Unglückliche Migration der Zertifizierungsstelle (CA) von Windows 2008R auf Windows 2012 R2

Guten Tag, geehrter Leser,
Ich werde Ihnen von meinem Albtraum erzählen, den ich erlebt habe, als ich die CA von Windows 2008R2 auf Windows 2012 R2 migriert habe. Im Internet gibt es viele Artikel zu diesem Thema, und es hätte keine Probleme geben dürfen.

Zu meinem Bedauern bin ich kein besonderer Windows-Admin, ich bin eher ein *nix-Admin, aber die Aufgabe der Migration der CA wurde mir übertragen – sie muss erledigt werden.

Unter dem Cut erzähle ich, wie ich diesen Prozess durchlaufen habe und am Ende kein ganz so Happy End bekam.

Also, los geht's…
Eckdaten:
Quelle – Windows 2008 R2 mit Root CA
Ziel – Windows 2012R2

Der Windows 2012R2-Server war bei mir bereits installiert und minimal konfiguriert.

Ursprünglich war der Plan wie folgt (abgekürzte Aktionen):
1) Backup der CA + Private Key erstellen und auf eine gemeinsame Freigabe für beide Computer kopieren
2) Ziel aus der Domäne entfernen und IP ändern
3) Snapshot des Servers erstellen
4) IP am Quellserver ändern
5) Am neuen Windows 2012R2-Server als Administrator anmelden – ihn mit dem gleichen Namen in die Domäne einfügen und die alte IP zuweisen
6) Rolle Active Directory-Zertifikatdienst (CA, CA Web Enrollment, NDES, Online Responder) installieren
7) Angeben, dass dies eine Enterprise CA ist
8) CA + Private Key aus dem Backup wiederherstellen
9) Happy End

Sind wir uns einig, dass es nichts Kompliziertes ist. Ich begann mit der Umsetzung. Tatsächlich gab es keine Probleme, und alles verlief reibungslos… Der Dienst startete, die Zertifikatvorlagen erschienen und die Zertifikate selbst wurden generiert. Insgesamt war alles in Ordnung. Deshalb ging ich schlafen. Am Morgen gab es keine Beschwerden über die Funktionsweise der CA, und daher ging ich davon aus, dass alles funktioniert und widmete mich anderen Aufgaben. Im Verlauf ihrer Lösung benötigte ich ein Zertifikat. Ich erstellte eine .csr und ging zu dem Link vm_ca/certsvc, um es zu signieren und das Zertifikat zu erhalten, und an dieser Stelle trat ein Fehler auf. Leider habe ich keinen Screenshot gemacht, aber es wurde von einem Mismatch der Benutzerinformationen und noch einigen anderen Fehlern gesprochen. Nun, da sind wir also – dachte ich. Ich begann zu googeln, fand jedoch leider nichts Erklärendes.

Am Abend beschlossen wir, die CA auf Windows 2012R2 zu löschen und alles neu zu installieren, und hier beging ich einen Fehler, indem ich statt Enterprise CA die Option Standalone CA wählte (meinen Fehler erfuhr ich allerdings erst später). Ich führte alle Abläufe erneut durch… alles verlief ohne Fehler – aber beim Auswählen des Ordners Zertifikatvorlagen erhielt ich das Element nicht gefunden, obwohl die Vorlagen an Ort und Stelle waren, wenn ich Verwalten wählte.
Ich dachte, es fehlen Rechte für den CN=Certificate Templates, daher gab ich mit ADSI Edit Leserechte für vm_ca$. Ich startete CertSvc neu und… das Ergebnis: Element nicht gefunden.
Hier fühle ich mich traurig, denn es ist fast 2 Uhr nachts... und die CA funktioniert nicht. Ich schalte die CA Windows 2012R2 aus und stelle die VM CA Windows 2008R2 aus dem Snapshot wieder her. Ich bringe den Server in die AD zurück (da bei dem Versuch, mich mit einem Domänenkonto anzumelden, ein Beziehungsfehler zwischen Server und AD auftritt).
Nun denke ich… jetzt wird alles gut, aber leider… alles bleibt genauso, Certificate Templates — ich erhalte Element nicht gefunden. Ich lasse alles bis zum Morgen — denn der Morgen ist weiser als der Abend.
Am Morgen habe ich gegoogelt, verschiedene Artikel gelesen — und beschließe, die CA bereits auf dem alten Server neu zu installieren, in der Hoffnung, das Problem Element nicht gefunden und die Ausstellung von Zertifikaten über das Web zu lösen.

Der Prozess ist ziemlich einfach:
1) Rollen CA entfernen
2) Neustarten
3) Warten auf Abschluss des Löschvorgangs
4) Rolle CA hinzufügen (CA, CA Web Enrollment, NDES, Online Responder angeben)
5) Angeben, dass ich eine Enterprise CA habe und einen privaten Schlüssel besitze
6) Warten auf Abschluss der Installation und alles aus dem Backup wiederherstellen, das wir zu Beginn erstellt haben.
7) Wie gewohnt, alles läuft gut — ohne Fehler und der Dienst hat gestartet.

Mit klopfendem Herzen klicke ich auf Certificate Templates — und… ich bekam eine Liste — das ist schon ein kleiner Sieg. Es bleibt nur zu überprüfen, ob die Ausstellung von Zertifikaten über das Web funktioniert. Ich gehe dem Link nach: vm_ca/certsvc und klicke auf Request a Certificate und dann auf advanced certificate request… ich gebe die .csr-Anfrage ein und erhalte das fertige Zertifikat. Ich atme auf… Es ist gelungen, die CA wiederherzustellen.

Fazit:
1) Machen Sie unbedingt ein Backup und einen Snapshot
2) Dokumentieren Sie Ihre Aktionen — das hilft, alles zurückzuholen oder den Fehler schneller zu finden.

P.s. Ich werde erneut versuchen, die Migration der CA von Windows 2008R auf Windows 2012R2.

Quelle: habr.com