Fehlerhafte Migration der Zertifizierungsstelle (CA) von Windows 2008R auf Windows 2012 R2

Guten Tag, geschätzter Leser,
Ich möchte Ihnen von meinem Albtraum berichten, den ich beim Migrieren der CA von Windows 2008R2 auf Windows 2012 R2 erlebt habe. Im Internet gibt es viele Artikel dazu, und es hätte keine Probleme geben dürfen.

Leider bin ich kein besonders erfahrener Windows-Administrator; ich bin mehr ein *nix-Administrator. Dennoch war die Aufgabe, die CA zu migrieren, zu erledigen.

Im Folgenden erkläre ich, wie ich diesen Prozess durchlaufen bin und am Ende keinen ganz glücklichen Abschluss hatte.

Fangen wir an…
Eckdaten:
Quelle — Windows 2008 R2 mit Root CA
Ziel — Windows 2012R2

Der Windows 2012R2-Server war bereits installiert und minimal konfiguriert.

Der ursprüngliche Aktionsplan sah so aus (verkürzte Schritte):
1) Backup der CA + Private Key erstellen und auf ein gemeinsames Laufwerk für beide Computer kopieren
2) Ziel aus der Domain entfernen und IP ändern
3) Snapshot des Servers machen
4) IP auf der Quelle ändern
5) Auf dem neuen Windows 2012R2-Server als Administrator anmelden — ihn mit demselben Namen in die Domain einfügen und die alte IP zuweisen
6) Die Rolle Active Directory Certificate Services (CA, CA Web Enrollment, NDES, Online Responder) installieren
7) Angeben, dass dies eine Enterprise CA ist
8) CA + Private Key aus dem Backup wiederherstellen
Glückliches Ende

Ich dachte mir, dass es eigentlich nichts Schwieriges ist. Also begann ich mit der Umsetzung. Tatsächlich gab es keine Probleme und alles lief reibungslos... Der Dienst startete, die Zertifikatvorlagen erschienen und die Zertifikate wurden ebenfalls erstellt. Insgesamt alles in Ordnung. Daraufhin ging ich schlafen. Am Morgen kamen keine Beschwerden über die CA-Arbeit, also ging ich davon aus, dass alles funktioniert und widmete mich anderen Aufgaben. Während ich diese Aufgaben bearbeitete, benötigte ich ein Zertifikat. Ich erstellte eine .csr und ging auf den Link vm_ca/certsvc, um das Zertifikat zu signieren und zu erhalten, und genau an diesem Punkt trat ein Fehler auf. Leider habe ich keinen Screenshot gemacht, aber dort wurde ein mismatch der Benutzerdaten und noch einige andere Fehler angezeigt. Da dachten ich, dass wir jetzt am Ende sind. Ich begann zu googeln, fand aber leider nichts Nützliches.

Am Abend beschlossen wir, die CA Windows 2012R2 zu löschen und alles neu zu installieren, und hier machte ich einen Fehler: Statt der Enterprise CA wählte ich die Standalone CA (meinen Fehler fand ich erst später heraus). Ich führte alle Schritte erneut durch… alles verlief ohne Fehler — aber als ich den Ordner für die Zertifikatvorlagen auswählte, erhielt ich die Fehlermeldung Element not found, obwohl die Vorlagen unter Manage zu finden sind.
Ich dachte, dass die Berechtigungen für CN=Certificate Templates fehlen, also habe ich mithilfe von ADSI Edit die Leserechte für vm_ca$ vergeben. Ich habe CertSvc neu gestartet und… das Ergebnis: Element nicht gefunden.
Ich fühlte mich traurig, denn es war schon zwei Uhr nachts… und die CA funktionierte nicht. Ich schalte die CA Windows 2012R2 aus und stelle die VM CA Windows 2008R2 aus einem Snapshot wieder her. Ich bringe den Server zurück in die AD (da bei der Anmeldung mit dem Domänenaccount ein Beziehungsfehler auftritt zwischen dem Server durch und AD).
Nun denke ich… jetzt wird alles in Ordnung sein, aber leider… die Certificate Templates zeigen immer noch Element nicht gefunden an. Ich lasse alles bis zum Morgen, denn Morgen ist klüger als der Abend.
Am Morgen habe ich gegoogelt und verschiedene Artikel gelesen – ich entschließe mich, die CA auf dem alten System neu zu installieren, Server in der Hoffnung, das Element nicht gefunden Problem und die Ausgabe von Zertifikaten über das Web zu lösen.

Der Prozess ist ziemlich einfach:
1) Rolle CA entfernen
2) Neustart durchführen
3) Auf das Ende des Löschvorgangs warten
4) Rolle CA hinzufügen (CA, CA Web Enrollment, NDES, Online Responder angeben)
5) Angeben, dass ich eine Enterprise CA habe und über einen privaten Schlüssel verfüge
6) Auf das Ende der Installation warten und alles aus dem Backup wiederherstellen, das wir zu Beginn gemacht haben.
7) Wie gewohnt verläuft alles reibungslos – ohne Fehler und der Dienst wurde gestartet.

Mit klopfendem Herzen klicke ich auf Certificate Templates – und... mir wird eine Liste angezeigt – das ist bereits ein kleiner Sieg. Jetzt bleibt nur noch zu überprüfen, ob die Zertifikatsausstellung über das Web funktioniert. Ich folge dem Link: vm_ca/certsvc und klicke auf Request a Certificate und dann auf advanced certificate request… ich gebe die .csr-Anfrage ein und erhalte das fertige Zertifikat. Ich atme auf... Die CA wiederherzustellen hat geklappt.

Fazit:
1) Machen Sie unbedingt ein Backup und einen Snapshot.
2) Dokumentieren Sie Ihre Schritte – das hilft, alles zurückzubringen oder Fehler schneller zu finden.

P.s. Ich werde noch einmal versuchen, die Migration der CA von Windows 2008R auf Windows 2012R2.

Quelle: habr.com