Dzień dobry drogi czytelniku,
Opowiem wam o koszmarze, który przeżyłem podczas migracji z CA Windows 2008R2 na Windows 2012 R2. W internecie jest mnóstwo artykułów na ten temat i nie powinno być żadnych problemów.
Niestety, tak naprawdę nie Windows Administratorze, jestem raczej administratorem *nix, ale zadanie migracji CA zostało postawione i trzeba to zrobić.
Poniżej opowiem, jak przeszedłem przez ten proces i jak zakończyłem go z niezbyt szczęśliwym zakończeniem.
I tak poszliśmy...
Linia bazowa:
źródło Do Windows 2008 R2 z głównym urzędem certyfikacji
Cel Do Windows 2012R2
Server Windows Miałem już zainstalowaną wersję 2012R2 i minimalnie ją skonfigurowaną.
Początkowo plan działań przedstawiał się następująco (skrócone działania):
1) Utwórz kopię zapasową CA+klucz prywatny i skopiuj ją do wspólnego zasobu dla obu komputerów
2) Usuń cel z domeny i zmień adres IP
3) Zrób migawkę serwera
4) Zmień adres IP źródła
5) Zaloguj się na nowy serwer Windows 2012R2 w trybie administratora – wprowadź go do domeny o tej samej nazwie i przypisz stary adres IP
6) Ustaw rolę usługi certyfikatu Active Directory (CA, CA Web Enrollment, NDES, Online Responder)
7) Wskazujemy, że jest to Enterprise CA
8) Przywróć CA+klucz prywatny z kopii zapasowej
9) Szczęśliwe zakończenie
Zgadzam się, nie ma w tym nic skomplikowanego. I zacząłem to wprowadzać w życie. W rzeczywistości nie było żadnych problemów i wszystko poszło jak w zegarku... Usługa wystartowała, pojawiły się szablony certyfikatów i same certyfikaty. Generalnie wszystko jest w porządku. Więc poszedłem spać. Rano nie było żadnych skarg na pracę CA, więc uznałem, że wszystko działa i mogłem zająć się innymi zadaniami. W procesie ich rozwiązywania potrzebowałem certyfikatu. Utworzyłem plik .csr i kliknąłem w link , aby podpisać i odebrać certyfikat, ale na tym etapie wystąpił błąd. Niestety nie zrobiłem zrzutu ekranu, ale na ekranie widniały niezgodności danych użytkownika i inne błędy. No i jesteśmy na miejscu, pomyślałem. Zacząłem szukać w Google, ale niestety nie znalazłem niczego jasnego.
Postanowiliśmy usunąć CA wieczorem. Windows 2012R2 i ponownie zainstalowałem wszystko, a potem popełniłem błąd: zamiast urzędu certyfikacji przedsiębiorstwa wybrałem samodzielny urząd certyfikacji (choć dopiero później zdałem sobie sprawę ze swojego błędu). Powtórzyłem wszystkie kroki jeszcze raz… wszystko poszło dobrze, ale po wybraniu folderu szablonów certyfikatów pojawia się błąd „Nie znaleziono elementu”, mimo że po wybraniu opcji „Zarządzaj” szablony są tam.
Uważałem, że nie mam wystarczających uprawnień do tego CN=Certificate Templates, więc użyłem ADSI Edit, aby nadać uprawnienia Read do vm_ca$. Uruchomiono ponownie CertSvc i... wynik: Element nie został znaleziony.
Poczułem się smutny, bo była 2 w nocy... a CA nie działał. Wyłączyłem CA. Windows 2012R2 i przywracanie urzędu certyfikacji maszyn wirtualnych Windows 2008R2 ze migawki. Zwracam serwer do AD (ponieważ gdy próbuję zalogować się na konto domeny, pojawia się błąd relacji między serwer i AD).
No cóż, myślałem, że teraz wszystko będzie w porządku, ale niestety... nadal wyświetla mi się ten sam szablon certyfikatu - element nie został znaleziony. Wszystko zostawię na rano, bo poranek jest mądrzejszy niż wieczór.
Dziś rano szukałem w Google i przeczytałem różne artykuły, w efekcie czego zdecydowałem się na ponowną instalację CA na starej wersji. serwer mając nadzieję na rozwiązanie problemu „Element Not Found” poprzez wydawanie certyfikatów za pośrednictwem sieci Web.
Proces jest bardzo prosty:
1) Usuń rolę CA
2) Przeładuj
3) Poczekaj, aż proces usuwania zostanie ukończony
4) Dodaj rolę CA (określ CA, CA Web Enrollment, NDES, Online Responder)
5) Zaznaczamy, że posiadam CA przedsiębiorstwa i klucz prywatny
6) Poczekaj na zakończenie instalacji i przywróć wszystkie dane z kopii zapasowej, którą wykonaliśmy na samym początku.
7) Jak zwykle wszystko poszło świetnie - żadnych błędów i usługa ruszyła
Wstrzymując oddech, klikam na Szablony Certyfikatów – i… otrzymuję listę – to już jest małe zwycięstwo. Pozostaje sprawdzić działanie wydawania certyfikatu przez sieć Web. Klikam w link: i klikam na Żądanie certyfikatu, a następnie na Zaawansowane żądanie certyfikatu… Określam żądanie .csr i otrzymuję gotowy certyfikat. Wydaje mi się... Udało mi się przywrócić CA.
Wnioski:
1) Pamiętaj o wykonaniu kopii zapasowej i migawki
2) Udokumentuj swoje działania – pomoże Ci to odzyskać wszystko lub szybciej znaleźć błąd
P.s. Muszę jeszcze raz spróbować migracji CA Windows 2008R na Windows 2012R2.
Źródło: www.habr.com
