Ebaõnnestunud Certificate Authority (CA) migratsioon Windows 2008R-st Windows 2012 R2-le

Tere, austatud lugeja,
Räägin teile oma õudusunenäost, mille ma kogesin CA migreerimisel Windows 2008R2 pealt Windows 2012 R2. Internetis on palju artikleid selle teema kohta, ja mingit probleemi ei pidanud olema.

Kahjuks ei ole ma väga Windowsi administraator, olen rohkem *nix administraator, kuid ülesanne CA migreerimine oli pandud — see pidi ära tegema.

Allpool räägin, kuidas ma selle protsessi läbi tegin ja lõpuks ei saanud ma just väga õnnelikku lõppu.

Nii et lähme edasi…
Sisendisubmit:
Allikas — Windows 2008 R2 koos Root CA-ga
Sihtpunkt — Windows 2012R2

Windows 2012R2 server oli mul juba installitud ja minimaalsetes seadistustes.

Algne tegevusplaan oli järgmine (lühikese tegevused):
1) Teeme CA + Privat Key varukoopia ja kopeerime selle jagatud kausta mõlema arvuti jaoks
2) Väljastame sihtpunkti domeenist ja muudame IP-d
3) Teeme serveri snapshot'i
4) Muudame IP-d allika peal
5) Logime sisse uuele Windows 2012R2 serverile administraatorina — viime selle samasse domeeni sama nimega ja määrame vana IP
6) Paigaldame Active Directory Certificate Service'i (CA, CA Web Enrollment, NDES, Online Responder)
7) Määrame, et tegu on Enterprise CA-ga
8) Taastame CA + Private Key varukoopiast
9) Õnnelik lõpp

Olge nõus, et midagi keerulist ei ole. Ja ma asusin elluviimisele. Tegelikult ei olnud mingeid probleeme ja kõik läks libedalt… Teenus käivitus, sertifikaadi mallid ilmusid ja sertifikaadid ise ilmusid. Ühesõnaga, kõik oli OK. Seetõttu läksin magama. Homme ei tulnud mingeid kaebusi CA töö kohta, seega arvasin, et kõik töötab, ja asusin teistele ülesannetele. Nende lahendamisel vajas ma sertifikaati. Loodsin .csr ja läksin lingile vm_ca/certsvc, et sertifikaati allkirjastada ja saada, ja sel hetkel tekkis viga. Kahjuks ei teinud ma ekraanipilti, kuid seal rääkis mismatche user informationist ja veel mingitest vigadest. Noh, ja olime kohal — mõtlesin ma. Alustasin googeldamist, kuid kahjuks ei leidnud ma midagi arusaadavat.

Õhtuks otsustasime Windows 2012R2 CA kustutada ja kõik uuesti installida ja siin tegin vea, valisin Enterprise CA asemel valiku Standalone CA (oma veast sain teada hiljem). Tehtud kõik toimingud uuesti… kõik läks vigadeta — kuid sertifikaadi mallide valimisel sain Element not found, kuigi kui valin Manage — siis mallid on kohal.
Mõtlesin, et võib-olla ei ole õigusi antud CN=Certificate Templates jaoks, seetõttu andsin ADSI Edit'i abil vm_ca$-le Read õiguse. Taaskäivitasin CertSvc ja… tulemus: Element not found.
Siin ma tunnen end kurvana, sest on kesköö kaks… ja CA ei tööta. Lülitan välja CA Windows 2012R2 ja taastan VM CA Windows 2008R2 kindlasti. Tagastan serveri AD-sse (sest domeeni sisselogimisel tuleb välja suhete viga, serverilt ja AD).
No ma arvan… nüüd läheb kõik hästi, aga kahjuks… kõik on ikka veel Certificate Templates — ma saan Element not found. Jätan selle hommikuni — sest hommik on õhtust targem.
Hommikul googeldasin, lugedes erinevaid artikleid — otsustan juba olemasoleva CA uuesti installida serveris lootuses lahendada probleem Element Not Found ja sertifikaatide väljastamine veebis.

Protsess on üsna lihtne:
1) Eemaldame CA rolli
2) Taaskäivitame
3) Ootame eemaldamisprotsessi lõpuleviimist
4) Lisame CA rolli (määrame CA, CA Web Enrollment, NDES, Online Responder)
5) Täpsustame, et mul on Enterprise CA ja mul on privaatne võti
6) Ootame installimise lõpuleviimist ja taastame kõik varukoopiatest, mille me alguses tegime.
7) Nagu tavaliselt, läks kõik hästi — ilma vigadeta ja teenus käivitus

Südame kloppimise saatel klikin Certificate Templates – ja… mulle ilmus nimekiri – see on juba väike võit. Peab kontrollima sertifikaadi väljaandmise toimimist veebis. Lähen lingile: vm_ca/certsvc ja klikkin Request a Certificate ja edasi advanced certificate request… määran .csr päringu ja saan valmis sertifikaadi. Vabastan… CA taastamine õnnestus.

Kokkuvõtted:
1) Tehke kindlasti varukoopia ja snapshot
2) Dokumenteerige oma tegevused — see aitab kõik tagasi tuua või leidma vea kiiremini

P.s. Mul on ees veel kord proovida CA migratsiooni Windows 2008R-st Windows 2012R2-le.

Allikas: habr.com