Dobrý deň, vážený čitateľ,
Poviem vám o svojej nočnej more, ktorú som prežil pri migrácii CA z Windows 2008 R2 na Windows 2012 R2. Na internete je veľa článkov na túto tému a žiadne problémy by nemali nastať.
K svojmu ľútosti — nie som veľmi Windows administrátor, skôr *nix admin, ale dostal som úlohu migrácie CA — treba to spraviť.
Pod katom poviem, ako som prešiel týmto procesom a dostal sa k nie úplne šťastnému koncu.
A tak ideme na to…
Základné údaje:
Zdroj — Windows 2008 R2 s Root CA
Cieľ — Windows 2012 R2
Server Windows 2012 R2 som už mal nainštalovaný a minimálne nastavený.
Pôvodný plán bol takýto (skrátené kroky):
1) Urobíme zálohu CA + Privátneho kľúča a skopírujeme ho na spoločnú zdieľanú plochu pre oba počítače
2) Vyvedieme cieľ z domény a zmeníme IP
3) Urobíme snapshot servera
4) Zmeníme IP na zdroji
5) Prihlásime sa na nový server Windows 2012 R2 ako administrátor — vložíme ho do domény s rovnakým menom a pridelíme starú IP
6) Nainštalujeme rolu Active Directory Certificate Service (CA, CA Web Enrollment, NDES, Online Responder)
7) Uvedieme, že je to Enterprise CA
8) Obnovíme CA + Privátny kľúč zo zálohy
9) Šťastný koniec
Súhlasíte, že nič zložité to nie je. A tak som sa pustil do realizácie. V skutočnosti žiadne problémy nenastali a všetko prebehlo hladko… Služba sa spustila, Certifikátové šablóny sa objavili a samotné certifikáty boli vytvorené. Skrátka všetko OK. Preto som išiel spať. Ráno neprišlo žiadne sťažnosti na fungovanie CA, a preto som si myslel, že všetko funguje, a pustil som sa do iných úloh. Počas ich riešenia som potreboval certifikát. Vytvoril som .csr a prešiel som na odkaz , aby som podpísal a získal certifikát a práve v tomto bode došlo k chybe. Bohužiaľ, screenshot som si neurobil, ale hovorilo sa o nesúlade informácií o používateľoch a ďalších chybách. No a sme v tom — napadlo mi. Začal som googliť, ale žiaľ, nenašiel som nič zrozumiteľné.
Už večer sme sa rozhodli odstrániť CA Windows 2012 R2 a nainštalovať všetko znova a tu som urobil chybu, namiesto Enterprise CA som vybral variant Standalone CA (o svojej chybe som sa pravdaže dozvedel neskôr). Opakoval som všetky operácie… všetko prešlo bez chýb — ale pri výbere priečinka Certifikátových šablón — dostávam Element not found, hoci ak vyberiem Manage — šablóny sú na mieste.
Myslel som, že mi chýbajú práva pre tento CN=Certificate Templates, preto som pomocou ADSI Edit pridelil Read pre vm_ca$. Reštartoval som CertSvc a… výsledok: Element not found.
Tu ma vzgudulo, lebo je dve hodiny v noci… a CA nefunguje. Vypínam CA Windows 2012R2 a obnovujem VM CA Windows 2008R2 zo snapshotu. Vraciame server do AD (keďže pri pokuse o prihlásenie pod doménovým účtom sa objaví chyba vzťahov medzi serverom a AD).
No, myslím si... teraz už bude všetko v poriadku, ale, žiaľ… stále dostávam Error Certificate Templates — Element not found. Nechám všetko do rána — lebo ráno je múdrejšie večera.
Ráno som googlil, čítal rôzne články — rozhodujem sa na preinštalovanie CA na starom serveri v nádeji, že vyriešim problém Element Not Found a vydávanie certifikátov cez Web.
Proces je celkom jednoduchý:
1) Odstráňte rolu CA
2) Reštartujeme
3) Čakáme na dokončenie procesu odstránenia
4) Pridávame rolu CA (uvádzame CA, CA Web Enrollment, NDES, Online Responder)
5) Uvádzame, že mám Enterprise CA a mám súkromný kľúč
6) Čakáme na dokončenie inštalácie a obnovujeme všetko zo zálohy, ktorú sme vytvorili na začiatku.
7) Ako obvykle, všetko prebehlo na výbornú — bez chýb a služba sa spustila.
So strachom klikám na Certificate Templates — a... dostal som zoznam — to už je malá výhra. Ostáva skontrolovať prácu pre vydávanie certifikátov cez Web. Prechádzam na odkaz: a klikám na Request a Certificate a ďalej advanced certificate request… uvádzam .csr požiadavku a dostávam prichystaný certifikát. Vydychujem… Obnoviť CA sa podarilo.
Vývody:
1) Určite robte zálohu a snapshot.
2) Dokumentujte svoje kroky — to pomôže vrátiť všetko späť alebo rýchlejšie nájsť chybu.
P.s. Musím opäť vyskúšať migráciu CA z Windows 2008R na Windows 2012R2.
Zdroj: habr.com
