Goddag, kære læser,
Jeg vil fortælle dig om mit mareridt, som jeg oplevede, da jeg migrerede CA fra Windows 2008R2 til Windows 2012 R2. Der er masser af artikler om dette emne på internettet, og der burde ikke have været nogen problemer.
Til min ærgrelse er jeg ikke særlig meget Windows-admin, jeg er mere *nix-admin, men jeg fik til opgave at migrere CA — det skulle gøres.
Under læsningen vil jeg beskrive, hvordan jeg gennemførte denne proces og fik en ikke helt lykkelig slutning i sidste ende.
Så lad os komme i gang…
Udgangsdata:
Kilde — Windows 2008 R2 med Root CA
Target — Windows 2012R2
Windows 2012R2-serveren var allerede installeret og minimalt konfigureret.
Den oprindelige handlingsplan var som følger (forkortede trin):
1) Tag backup af CA + Private Key og kopier den til en fælles mappe for begge computere.
2) Tager target ud af domænet og ændrer IP.
3) Tag et snapshot af serveren.
4) Ændrer IP på kilden.
5) Logger ind på den nye Windows 2012R2-server som administrator — tilføjer den til domænet med det samme navn og tildeler den den gamle IP.
6) Installerer rollen Active Directory Certificate Service (CA, CA Web Enrollment, NDES, Online Responder).
7) Angiver, at dette er en Enterprise CA.
8) Genskaber CA + Private Key fra backup.
9) Lykkelig slutning.
Enig, der er ikke noget kompliceret ved det. Og jeg gik i gang med implementeringen. Faktisk var der ingen problemer, og alt gik glat... Tjenesten startede, certifikatskabelonerne dukkede op, og selve certifikaterne kom også frem. Alt var i orden. Derfor gik jeg i seng. Om morgenen var der ingen klager over CA's funktion, så jeg antog, at alt fungerede, og gik i gang med andre opgaver. I løbet af løsningene af dem fik jeg brug for et certifikat. Jeg oprettede en .csr og gik til linket , for at underskrive og få certifikatet, og på dette tidspunkt opstod der en fejl. Desværre tog jeg ikke et screenshot, men der blev nævnt noget om mismatch user information og nogle andre fejl. Jeg tænkte, nu er vi i problemer. Begyndte at google, men fandt desværre ikke noget brugbart.
Om aftenen besluttede vi at slette CA Windows 2012R2 og installere alt på ny, og her lavede jeg en fejl; i stedet for Enterprise CA valgte jeg Standalone CA (jeg fandt ud af min fejl senere). Udførte alle operationer igen... alt gik uden fejl — men ved valget af mappen Certificate Templates fik jeg Element not found, selvom hvis jeg valgte Manage, var skabelonerne der.
Jeg antog, at der manglede rettigheder til denne CN=Certificate Templates, så jeg stolede på ADSI Edit og gav Read for vm_ca$. Genstartede CertSvc, og... resultatet: Element not found.
Jeg blev lidt trist, fordi det var omkring 2 om natten... og CA fungerer ikke. Jeg slukker CA Windows 2012R2 og genskaber VM CA Windows 2008R2 fra snapshot. Jeg genindfører serveren i AD (da der opstår en fejl med domæne login) serveren og AD).
Nå, jeg tænker... nu må alt være OK, men desværre... jeg får stadig Certificate Templates - Element not found. Jeg lader det stå til morgen – for morgen er klogere end aften.
Om morgenen googler jeg og læser forskellige artikler – jeg beslutter mig for at geninstallere CA på den gamle serveren i håbet om at løse problemet med Element Not Found og udstedelse af certifikater via web.
Processen er ret simpel:
1) Fjern CA rollen
2) Genstart
3) Vent på, at sletningsprocessen afsluttes
4) Tilføj CA rolle (angiv CA, CA Web Enrollment, NDES, Online Responder)
5) Angiv, at jeg har Enterprise CA og at jeg har en privat nøgle
6) Vent på, at installationen afsluttes og genskab alt fra backup, som vi lavede i starten.
7) Som normalt, gik det glat – uden fejl og tjenesten startede op
Med spænding klikker jeg på Certificate Templates – og... jeg fik en liste - det er allerede en lille sejr. Det er nu tid til at tjekke udstedelsen af certifikatet via web. Jeg følger linket: og klikker på Request a Certificate og derefter advanced certificate request… angiver .csr anmodning og får det færdige certifikat. Jeg udsteder det... Gendannelse af CA lykkedes.
Konklusioner:
1) Sørg for at lave en backup og snapshot
2) Dokumentér dine handlinger - det vil hjælpe med at få alt tilbage eller hurtigere finde fejlen
P.s. Jeg skal igen prøve at migrere CA fra Windows 2008R til Windows 2012R2.
Kilde: habr.com
