სერტიფიკატის ორგანოს (CA) მიგრაცია წარუმატებელი აღმოჩნდა Windows 2008R-ზე Windows 2012 R2

შუადღე მშვიდობისა ძვირფასო მკითხველო,
მოგიყვებით ჩემს კოშმარზე, რომელიც კალიფორნიიდან მიგრაციის დროს გადავიტანე. Windows 2008R2-ზე Windows 2012 R2. ინტერნეტში ამის შესახებ ბევრი სტატიაა და არანაირი პრობლემა არ უნდა ყოფილიყო.

სამწუხაროდ, მე ნამდვილად არ ვარ Windows ადმინისტრატორო, მე უფრო *nix ადმინისტრატორი ვარ, მაგრამ CA-ს მიგრაციის ამოცანა დაისახა - ეს უნდა გაკეთდეს.

ფრაგმენტის ქვემოთ, მე გეტყვით, როგორ გავიარე ეს პროცესი და დავასრულე არც თუ ისე ჰეპიენდი.

და მოდით წავიდეთ ...
საწყისი მონაცემები:
წყარო - Windows 2008 R2 Root CA-თი
სამიზნე - Windows 2012R2

სერვერი Windows 2012R2 უკვე მქონდა დაინსტალირებული და მინიმალურად კონფიგურირებული.

თავდაპირველად სამოქმედო გეგმა იყო შემდეგი (შემოკლებული მოქმედებები):
1) შექმენით სარეზერვო CA+Private გასაღები და დააკოპირეთ იგი ორივე კომპიუტერის საერთო წილში
2) ამოიღეთ სამიზნე დომენიდან და შეცვალეთ IP
3) გააკეთეთ სერვერის სნეპშოტი
4) შეცვალეთ IP წყაროდან
5) შედით ახალ სერვერზე Windows 2012R2 ადმინისტრატორის ქვეშ - შეიყვანეთ იგი იმავე სახელის მქონე დომენში და მიანიჭეთ ძველი IP მისამართი
6) დააყენეთ Active Directory Certificate Service როლი (CA, CA Web Enrollment, NDES, Online Responder)
7) ჩვენ აღვნიშნავთ, რომ ეს არის Enterprise CA
8) აღადგინეთ CA+Private Key სარეზერვო ასლიდან
9) ბედნიერი დასასრული

დამეთანხმებით, არაფერია რთული. და დავიწყე მისი განხორციელება. ფაქტობრივად, არანაირი პრობლემა არ ყოფილა და ყველაფერმა საათივით ჩაიარა... დაიწყო სერვისი, გამოჩნდა სერტიფიკატების შაბლონები და თავად სერთიფიკატები გამოჩნდა. ზოგადად, ყველაფერი რიგზეა. ამიტომ დასაძინებლად წავედი. დილით CA-ს მუშაობაზე არანაირი პრეტენზია არ ყოფილა და ამიტომ ჩავთვალე, რომ ყველაფერი მუშაობდა და გადავედი სხვა დავალებებს. მათი გადაჭრის პროცესში დამჭირდა სერთიფიკატი. შევქმენი .csr და მივყევი ბმულს vm_ca/certsvcხელი მოაწეროს და მიიღო სერტიფიკატი და ამ ეტაპზე მოხდა შეცდომა. სამწუხაროდ, მე არ გადავიღე სკრინშოტი, მაგრამ წერია მომხმარებლის ინფორმაციის შეუსაბამობა და სხვა შეცდომები. აბა, აქ ვართ, გავიფიქრე. გუგლი დავიწყე, მაგრამ, სამწუხაროდ, გასაგები ვერაფერი ვიპოვე.

