Таргет — Windows 2012R2

Сервер Windows 2012R2 у меня был уже установлен и минимально настроен.

Изначально план действий был такой(укороченные действия):
1) Делаем Backup CA+Private Key и копируем его на общую шару для обоих компов
2) Выводим target из домена и меняем IP
3) Делаем snapshot сервера
4) Меняем IP на источнике
5) Заходим на новый сервер Windows 2012R2 под админом — вводим его в домен с таким же именем и назначаем старый IP
6) Ставим роль Active Directory Certificate Service (CA, CA Web Enrollment, NDES, Online Responder)
7) Указываем, что это Enterprise CA
8) Восставливаем CA+Private Key из бэкапа
9) Happy End

Согласитесь ну ничего сложного нет. И я приступил к реализации. На самом деле никаких проблем не было и все прошло, как по маслу… Сервис стартанул, Certificate Templates появились и сами сертификаты появились. Вообщем все ОК. Поэтому я пошел спать. Утром никаких жалоб на работу CA не поступало и поэтому считал я, что все работает, и приступил к другим задачам. В процессе их решения мне понадобился сертификат. Я создал .csr и пошел по ссылке vm_ca/certsvc, чтобы подписать и получить сертификат и вот на этом этапе произошла ошибка. К сожалению скриншот я не сделал, но там говорилось о mismatch user information и еще какие-то ошибки. Ну вот и преплыли — подумалось мне. Начал гуглить, но к сожалению ничего внятного не нашел.

Уже вечером решили удалить CA Windows 2012R2 и поставить все по новой и тут допустил ошибку, вместо Enterprise CA я выбран вариант Standalone CA (о своей ошибке правда я уже узнал позже). Проделал все операции вновь… все прошло без ошибок — но при выборе папки Certificate Templates — я получаю Element not found, хотя если выбрать Manage — то templates на месте.
Я подумал, что не хватает прав для данной CN=Certificate Templates, поэтому при помощи ADSI Edit дал Read для vm_ca$. Перезапустил CertSvc и… результат: Element not found.
Тут мне взгрустнулось ибо на часа 2 ночи… и CA не работает. Выключаю CA Windows 2012R2 и восставливаю VM CA Windows 2008R2 из snapshot. Возвращаю сервер в AD (т.к. при попытке входа под доменной учетке выходит ошибка взаимоотношений между сервером и AD).
Ну думаю… все теперь-то будет ОК, но увы… все так же Certificate Templates — я получаю Element not found. Оставлю все до утра — ибо утро вечера мудренее.
Утром погуглил, почитав разного рода статьи — решаюсь на переустановку CA уже на старом сервере в надежде решить проблему Element Not Found и выдачей сертификатов через Web.

Процесс довольно простой:
1) Удаяем роль CA
2) Перегружаемся
3) Ждем завершения процесса удаления
4) Добавляем роль CA (указывем CA, CA Web Enrollment, NDES, Online Responder)
5) Указываем, что у меня Enterprise CA и у меня есть приватный ключ
6) Ждем завершения установки и восставливаем все из бэкапа, который мы делали в самом начале.
7) Как обычно, все проходит на ура — без ошибок и сервис стартанул

С замиранием сердца на щелкаю на Certificate Templates — и… мне выдался список — это уже маленькая победа. Остается проверить работу выдачи сертификата через Веб. Прохожу по ссылке: vm_ca/certsvc и кликаю на Request a Certificate и далее advanced certificate request… указываю .csr запрос и получаю готовый сертификат. Выдахаю… Восстановить CA получилось.

Выводы:
1) Обязательно делайте бэкап и snapshot
2) Документируйте свои действия — это поможет вернуть все обратно или же найти ошибку быстрее

P.s. Мне же предстоит вновь попробовать миграцию CA с Windows 2008R на Windows 2012R2.

Источник: habr.com