สวัสดีตอนบ่ายครับท่านผู้อ่านที่รัก
ฉันจะเล่าฝันร้ายที่ฉันเจอระหว่างการย้ายข้อมูล CA จาก... Windows 2008R2 ขึ้นไป Windows 2012 R2 มีบทความมากมายบนอินเทอร์เน็ตเกี่ยวกับเรื่องนี้ และไม่น่าจะมีปัญหาอะไร
น่าเสียดายที่ฉันไม่ค่อยรู้เรื่องนี้เท่าไหร่ Windows แอดมินครับ ผมถนัดดูแลระบบ *nix มากกว่า แต่ภารกิจการย้าย CA นั้นได้รับมอบหมายมาแล้ว และจำเป็นต้องทำให้เสร็จครับ
ด้านล่างนี้ ฉันจะบอกคุณว่าฉันผ่านกระบวนการนี้มาได้อย่างไร และจบลงด้วยตอนจบที่ไม่ค่อยจะมีความสุขเท่าไรนัก
และแล้วเราก็ออกเดินทางกัน...
พื้นหลัง:
Источник - Windows 2008 R2 พร้อม Root CA
เป้า - Windows 2012R2
เซิร์ฟเวอร์ Windows ฉันได้ติดตั้งและตั้งค่า 2012R2 ไว้แล้วในระดับพื้นฐาน
ในเบื้องต้นแผนปฏิบัติการมีดังนี้ (การดำเนินการแบบย่อ)
1) สำรองข้อมูล CA+คีย์ส่วนตัวและคัดลอกไปยังที่แชร์สำหรับคอมพิวเตอร์ทั้งสองเครื่อง
2) ลบเป้าหมายออกจากโดเมนและเปลี่ยน IP
3) ถ่ายภาพสแน็ปช็อตของเซิร์ฟเวอร์
4) เปลี่ยน IP บนแหล่งที่มา
5) เข้าสู่ระบบเซิร์ฟเวอร์ใหม่ Windows สำหรับ Windows Server 2012 R2 ภายใต้การดูแลระบบ - ป้อนชื่อโดเมนให้เหมือนเดิม และกำหนด IP เดิมให้
6) ตั้งค่าบทบาทบริการใบรับรอง Active Directory (CA, CA Web Enrollment, NDES, Online Responder)
7) เราระบุว่านี่คือ Enterprise CA
8) กู้คืน CA+Private Key จากการสำรองข้อมูล
9) จบอย่างมีความสุข
คุณคงเห็นด้วยว่ามันไม่ได้ซับซ้อนขนาดนั้น ผมจึงเริ่มใช้งานมัน ไม่มีปัญหาอะไรจริงๆ และทุกอย่างก็ราบรื่น... บริการเริ่มทำงาน เทมเพลตใบรับรองปรากฏขึ้น และใบรับรองก็ปรากฏขึ้นมาเอง สรุปคือทุกอย่างเรียบร้อยดี ผมจึงเข้านอน เช้าวันรุ่งขึ้นก็ไม่มีใครบ่นเกี่ยวกับการทำงานของ CA ผมจึงคิดว่าทุกอย่างทำงานได้ปกติดีและไปทำงานอื่นต่อ ระหว่างที่ผมกำลังดำเนินการอยู่นั้น ผมต้องการใบรับรอง ผมจึงสร้างไฟล์ .csr และทำตามลิงก์ ฉันต้องลงชื่อและรับใบรับรอง แต่ปรากฏว่ามีข้อผิดพลาดเกิดขึ้น น่าเสียดาย ฉันไม่ได้จับภาพหน้าจอไว้ แต่ระบบแจ้งว่าข้อมูลผู้ใช้ไม่ตรงกันและมีข้อผิดพลาดอื่นๆ อีก อืม นั่นแหละ ฉันคิด ฉันลองเสิร์ชกูเกิลดู แต่โชคร้ายที่ไม่เจออะไรที่เป็นประโยชน์เลย
