Dzień dobry, szanowny czytelniku,
Opowiem Ci o swoim koszmarze, który przeżyłem migrując CA z Windows 2008R2 na Windows 2012 R2. W internecie jest wiele artykułów na ten temat i nie powinno być żadnych problemów.
Niestety, nie jestem zbyt dobrym administratorem Windows, jestem bardziej administratorem *nix, ale otrzymałem zadanie migracji CA — trzeba to było zrobić.
Pod katem opowiem, jak przeszedłem przez ten proces i dostałem nie do końca happy end na końcu.
Więc jedziemy…
Dane wyjściowe:
Źródło — Windows 2008 R2 z Root CA
Cel — Windows 2012R2
Serwer Windows 2012R2 miałem już zainstalowany i minimalnie skonfigurowany.
Początkowy plan działania był taki (skrócone działania):
1) Robimy kopię zapasową CA+Private Key i kopiujemy ją na wspólny zasób dla obu komputerów
2) Wyprowadzamy cel z domeny i zmieniamy IP
3) Robimy snapshot serwera
4) Zmieniamy IP na źródle
5) Logujemy się na nowym serwerze Windows 2012R2 jako administrator — wprowadzamy go do domeny z tą samą nazwą i przypisujemy stare IP
6) Instalujemy rolę Active Directory Certificate Service (CA, CA Web Enrollment, NDES, Online Responder)
7) Wskazujemy, że to jest Enterprise CA
8) Przywracamy CA+Private Key z kopii zapasowej
9) Happy End
Zgadzam się, że nic trudnego w tym nie było. I przystąpiłem do realizacji. W rzeczywistości nie było żadnych problemów, wszystko poszło jak po maśle… Usługa uruchomiła się, szablony certyfikatów się pojawiły, a certyfikaty same się pojawiły. Generalnie wszystko OK. Dlatego poszedłem spać. Rano nie wpłynęły żadne skargi na działanie CA, więc uważałem, że wszystko działa, i przystąpiłem do innych zadań. W trakcie ich rozwiązania potrzebowałem certyfikatu. Stworzyłem .csr i poszedłem pod link , aby podpisać i uzyskać certyfikat i na tym etapie wystąpił błąd. Niestety nie zrobiłem zrzutu ekranu, ale mówiono tam o niezgodności danych użytkownika i jeszcze jakichś błędach. Cóż, wpadliśmy w tarapaty — pomyślałem. Zacząłem grzebać w Google, ale niestety nic sensownego nie znalazłem.
Już wieczorem postanowiono usunąć CA Windows 2012R2 i zainstalować wszystko od nowa i tu popełniłem błąd, zamiast Enterprise CA wybrałem opcję Standalone CA (o moim błędzie dowiedziałem się później). Wykonałem wszystkie operacje znowu… wszystko przebiegło bez błędów — ale przy wyborze folderu szablonów certyfikatów — otrzymuję Element not found, chociaż jeśli wybiorę Manage — to szablony są na miejscu.
Pomyślałem, że brakuje mi uprawnień dla tego CN=Certificate Templates, dlatego przy pomocy ADSI Edit przyznałem Read dla vm_ca$. Ponownie uruchomiłem CertSvc i… wynik: Element not found.
Tutaj poczułem smutek, bo była godzina 2 w nocy… a CA nie działa. Wyłączam CA Windows 2012R2 i przywracam VM CA Windows 2008R2 ze snapshotu. Przywracam serwer do AD (ponieważ przy próbie logowania na konto domenowe pojawia się błąd relacji między serwerem a AD).
Cóż, sądzę… teraz wszystko będzie OK, ale niestety… nadal mam Templates Certyfikatów — otrzymuję Element nie znaleziono. Zostawiam to wszystko do rana — ponieważ rano jest mądrzejsze od wieczora.
Rano poszukałem w internecie, przeczytałem różne artykuły — decyduję się na reinstalację CA na starym serwerze w nadziei, że rozwiąże problem Element nie znaleziono i wydawanie certyfikatów przez Web.
Proces jest dość prosty:
1) Usuwamy rolę CA
2) Restartujemy
3) Czekamy na zakończenie procesu usuwania
4) Dodajemy rolę CA (wskazujemy CA, CA Web Enrollment, NDES, Online Responder)
5) Określam, że mam Enterprise CA i posiadam klucz prywatny
6) Czekamy na zakończenie instalacji i przywracamy wszystko z kopii zapasowej, którą zrobiliśmy na początku.
7) Jak to zwykle bywa, wszystko przebiega pomyślnie — bez błędów, a usługa wystartowała.
Z bijącym sercem klikam na Templates Certyfikatów — i… otrzymuję listę — to już małe zwycięstwo. Pozostaje sprawdzić działanie wydawania certyfikatu przez Web. Wchodzę w link: i klikam na Request a Certificate, a następnie advanced certificate request… wprowadzam zapytanie .csr i otrzymuję gotowy certyfikat. Udało się… Przywrócenie CA się powiodło.
Wnioski:
1) Koniecznie róbcie kopie zapasowe i snapshoty
2) Dokumentujcie swoje działania — to pomoże przywrócić wszystko lub znaleźć błąd szybciej.
P.s. Muszę znów spróbować migracji CA z Windows 2008R na Windows 2012R2.
Źródło: habr.com
