Migración de autoridade de certificación (CA) fallida desde Windows 2008R activado Windows 2012 R2

Boas tardes querido lector,
Vouvos contar a miña pesadilla que pasei mentres migraba CA desde Windows 2008R2 activado Windows 2012 R2. Hai moitos artigos en Internet sobre isto e non debería haber ningún problema.

Desafortunadamente, non son realmente Windows Administrador, son máis ben un administrador *nix, pero a tarefa de migrar CA estaba configurada; hai que facela.

Debaixo do corte, contarei como pasei este proceso e acabei cun HappyEnd non moi feliz.

E así imos...
Datos iniciais:
Orixe - Windows 2008 R2 con CA raíz
Obxectivo - Windows 2012R2

Servidor Windows Xa tiña o 2012R2 instalado e minimamente configurado.

Inicialmente, o plan de acción foi o seguinte (accións abreviadas):
1) Fai unha copia de seguridade da CA+Chave privada e cópiaa nun recurso compartido común para ambos os ordenadores
2) Elimina o destino do dominio e cambia a IP
3) Fai unha instantánea do servidor
4) Cambia a IP na orixe
5) Iniciar sesión no novo servidor Windows 2012R2 en admin: introdúceo no dominio co mesmo nome e asigna o IP antigo
6) Estableza o rol do servizo de certificados de Active Directory (CA, CA Web Enrollment, NDES, Online Responder)
7) Indicamos que se trata de Enterprise CA
8) Restaurar CA + chave privada da copia de seguridade
9) Fin feliz

De acordo, non hai nada complicado. E comecei a implementala. De feito, non houbo problemas e todo foi como un reloxo... Comezou o servizo, apareceron Modelos de Certificados e apareceron os propios certificados. En xeral, todo está ben. Entón fun para a cama. Pola mañá non houbo queixas polo traballo de CA e por iso supuxen que todo funcionaba e procedín a outras tarefas. No proceso de resolvelos, necesitaba un certificado. Creei un .csr e seguín a ligazón vm_ca/certsvcpara asinar e recibir un certificado e nesta fase produciuse un erro. Desafortunadamente, non fixen unha captura de pantalla, pero dicía que a información do usuario non coincide e algúns outros erros. Ben, aquí estamos, pensei. Comecei a buscar en google, pero por desgraza non atopei nada intelixible.

Decidimos eliminar CA pola noite. Windows 2012R2 e reinstalei todo, e logo cometin un erro: en lugar de Enterprise CA, seleccionei Standalone CA (aínda que só me decatei do meu erro máis tarde). Repetín todos os pasos de novo... todo foi ben, pero cando selecciono o cartafol Modelos de certificado, aparece o erro "Elemento non atopado", aínda que se selecciono Xestionar, os modelos están alí.
Pensei que non había suficientes dereitos para este CN=Modelos de certificado, polo que, usando ADSI Edit, dei Read para vm_ca$. Reiniciei CertSvc e... resultado: Non se atopou o elemento.
Sentínme triste porque eran as 2 da mañá... e a CA non funcionaba. Apagueina. Windows 2012R2 e restauración da CA da máquina virtual Windows 2008R2 desde unha instantánea. Estou a devolver o servidor a AD (porque cando tento iniciar sesión cunha conta de dominio, recibo un erro de relación entre servidor e AD).
Ben, creo que... todo estará ben agora, pero por desgraza... seguen sendo os mesmos Modelos de certificados: non se atopou o elemento. Deixarei todo ata a mañá, porque a mañá é máis sabia que a noite.
Esta mañá busquei en Google e lin varios artigos, e decidín reinstalar CA no antigo. servidor coa esperanza de resolver o problema do elemento non atopado emitindo certificados a través da web.

O proceso é bastante sinxelo:
1) Eliminar o rol CA
2) Sobrecarga
3) Agarde a que se complete o proceso de eliminación
4) Engade o rol de CA (especifica CA, CA Web Enrollment, NDES, Online Responder)
5) Indicamos que teño unha CA Enterprise e que teño unha clave privada
6) Agardamos a que se complete a instalación e restauramos todo dende a copia de seguridade que fixemos ao principio.
7) Como de costume, todo vai cun estrondo: sen erros e o servizo comezou

Co corazón afundido, premo en Modelos de certificados -e... déronme unha lista- esta xa é unha pequena vitoria. Queda por comprobar o funcionamento da emisión dun certificado a través da Web. Sigo a ligazón: vm_ca/certsvc e fai clic en Solicitar un certificado e logo en solicitude de certificado avanzada... Especifico a solicitude .csr e recibo un certificado xa preparado. Eu exhalo... Foi posible restaurar CA.

Conclusións:
1) Asegúrese de facer unha copia de seguridade e unha instantánea
2) Documenta as túas accións: isto axudarache a recuperar todo ou a atopar o erro máis rápido

P.D. Teño que tentar migrar a CA de novo Windows 2008R activado Windows 2012R2.

Fonte: www.habr.com