God dag, kÀra lÀsare,
Jag kommer att berÀtta för dig om min mardröm som jag upplevde nÀr jag migrerade CA frÄn Windows 2008R2 till Windows 2012 R2. Det finns massor av artiklar om detta pÄ nÀtet och det borde inte ha uppstÄtt nÄgra problem.
TyvĂ€rr Ă€r jag inte sĂ€rskilt bra pĂ„ Windows, jag Ă€r mer av en *nix-administratör, men jag fick i uppdrag att migrera CA â det behövde göras.
Under rubriken kommer jag att berÀtta hur jag genomförde denna process och till slut fick ett inte helt lyckligt slut.
SĂ„, lĂ„t oss börjaâŠ
UtgÄngsdatan:
KĂ€lla â Windows 2008 R2 med Root CA
MĂ„l â Windows 2012R2
Windows 2012R2-servern var redan installerad och minimalt konfigurerad.
Den ursprungliga handlingsplanen var följande (förkortade ÄtgÀrder):
1) Gör backup av CA + Private Key och kopiera den till en delad mapp för bÄda datorerna
2) Ta bort mÄlet frÄn domÀnen och Àndra IP
3) Ta en snapshot av servern
4) Ăndra IP pĂ„ kĂ€llan
5) Logga in pĂ„ den nya Windows 2012R2-servern som administratör â lĂ€gg till den i domĂ€nen med samma namn och tilldela gammal IP
6) Installera rollen Active Directory Certificate Service (CA, CA Web Enrollment, NDES, Online Responder)
7) Ange att detta Àr en Enterprise CA
8) Ă
terstÀll CA + Private Key frÄn backupen
9) Lyckligt slut
HÄller du med om att det inte var sÄ svÄrt? Jag började genomföra det. Egentligen fanns det inga problem och allt gick som smort⊠TjÀnsten startade, Certifikatmallar dök upp och certifikaten fanns. Allt var okej. DÀrför gick jag och lade mig. PÄ morgonen kom det inga klagomÄl pÄ att CA inte fungerade och dÀrför trodde jag att allt fungerade och gick vidare med andra uppgifter. Under processen behövde jag ett certifikat. Jag skapade en .csr och gick via lÀnken , för att signera och fÄ certifikatet och just i det hÀr skedet uppstod ett fel. TyvÀrr tog jag ingen skÀrmdump, men det stod nÄgot om mismatch user information och andra fel. Tanken slog mig: nu har vi verkligen hamnat i trubbel. Jag började googla, men tyvÀrr hittade jag inget konkret.
Redan pĂ„ kvĂ€llen bestĂ€mde vi oss för att ta bort CA Windows 2012R2 och göra om allt, och hĂ€r gjorde jag ett misstag, istĂ€llet för Enterprise CA valde jag alternativet Standalone CA (jag fick reda pĂ„ mitt misstag senare). Jag genomförde alla steg igen⊠allt gick utan fel â men nĂ€r jag valde mappen Certificate Templates â fick jag Element not found, Ă€ven om jag kunde vĂ€lja Manage â sĂ„ fanns mallarna dĂ€r.
Jag tÀnkte att jag saknade behörighet för den hÀr CN=Certificate Templates, sÄ med hjÀlp av ADSI Edit gav jag Read för vm_ca$. Jag startade om CertSvc och⊠resultatet: Element not found.
HÀr kÀnde jag en oro eftersom klockan var 02:00... och CA fungerar inte. Jag stÀnger av CA Windows 2012R2 och ÄterstÀller VM CA Windows 2008R2 frÄn snapshot. Jag Äterför servern till AD (eftersom det vid inloggningsförsök med domÀnanvÀndarkonto dyker upp ett fel pÄ relationerna mellan servern och AD).
Jag tĂ€nkte... nu borde allt fungera, men tyvĂ€rr... det Ă€r fortfarande Certificate Templates â jag fĂ„r Element not found. Jag lĂ€mnar allt tills morgonen â för morgonen Ă€r klokare Ă€n kvĂ€llen.
PĂ„ morgonen googlade jag, lĂ€ste olika artiklar â jag beslutar mig för att installera om CA pĂ„ den gamla servern i hopp om att lösa problemet Element Not Found och utfĂ€rdandet av certifikat via Web.
Processen Àr ganska enkel:
1) Ta bort CA-rollen
2) Starta om
3) VÀnta pÄ att borttagningsprocessen slutförs
4) LĂ€gg till CA-rollen (ange CA, CA Web Enrollment, NDES, Online Responder)
5) Ange att jag har Enterprise CA och att jag har en privat nyckel
6) VÀnta pÄ att installationen slutförs och ÄterstÀll allt frÄn backupen som vi gjorde i början.
7) Som vanligt gick allt bra â utan fel och tjĂ€nsten startades
Med en bultande hjĂ€rta klickar jag pĂ„ Certificate Templates â och⊠jag fick en lista â det Ă€r redan en liten seger. KvarstĂ„r att kontrollera funktionen för certifikatutfĂ€rdande via webben. Jag gĂ„r till lĂ€nken: och klickar pĂ„ Request a Certificate och vidare till advanced certificate request⊠jag anger .csr-förfrĂ„gan och fĂ„r det fĂ€rdiga certifikatet. Jag andas ut⊠Att Ă„terstĂ€lla CA lyckades.
Slutsatser:
1) Gör alltid en backup och snapshot
2) Dokumentera dina Ă„tgĂ€rder â det hjĂ€lper att Ă„terföra allt eller hitta felet snabbare
P.s. Jag mÄste Äterigen försöka migrera CA frÄn Windows 2008R till Windows 2012R2.
KĂ€lla: habr.com
