Kedves olvasó,
Elmondom neked a rémálmomról, amit átéltem a CA Windows 2008R2-ről Windows 2012 R2-re való migrálása során. Az interneten nagyon sok cikk található ezzel kapcsolatban, és nem lett volna szabad problémáknak felmerülniük.
Sajnos nem vagyok túl jó Windows Admin, inkább *nix admin vagyok, de feladatot kaptam a CA migrálására – meg kellett csinálnom.
A továbbiakban elmondom, hogyan mentem végig ezen a folyamaton, és végső soron nem egészen szerencsés véget értem.
Így hát kezdjük el…
Bemeneti adatok:
Forrás — Windows 2008 R2 Root CA
Cél — Windows 2012 R2
A Windows 2012R2 szerverem már telepítve volt és minimálisan be volt állítva.
Eredetileg a cselekvési terv a következőképpen alakult (rövidített lépések):
1) Készítjük a CA+Private Key biztonsági másolatát, és átmásoljuk egy közös megosztásra mindkét gép számára
2) Kizárjuk a célt a tartományból és megváltoztatjuk az IP-t
3) Készítünk egy snapshotot a szerverről
4) Megváltoztatjuk az IP-t a forráson
5) Bejelentkezünk az új Windows 2012R2 szerverre adminisztrátorral – a tartományba tesszük ugyanazzal a névvel és az régi IP-t állítjuk be
6) Telepítjük az Active Directory Certificate Service (CA, CA Web Enrollment, NDES, Online Responder) szerepkört
7) Megadjuk, hogy ez egy Enterprise CA
8) Visszaállítjuk a CA+Private Key-t a biztonsági másolatból
9) Boldog vége
Egyetértesz, hogy semmi bonyolult nincs benne. Így hát elkezdtem a megvalósítást. Valójában nem voltak problémák, minden simán ment… A szolgáltatás elindult, a Certificate Templates megjelentek, és maguk a tanúsítványok is előkerültek. Szóval minden rendben volt. Ezért elmentem aludni. Reggel nem érkezett panasz a CA működésére, ezért úgy véltem, hogy minden rendben van, és nekiláttam más feladatoknak. Ezek megoldása során szükségem volt egy tanúsítványra. Létrehoztam egy .csr-t és a következő linken keresztül indultam , hogy aláírjam és megkapjam a tanúsítványt, és itt történt a hiba. Sajnos nem készítettem képernyőképet, de ott a felhasználói információk eltéréséről és még néhány hibáról volt szó. Hát itt megakadtunk – gondoltam magamban. Elkezdtem keresgélni, de sajna semmi érthetőt nem találtam.
Már este úgy döntöttünk, hogy eltávolítjuk a CA Windows 2012R2-t, és mindent újratelepítünk, és itt hibát követtem el, mivel Enterprise CA helyett a Standalone CA-t választottam (az hibámat igazából csak később tudtam meg). Minden műveletet újra elvégeztem… minden hiba nélkül zajlott – de a Certificate Templates mappájának választásakor a következő hibaüzenetet kaptam: Element not found, bár ha a Manage-et választottam, akkor a templates a helyén volt.
Ráadásul azt gondoltam, hogy nincsenek jogosultságaim a CN=Certificate Templates számára, ezért ADSI Edit segítségével olvasási jogot adtam a vm_ca$-nak. Újraindítottam a CertSvc-t, és… az eredmény: Element not found.
Itt szomorkás lettem, mert már 2 órája éjszaka van… és a CA nem működik. Kikapcsolom a CA-t Windows 2012R2-on, és visszaállítom a VM CA Windows 2008R2-t a snapshotból. Visszaállítom a kiszolgálót az AD-be (mivel a domain felhasználóval való bejelentkezéskor kapcsolatproblémák lépnek fel, szerverrel és az AD).
Azt gondoltam… most már biztos minden rendben lesz, de sajnos… továbbra is a Certificate Templatesnél kapom, hogy Az elem nem található. Hagyom az egészet reggelig – mert reggel okosabb az este.
Reggel megkerestem, elolvastam különféle cikkeket – úgy döntöttem, újratelepítem a CA-t a régi szerveren remélve, hogy megoldom az Az elem nem található problémát és a tanúsítványok kiadását Weben.
A folyamat meglehetősen egyszerű:
1) Eltávolítom a CA szerepet
2) Újraindítom a rendszert
3) Megvárom a törlési folyamat befejezését
4) Hozzáadom a CA szerepet (megadom a CA-t, CA Web Enrollmentt, NDES-t, Online Respondert)
5) Jelezem, hogy Enterprise CA-m van, és van privát kulcsom
6) Megvárom a telepítés befejezését, és visszaállítom az összeset a mentésből, amit az elején készítettünk.
7) Ahogy általában, minden zökkenőmentesen ment – hiba nélkül és a szolgáltatás elindult.
Szívveréssel kattintok a Certificate Templates-ra – és… megkaptam a listát – ez már kis győzelem. Ellenőrizni kell a tanúsítvány kiadásának működését Weben. Átmegyek a hivatkozásra: kattintok a Request a Certificate-ra, majd az advanced certificate request-ra… megadom a .csr kérést és megkapom a kész tanúsítványt. Megkönnyebbülök… sikerült visszaállítanom a CA-t.
Következtetések:
1) Mindenképpen készítsetek biztonsági másolatot és snapshotot
2) Dokumentáljátok a lépéseiteket – ez segít visszaállítani mindent, vagy gyorsabban megtalálni a hibát
P.s. Újra meg kell próbálnom a CA migrálását Windows 2008R2-ről Windows 2012R2-re.
Forrás: habr.com
