სერთიფიკატის ავტორიტეტის (CA) წარუმატებელი მიგრაცია Windows 2008R-დან Windows 2012 R2-ში

შუადღე მშვიდობისა ძვირფასო მკითხველო,
მე გეტყვით იმ კოშმარზე, რომელიც გადავიტანე CA-ს მიგრაცია Windows 2008R2-დან Windows 2012 R2-ზე. ამის შესახებ ინტერნეტში ბევრი სტატიაა და არანაირი პრობლემა არ უნდა ყოფილიყო.

სამწუხაროდ, მე ნამდვილად არ ვარ Windows-ის ადმინისტრატორი, მე უფრო *nix-ის ადმინისტრატორი ვარ, მაგრამ CA მიგრაციის ამოცანა დასახული იყო - ეს უნდა გაკეთდეს.

ფრაგმენტის ქვემოთ, მე გეტყვით, როგორ გავიარე ეს პროცესი და დავასრულე არც თუ ისე ჰეპიენდი.

და მოდით წავიდეთ ...
საწყისი მონაცემები:
წყარო - Windows 2008 R2 Root CA-ით
სამიზნე - Windows 2012R2

მე უკვე მქონდა Windows 2012R2 დაყენებული და მინიმალურად კონფიგურირებული.

თავდაპირველად სამოქმედო გეგმა იყო შემდეგი (შემოკლებული მოქმედებები):
1) შექმენით სარეზერვო CA+Private გასაღები და დააკოპირეთ იგი ორივე კომპიუტერის საერთო წილში
2) ამოიღეთ სამიზნე დომენიდან და შეცვალეთ IP
3) გააკეთეთ სერვერის სნეპშოტი
4) შეცვალეთ IP წყაროდან
5) ჩვენ მივდივართ ახალ Windows 2012R2 სერვერზე, როგორც ადმინისტრატორი - შეიტანეთ იგი იმავე სახელით დომენში და მივანიჭეთ ძველი IP
6) დააყენეთ Active Directory Certificate Service როლი (CA, CA Web Enrollment, NDES, Online Responder)
7) ჩვენ აღვნიშნავთ, რომ ეს არის Enterprise CA
8) აღადგინეთ CA+Private Key სარეზერვო ასლიდან
9) ბედნიერი დასასრული

დამეთანხმებით, არაფერია რთული. და დავიწყე მისი განხორციელება. ფაქტობრივად, არანაირი პრობლემა არ ყოფილა და ყველაფერმა საათივით ჩაიარა... დაიწყო სერვისი, გამოჩნდა სერტიფიკატების შაბლონები და თავად სერთიფიკატები გამოჩნდა. ზოგადად, ყველაფერი რიგზეა. ამიტომ დასაძინებლად წავედი. დილით CA-ს მუშაობაზე არანაირი პრეტენზია არ ყოფილა და ამიტომ ჩავთვალე, რომ ყველაფერი მუშაობდა და გადავედი სხვა დავალებებს. მათი გადაჭრის პროცესში დამჭირდა სერთიფიკატი. შევქმენი .csr და მივყევი ბმულს vm_ca/certsvcხელი მოაწეროს და მიიღო სერტიფიკატი და ამ ეტაპზე მოხდა შეცდომა. სამწუხაროდ, მე არ გადავიღე სკრინშოტი, მაგრამ წერია მომხმარებლის ინფორმაციის შეუსაბამობა და სხვა შეცდომები. აბა, აქ ვართ, გავიფიქრე. გუგლი დავიწყე, მაგრამ, სამწუხაროდ, გასაგები ვერაფერი ვიპოვე.

საღამოს გადავწყვიტეთ ამოგვეღო CA Windows 2012R2 და დავაინსტალირეთ ყველაფერი ახალი, შემდეგ კი შეცდომა დავუშვი; Enterprise CA-ის ნაცვლად ავირჩიე Standalone CA ვარიანტი (თუმცა ჩემი შეცდომის შესახებ მოგვიანებით გავიგე). ყველა ოპერაცია ისევ გავიკეთე... ყველაფერმა უშეცდომოდ ჩაიარა - მაგრამ როცა ვარჩევ Certificate Templates საქაღალდეს, მივიღე Element not found, თუმცა თუ ავარჩევ Manage, მაშინ შაბლონები ადგილზეა.
მე ვფიქრობდი, რომ არ იყო საკმარისი უფლებები ამ CN=სერთიფიკატის შაბლონებისთვის, ამიტომ ADSI Edit-ის გამოყენებით ვაჩუქე Read for vm_ca$. მე გადავტვირთე CertSvc და... შედეგი: ელემენტი ვერ მოიძებნა.
მერე სევდიანი ვიგრძენი, რადგან ღამის 2 საათი იყო... და CA არ მუშაობდა. მე გამოვრთე CA Windows 2012R2 და აღვადგენ VM CA Windows 2008R2 სნეპშოტიდან. მე ვაბრუნებ სერვერს AD-ში (რადგან დომენის ანგარიშით შესვლას ვცდილობ, ჩნდება შეცდომა სერვერსა და AD-ს შორის ურთიერთობასთან დაკავშირებით).
კარგი, ვფიქრობ... ახლა ყველაფერი კარგად იქნება, მაგრამ სამწუხაროდ... ისევ იგივე სერთიფიკატის შაბლონებია - მივიღებ ელემენტს ვერ მოიძებნა. ყველაფერს დილამდე დავტოვებ - რადგან დილა საღამოზე ბრძენია.
დილით დავგუგლე და წავიკითხე სხვადასხვა სტატიები - გადავწყვიტე CA ხელახლა დამეყენებინა ძველ სერვერზე Element Not Found პრობლემის გადაჭრისა და სერთიფიკატების გაცემის იმედით.

პროცესი საკმაოდ მარტივია:
1) წაშალეთ CA როლი
2) გადატვირთვა
3) დაელოდეთ ამოღების პროცესის დასრულებას
4) დაამატეთ CA როლი (მიუთითეთ CA, CA Web Enrollment, NDES, Online Responder)
5) ჩვენ აღვნიშნავთ, რომ მე მაქვს Enterprise CA და მაქვს პირადი გასაღები
6) ჩვენ ველოდებით ინსტალაციის დასრულებას და აღვადგინოთ ყველაფერი სარეზერვო ასლიდან, რაც თავიდანვე გავაკეთეთ.
7) ჩვეულებისამებრ, ყველაფერი მიდის ხმაურით - შეცდომები არ არის და სერვისი დაიწყო

ჩაძირული გულით ვაწკაპუნებ სერტიფიკატების შაბლონებზე - და... სია მომცეს - ეს უკვე პატარა გამარჯვებაა. რჩება ინტერნეტის საშუალებით სერთიფიკატის გაცემის ოპერაციის შემოწმება. მივყვები ბმულს: vm_ca/certsvc და დააკლიკეთ Request a Certificate და შემდეგ advanced Certificate მოთხოვნა... ვაზუსტებ .csr მოთხოვნას და ვიღებ მზა სერტიფიკატს. ამოვისუნთქე... შესაძლებელი იყო CA-ს აღდგენა.

დასკვნები:
1) დარწმუნდით, რომ გააკეთეთ სარეზერვო და სნეპშოტი
2) დააფიქსირეთ თქვენი ქმედებები - ეს დაგეხმარებათ დაიბრუნოთ ყველაფერი ან უფრო სწრაფად იპოვოთ შეცდომა

Ps ისევ უნდა ვცადო CA მიგრაცია Windows 2008R-დან Windows 2012R2-ზე.

წყარო: www.habr.com