邮件服务器-邮件系统-邮件技术论坛(BBS)

标题: AD证书服务器迁移到不同名称的服务器？ [打印本页]

作者: iveslu 时间: 2015-12-23 13:05
标题: AD证书服务器迁移到不同名称的服务器？
1. 原来exchange 2010使用的证书服务器（不是ＤＣ），如果迁移到不同名称的服务器上，对Exchange使用会有影响吗？
比如OWA/outlookanywhere等。
2. 如果证书服务器装在ＤＣ上，是否能迁移？可以迁移至不同名称的服务器吗？　
坐等钉子兄。

作者: 钉子 时间: 2015-12-24 10:48
可以迁移。

作者: 钉子 时间: 2015-12-24 10:50
声明：本文转载自gnaw0725.blogbus.com，更新网址：http://gnaw0725.blog.51cto.com。
CA证书服务器重命名。有一台域控制器和一台OCS服务器，域控制器上部署了CA证书颁发机构，现在是我需要将CA迁移到一台成员服务器上，我将CA备份之后，在域控制器上删除CA证书机构，然后在一台成员服务器上恢复CA备份（注：使用备份的CA私钥安装CA组件），我发现这样做也可以正常申请和验证证书，因为我原有域控制器和恢复CA的服务器计算机名不相同，我看到微软官方上说不能恢复备份到不同计算机名的服务器上了，我想确认这个操作是否可行？（注：Windows 2003 的域控制器）
我测试将CA备份恢复到另一台用虚拟机做的服务器，我做了两个测试，一个恢复到新虚拟机上相同计算机名的成员服务器（把原来CA服务器关闭掉），一个恢复到新虚拟机上不同计算机名的成员服务器上，我发现恢复之后都无法通过Web页面去申请证书，打开创建新的证书申请页面时弹出：找不到任何证书模板。您没有从该CA申请证书的权限，或者在访问Active Directory时发生错误。请问如何解决这个问题？
回答：根据您的描述，我的理解是您希望获得有关于如何将CA迁移到不同名称的服务器上的信息。首先让我们开看CA在不同名称的服务器之间移动这个问题。我们确实是不推荐您将CA迁移到一台不同名称的服务器，但是如果我们必须将其迁移到不同名称的服务器上，我们需要在完成KB298138中的步骤之后，继续如下的步骤来保证用程序可以访问CA中存储的CRL和AIA信息。
1. 如果满足下列条件，我们需要运行命令certutil.exe -dspublish来停止已发布的AIA和CRL信息。
? 原始的CA是企业CA。
? 客户端只能通过LDAP URLS访问发布的AIA和CRL数据。
? 新的CA与原始的CA不在同一森林。
2.如果下列的条件成立，我们需要添加新的CDP/AIA扩展（这样新的CA会继续发布原始的CDP/AIA信息）
? 原始的CA是企业CA。
? 客户端只能通过LDAP URLS访问发布的AIA和CRL数据。
? 新的CA与原始的CA不在同一森林。
我们可以参考如下的步骤添加新的CDP/AIA扩展：
1). 在新的CA上打开CA控制台。
2). 右击CA节点，选择属性。
3). 在属性页面，选择扩展栏。
4). 添加所需的授权信息。
请您注意，具体的配置依赖于原始CA的扩展配置，如果原始的CA使用默认的扩展设置，我们可以参考这些步骤：
a). 添加新的CRL扩展分布点：ldap:///CN=CATruncatedNameCRLNameSuffix,CN=OriginalServerShortName,CN=CDP,CN=Public Key Services,CN=Services,ConfigurationContainerCDPObjectClass.
b). 将OriginalServerShortName替换为原有的CA的主机名称。
c). 在高亮的新位置，选择发布CRLs到这个新位置，发布Delta CRLs到这个新位置。
d). 添加额外的授权信息或是CRL扩展分布点。
e). 验证新的CA可以将CRLs发布到新的位置。
3．如果原始的CA将AIA和CRL数据发布到HTTP URLs以及客户端在验证证书链和CRL数据时可以访问HTTP URL，我们需要手动发布AIA和CRL数据带原始的web服务器或是添加一条DNS记录将指向原始的HTTP URL执行新的CA服务器的HTTP URL。
4. 在新的CA服务器上，我们需要确定新的证书会拿到与新的CA服务器名称关联的CDP/AIA信息。
1). 验证CA服务器名称被注册到了如下的位置：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration\CAName\
2). 验证CACertPublicationURLs 和 CRLPublicationURLs的值都是多个crl串组成，并且都位于HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration\CAName\之下。
这样，我们就可以在不同名称的服务器之间迁移CA了。不过，虽然我们可以使用如上的步骤将CA迁移至不同名称的服务器，我们仍然建议您将其迁移至同名的服务器。
接着让我们来看您的实验结果，因为我们通过web申请证书的时候遇到了没有找到证书模板这个错误，而通常情况下这个问题可能由以下的几个问题所引起：
CA本身存在错误，即我们的安装没有完全成功。
CA模板的权限丢失。
为了更好的对这个问题进行分析，首先请您帮我收集如下的信息：
1．我们是否可以通过MMC控制台来申请证书？
2．当我们使用web申请证书的时候，我们可以看得证书模板的列表吗？
与此同时，请您参考如下的步骤来修复这个问题：
1．检查CA服务器的权限：
1) 在cA服务器上，点击Start -> Administrative Tools -> Certification Authority。
2) 右击CA节点，选择Properties。
3) 点击Security标签，确保Authenticate Users有申请证书的权限。
2．在IIS中检查CertSrv Virtual Directory的认证设定：
1) 在CA服务器上，打开IIS控制台。
2) 定位到CertSrv 站点，右击选择Properties。
3) 点击Directory Security选项卡，然后点击Authentication and access Control按钮。
4) 确定a{**此为已被过滤词语**}mous access没有被启用。如果被启用了，请您将其禁用，然后重新IIS。
3．在AD中检查Certificate Templates的权限：
1) 首先检查Authenticated Users对于如下的对象是否有read的权限：
"CN=Certificate Templates,CN=Public Key Services,CN=Services,CN=Configuration,DC=<Domain Component>,DC=<Domain Component>"
我们可以参考这些步骤：
a) 运行ADSIEDIT.MSC命令。
b) 地位到如下的节点：CN=Certificate Templates,CN=Public Key Services,CN=Services,CN=Configuration,DC=<Domain Component>,DC=<Domain Component>
c) 右击CN=Certificate Templates，然后选择Properties。
d) 点击安全选项卡，确定Authenticated Users有read的权限。
e) 点击CN=Certificate Templates节点，我们应该会看到所有的证书模板的列表。
f) 双击我们想要使用的证书模板，在安全选项卡中，确定Authenticated Users有Read和Enroll的权限。
2) 然后检查我们是否还有这个问题。
Alex Yu

作者: 钉子 时间: 2015-12-24 10:50
以上一个参考信息

作者: iveslu 时间: 2015-12-30 14:56
谢谢钉子兄，钉子兄technet论坛也是版主啊

欢迎光临邮件服务器-邮件系统-邮件技术论坛(BBS) (http://news.5dmail.net/bbs/)