საღამოს CA-ს მოხსნა გადავწყვიტეთ. Windows 2012R2 და ყველაფერი ხელახლა დავაყენე, მაგრამ შემდეგ შეცდომა დავუშვი: Enterprise CA-ს ნაცვლად, Standalone CA ავირჩიე (თუმცა ჩემს შეცდომას მხოლოდ მოგვიანებით მივხვდი). ყველა ნაბიჯი კიდევ ერთხელ გავიმეორე... ყველაფერი კარგად წავიდა, მაგრამ როდესაც Certificate Templates საქაღალდეს ვირჩევ, შეცდომას „Element not found“ ვიღებ, მიუხედავად იმისა, რომ თუ Manage-ს ვირჩევ, შაბლონები იქ არის.
მე ვფიქრობდი, რომ არ იყო საკმარისი უფლებები ამ CN=სერთიფიკატის შაბლონებისთვის, ამიტომ ADSI Edit-ის გამოყენებით ვაჩუქე Read for vm_ca$. მე გადავტვირთე CertSvc და... შედეგი: ელემენტი ვერ მოიძებნა.
მოწყენილი ვიყავი, რადგან დილის 2 საათი იყო... და კონტრაბანდისტული სამსახური არ მუშაობდა. კონტრაბანდისტული სამსახური გამოვრთე. Windows 2012R2 და VM CA-ს აღდგენა Windows 2008R2 სნეპშოტიდან. სერვერს AD-ში ვაბრუნებ (რადგან როდესაც დომენის ანგარიშით შესვლას ვცდილობ, ურთიერთობის შეცდომას ვიღებ სერვერი და ახ. წ.).
კარგი, ვფიქრობ... ახლა ყველაფერი კარგად იქნება, მაგრამ სამწუხაროდ... ისევ იგივე სერთიფიკატის შაბლონებია - მივიღებ ელემენტს ვერ მოიძებნა. ყველაფერს დილამდე დავტოვებ - რადგან დილა საღამოზე ბრძენია.
დღეს დილით Google-ში ვეძებე სხვადასხვა სტატია და გადავწყვიტე, ძველზე CA ხელახლა დამეყენებინა. სერვერი იმ იმედით, რომ „ელემენტი ვერ მოიძებნა“ პრობლემის გადაჭრას ვებგვერდის საშუალებით სერტიფიკატების გაცემით.

პროცესი საკმაოდ მარტივია:
1) წაშალეთ CA როლი
2) გადატვირთვა
3) დაელოდეთ ამოღების პროცესის დასრულებას
4) დაამატეთ CA როლი (მიუთითეთ CA, CA Web Enrollment, NDES, Online Responder)
5) ჩვენ აღვნიშნავთ, რომ მე მაქვს Enterprise CA და მაქვს პირადი გასაღები
6) ჩვენ ველოდებით ინსტალაციის დასრულებას და აღვადგინოთ ყველაფერი სარეზერვო ასლიდან, რაც თავიდანვე გავაკეთეთ.
7) ჩვეულებისამებრ, ყველაფერი მიდის ხმაურით - შეცდომები არ არის და სერვისი დაიწყო

ჩაძირული გულით ვაწკაპუნებ სერტიფიკატების შაბლონებზე - და... სია მომცეს - ეს უკვე პატარა გამარჯვებაა. რჩება ინტერნეტის საშუალებით სერთიფიკატის გაცემის ოპერაციის შემოწმება. მივყვები ბმულს: vm_ca/certsvc და დააკლიკეთ Request a Certificate და შემდეგ advanced Certificate მოთხოვნა... ვაზუსტებ .csr მოთხოვნას და ვიღებ მზა სერტიფიკატს. ამოვისუნთქე... შესაძლებელი იყო CA-ს აღდგენა.

დასკვნები:
1) დარწმუნდით, რომ გააკეთეთ სარეზერვო და სნეპშოტი
2) დააფიქსირეთ თქვენი ქმედებები - ეს დაგეხმარებათ დაიბრუნოთ ყველაფერი ან უფრო სწრაფად იპოვოთ შეცდომა

P.s. CA მიგრაცია ხელახლა უნდა ვცადო Windows 2008R-ზე Windows 2012R2.

წყარო: www.habr.com