Dobrý den, vážený čtenáři,
Povím vám o své noční můře, kterou jsem prožil při migraci CA z Windows 2008R2 na Windows 2012 R2. Na internetu je spousta článků na toto téma, takže by neměly nastat žádné problémy.
Bohužel, nejsem příliš dobrý Windows administrátor, spíše jsem *nix administrátor, ale byl jsem pověřen úkolem migrace CA — je třeba to udělat.
Pod článkem vám povím, jak jsem prošel tímto procesem a ve finále jsem získal ne zcela happy end.
A tak se do toho pustíme…
Výchozí údaje:
Zdroj — Windows 2008 R2 s Root CA
Cíl — Windows 2012R2
Server Windows 2012R2 jsem měl již nainstalovaný a minimálně nakonfigurovaný.
Původní plán činil následující (zkrácené kroky):
1) Vytvoříme zálohu CA + soukromého klíče a zkopírujeme ji na sdílenou složku pro oba počítače
2) Vyjmeme target z domény a změníme IP
3) Vytvoříme snapshot serveru
4) Změníme IP na zdroji
5) Přihlásíme se na nový server Windows 2012R2 jako administrátor — vložíme ho do domény se stejným názvem a přiřadíme starou IP
6) Nainstalujeme roli Active Directory Certificate Service (CA, CA Web Enrollment, NDES, Online Responder)
7) Uvedeme, že se jedná o Enterprise CA
8) Obnovíme CA + soukromý klíč z zálohy
9) Happy End
Souhlasíte, není na tom nic složitého. A tak jsem se pustil do realizace. Ve skutečnosti nebyly žádné problémy a vše probíhalo hladce... Služba se spustila, šablony certifikátů se objevily a samotné certifikáty také. Celkově vše v pořádku. Tak jsem šel spát. Ráno jsem nedostal žádné stížnosti na práci CA, a proto jsem si myslel, že vše funguje, a pustil jsem se do dalších úkolů. V průběhu jejich řešení jsem potřeboval certifikát. Vytvořil jsem .csr a šel jsem na odkaz , abych podepsal a získal certifikát, a právě na tomto kroku došlo k chybě. Bohužel jsem si neudělal screenshot, ale tam byla zmínka o nesouladu informací o uživateli a další chyby. Tak jsem si pomyslel, že jsme se dostali do problému. Začal jsem googlit, ale bohužel jsem nenašel žádné jasné informace.
Už večer jsme se rozhodli odstranit CA Windows 2012R2 a nainstalovat vše znovu, a zde došlo k chybě, místo Enterprise CA jsem vybral variantu Standalone CA (o své chybě jsem se dozvěděl až později). Prošel jsem všechny operace znovu... vše proběhlo bez chyb — ale při výběru složky Certificate Templates dostávám Element not found, i když pokud vyberu Manage — šablony jsou na místě.
Myslel jsem si, že chybí oprávnění pro tento CN=Certificate Templates, a proto jsem pomocí ADSI Edit dal Read pro vm_ca$. Restartoval jsem CertSvc a… výsledek: Element not found.
Cítil jsem se smutně, protože bylo kolem dvou hodin ráno... a CA nefungovala. Vypínám CA Windows 2012R2 a obnovuji VM CA Windows 2008R2 ze snapshotu. Vracím server do AD (protože při pokusu o přihlášení pod doménovým účtem se objevila chyba vztahů mezi serverem a AD).
No, říkám si... teď to bude v pořádku, ale bohužel... stále mi to říká Certificate Templates — dostávám Element not found. Nechám to až do rána — protože ráno je moudřejší večera.
Ráno jsem to vygooglil, přečetl různé články — rozhodl jsem se přeinstalovat CA na starém serveru v naději, že vyřeším problém Element Not Found a vydávání certifikátů přes web.
Proces je docela jednoduchý:
1) Odstraníme roli CA
2) Restartujeme
3) Čekáme na dokončení procesu odstranění
4) Přidáme roli CA (stanovíme CA, CA Web Enrollment, NDES, Online Responder)
5) Uvedeme, že mám Enterprise CA a že mám soukromý klíč
6) Čekáme na dokončení instalace a obnovíme všechno ze zálohy, kterou jsme udělali na začátku.
7) Jak to bývá, vše proběhlo skvěle — bez chyb a služba se spustila
S bušícím srdcem kliknu na Certificate Templates — a... ukázal se mi seznam — to už je malá vítězství. Zbývá ověřit funkčnost vydávání certifikátu přes web. Procházím odkazem: a klikám na Request a Certificate a dále advanced certificate request… zadávám .csr požadavek a dostávám hotový certifikát. Vydechl… Obnovit CA se povedlo.
Závěry:
1) Určitě si dělejte zálohu a snapshot
2) Dokumentujte své kroky — to pomůže vrátit všechno zpět nebo rychleji najít chybu
P.s. Musím znovu vyzkoušet migraci CA z Windows 2008R na Windows 2012R2.
Zdroj: habr.com
