העברה לא מוצלחת של רשות האישורים (CA) מ-Windows 2008R ל-Windows 2012 R2

צהריים טובים קורא יקר,
אני אספר לכם על הסיוט שעברתי בהעברת CA מ-Windows 2008R2 ל-Windows 2012 R2. יש הרבה מאמרים באינטרנט על זה ולא היו אמורות להיות בעיות.

לצערי, אני לא ממש מנהל מערכת של Windows, אני יותר מנהל *nix, אבל המשימה של העברת CA הוגדרה - זה צריך להיעשות.

מתחת לגזרה, אני אספר לכם איך עברתי את התהליך הזה וסיימתי עם קצה לא-ממש-HappyEnd.

וכך הלכנו...
נתונים ראשוניים:
מקור - Windows 2008 R2 עם שורש CA
יַעַד - Windows 2012R2

כבר התקנתי את Windows 2012R2 והגדיר אותו באופן מינימלי.

בתחילה, תוכנית הפעולה הייתה כדלקמן (פעולות מקוצרות):
1) צור גיבוי CA+מפתח פרטי והעתק אותו לשיתוף משותף עבור שני המחשבים
2) הסר יעד מהדומיין ושנה IP
3) צרו תמונת מצב של השרת
4) שנה את ה-IP במקור
5) אנחנו עוברים לשרת החדש של Windows 2012R2 כמנהל מערכת - הזינו אותו לדומיין באותו שם והקצו את ה-IP הישן
6) הגדר את תפקיד שירות האישורים של Active Directory (CA, CA Web Enrollment, NDES, Online Responder)
7) אנו מציינים שזוהי Enterprise CA
8) שחזר CA+מפתח פרטי מגיבוי
9) סוף טוב

מסכים, אין שום דבר מסובך. והתחלתי ליישם את זה. למעשה, לא היו בעיות והכל הלך כמו שעון... השירות התחיל, הופיעו תבניות Certificate והופיעו האישורים עצמם. באופן כללי, הכל בסדר. אז הלכתי לישון. בבוקר לא היו תלונות על העבודה של CA ולכן הנחתי שהכל עובד והמשכתי למשימות אחרות. בתהליך הפתרון שלהם הייתי צריך תעודה. יצרתי ‎.csr ועקבתי אחר הקישור vm_ca/certsvcלחתום ולקבל אישור ובשלב זה אירעה שגיאה. למרבה הצער, לא צילמתי צילום מסך, אבל הוא אמר שמידע משתמש לא תואם וכמה שגיאות אחרות. ובכן, הנה אנחנו, חשבתי. התחלתי לחפש בגוגל, אבל לצערי לא מצאתי שום דבר מובן.

בערב החלטנו להסיר את CA Windows 2012R2 ולהתקין הכל חדש, ואז עשיתי טעות; במקום Enterprise CA בחרתי באפשרות Standalone CA (אם כי נודע לי על הטעות שלי מאוחר יותר). עשיתי את כל הפעולות שוב... הכל הלך בלי שגיאות - אבל כשאני בוחר בתיקייה Certificate Templates, אני מקבל את Element not found, אם כי אם אני בוחר Manage, אז התבניות נמצאות במקום.
חשבתי שאין מספיק זכויות לתבניות CN=Certificate זה, אז באמצעות ADSI Edit נתתי Read עבור vm_ca$. הפעלתי מחדש את CertSvc ו... תוצאה: האלמנט לא נמצא.
ואז הרגשתי עצוב כי השעה הייתה 2 לפנות בוקר... ו-CA לא עבד. אני מכבה את CA Windows 2012R2 ומשחזר את VM CA Windows 2008R2 מתמונת מצב. אני מחזיר את השרת ל-AD (כי כשאני מנסה להיכנס עם חשבון דומיין, מתרחשת שגיאה לגבי הקשר בין השרת ל-AD).
ובכן, אני חושב... הכל יהיה בסדר עכשיו, אבל אבוי... זה עדיין אותן תבניות אישורים - אני מקבל את האלמנט לא נמצא. אני אשאיר הכל עד הבוקר - כי הבוקר חכם יותר מהערב.
בבוקר חיפשתי בגוגל וקראתי מאמרים שונים – החלטתי להתקין מחדש את ה-CA בשרת הישן בתקווה לפתור את בעיית ה-Element Not Found ולהנפיק אישורים דרך ה-Web.

התהליך די פשוט:
1) מחק את תפקיד CA
2) עומס יתר
3) המתן עד שתהליך ההסרה יסתיים
4) הוסף את תפקיד CA (ציין CA, CA Web Enrollment, NDES, Responder Online)
5) אנו מציינים שיש לי Enterprise CA ויש לי מפתח פרטי
6) אנו מחכים לסיום ההתקנה ומשחזרים הכל מהגיבוי שעשינו ממש בהתחלה.
7) כרגיל הכל הולך ברעש - ללא שגיאות והשירות התחיל

בלב שוקע אני לוחץ על תבניות תעודה - ו... קיבלתי רשימה - זה כבר ניצחון קטן. נותר לבדוק את פעולת הנפקת האישור דרך האינטרנט. אני עוקבת אחרי הקישור: vm_ca/certsvc ולחץ על Request a Certificate ואז בקשת אישור מתקדם... אני מציין את בקשת ה-.csr ומקבל אישור מוכן. אני נושפת... היה אפשר לשחזר CA.

מסקנות:
1) הקפד לבצע גיבוי ותמונת מצב
2) תיעד את הפעולות שלך - זה יעזור לך להחזיר הכל או למצוא את השגיאה מהר יותר

נ.ב. אני חייב לנסות שוב את העברת CA מ-Windows 2008R ל-Windows 2012R2.

מקור: www.habr.com