เราตัดสินใจถอด CA ออกในตอนเย็น Windows ผมใช้ Windows Server 2012 R2 และติดตั้งทุกอย่างใหม่หมด แล้วก็พลาดไปอีกอย่างคือ แทนที่จะเลือก Enterprise CA ผมกลับเลือก Standalone CA (แต่เพิ่งรู้ตัวว่าผิดพลาดทีหลัง) ผมทำตามขั้นตอนทั้งหมดอีกครั้ง... ทุกอย่างก็ดูเหมือนจะเรียบร้อยดี แต่พอผมเลือกโฟลเดอร์ Certificate Templates กลับได้ข้อความแสดงข้อผิดพลาดว่า "ไม่พบองค์ประกอบ" ทั้งๆ ที่ถ้าผมเลือก Manage เทมเพลตเหล่านั้นก็ปรากฏอยู่
ฉันคิดว่าฉันมีสิทธิ์ไม่เพียงพอสำหรับ CN=Certificate Templates ดังนั้นฉันจึงใช้ ADSI Edit เพื่อให้สิทธิ์การอ่านสำหรับ vm_ca$ ฉันรีสตาร์ท CertSvc และ... ผลลัพธ์: ไม่พบองค์ประกอบ
ฉันรู้สึกเศร้าเพราะตอนนั้นเป็นเวลาตีสองแล้ว...และเครื่องปรับอากาศก็ใช้งานไม่ได้ ฉันเลยปิดเครื่องปรับอากาศไป Windows 2012R2 และการกู้คืน VM CA Windows เซิร์ฟเวอร์ 2008R2 จากสแนปช็อต ผมกำลังคืนค่าเซิร์ฟเวอร์กลับไปยัง AD (เพราะเมื่อผมพยายามล็อกอินด้วยบัญชีโดเมน ผมได้รับข้อผิดพลาดเกี่ยวกับความสัมพันธ์ระหว่างกัน) เซิร์ฟเวอร์ และ AD)
เอ่อ ฉันคิดว่า... ตอนนี้ทุกอย่างคงโอเคแล้ว แต่น่าเสียดาย... ก็ยังเป็นเทมเพลตใบรับรองเหมือนเดิม—ฉันเจอปัญหา Element not found อยู่ ฉันจะปล่อยไว้ถึงเช้าดีกว่า—เพราะตอนเช้าฉลาดกว่าตอนเย็น
ฉันค้นหาข้อมูลใน Google เมื่อเช้านี้และอ่านบทความต่างๆ แล้วจึงตัดสินใจติดตั้ง CA ใหม่ลงในเครื่องเก่า เซิร์ฟเวอร์ ด้วยความหวังที่จะแก้ไขปัญหา "ไม่พบองค์ประกอบ" (Element Not Found) โดยการออกใบรับรองผ่านทางเว็บ
กระบวนการนี้ค่อนข้างง่าย:
1) ลบบทบาท CA
2) โหลดซ้ำ
3) รอให้กระบวนการลบเสร็จสิ้น
4) เพิ่มบทบาท CA (ระบุ CA, CA Web Enrollment, NDES, Online Responder)
5) เราระบุว่าฉันมี Enterprise CA และฉันมีคีย์ส่วนตัว
6) รอให้การติดตั้งเสร็จสิ้น จากนั้นคืนค่าทุกอย่างจากข้อมูลสำรองที่เราทำไว้ตอนเริ่มต้น
7) ตามปกติทุกอย่างดำเนินไปอย่างสมบูรณ์แบบ - ไม่มีข้อผิดพลาด และบริการก็เริ่มต้นขึ้น
ผมกลั้นหายใจแล้วคลิกที่ "Certificate Templates" — และ... ก็เจอรายการ — ถือเป็นชัยชนะเล็กๆ น้อยๆ เหลือแค่ทดสอบการออกใบรับรองผ่านเว็บเท่านั้น ผมกดลิงก์นี้: ฉันคลิก "ขอใบรับรอง" แล้วเลือก "ขอใบรับรองขั้นสูง"... ฉันกรอกคำขอ .csr และได้รับใบรับรองที่สมบูรณ์ ฉันออกใบรับรองให้... การกู้คืน CA สำเร็จแล้ว
สรุป:
1) อย่าลืมทำการสำรองข้อมูลและบันทึกสแนปช็อต
2) บันทึกการกระทำของคุณ - สิ่งนี้จะช่วยให้คุณได้รับทุกอย่างกลับคืนมาหรือค้นหาข้อผิดพลาดได้เร็วขึ้น
ป.ล. ผมต้องลองย้ายข้อมูล CA อีกครั้ง Windows 2008R เป็นต้นไป Windows 2012R2.
ที่มา: will.com
