WIN2003 CA KEY RECOVERY AGENT实战（三）

上次讲到用户证书的恢复操作，今天来看看从KMS到CA的迁移了。

十二、从以前的EXCHANGE 2000 KMS到CA的迁移
说明：因本部分实验涉及的环境较多，我的虚拟机有一些问题，因此先把官方资料上的截图给大家看，以保持文章的完整性，很快会把实际的操作图贴上来。期待。。

我们知道，在EXCHANGE的部署里，最重要的也是最难的就是加密和签名电子邮件了，在以前版本（EXCHANGE5.5/2000）里，加密和签名电子邮件都是通过KMS（密钥管理服务）来完成的，当然，KMS也需要有CA的支持，因此它和CA是合作完成的。在EX2003里，由于WIN2003 CA的强大功能，使微软下决心把加密/签名邮件部分的证书也交给了CA来处理，因此从EXCHANGE组件里删除了KMS组件。因此如果你计划从早期版本的EXCHANGE升级到EX2003，就必须将原来的证书从KMS里迁移到WINDOWS CA里了。下面我们就来看看这一操作的步骤：
1、如果你仍在运行EX5.5的KMS，请你升级到EX2000
2、把你的WINDOWS 2003 CA配置成允许KRA（见前面的章节）
3、确保要迁移的证书是可用的
4、要配置CA允许导入外部证书（即非CA颁发的证书）
5、接下来最重要的是从KMS数据库里导出用户证书
6、最后一步，是将导出的数据导入CA数据库。
重要：如果原来的证书是由KMS发布的V1版本的，那么在KMS迁移到CA后，这些V1版本的证书将不能被吊销，因为原来的CRL是发布在GAL里的。所以推荐在V1版本证书都已到期时再迁移。如果原来的证书是由KMS通过WIN2000 CA颁发的，那么需要注意的是，原来的CA仍需要继续维护CRL直到所有的证书都已到期或失效。

建立迁移用的交换证书
将KMS迁移到CA的过程中，从KMS中导出证书的操作是需要有一个公钥来保护的，且要求由CA来解密导出文件。所以我们需要在CA上建立一个交换证书。
重要：该证书的密钥长度不要超过1024位

允许CA导入外部CA证书
如果你的KMS运行在EX5.5上，且不使用CA协助颁发证书，那么要允许你的CA可以接受CA的证书导入。
1）运行命令：certutil –setreg ca\KRAFlags +KRAF_ENABLEFOREIGN
2）使用-f参数导入外部CA：Certutil.exe –f –importKMS [name of import file] 

从KMS里导出用户证书
有了上述的描述，我们具备了从KMS里导出用户证书的条件了。
警告：在导出用户证书之前，必须对KMS数据库进行完全备份并确保备份有效，导出操作是破坏性的，导出的密钥将被从KMS数据库里删除！！
重要：如果在导出过程中，KMS或CA在线，那么导出过程将试图吊销所有的V3证书，这样你必须立即在WIN2003 CA里对用户重新登记证书，如果你不希望这样，可以使CA离线。

导出过程
1、打开ESM


2、启动KMS（注意：启动KMS需要手工输入启动密码或从软盘读取），选择所人任务的导出用户。


3、输入KMS的管理密码，默认为password


4、导出向导开始工作，按NEXT


5、选择加密用的交换证书


6、这是加密用的交换证书


7、继续执行向导


8、使用资源管理器打开刚才选择的交换证书，确认证书有效性
9、打开证书的属性，记录下前八位指印。


10、在下一个确认页面中输入刚才记录的八位指印，确认证书有效性


11、输入导出的文件名，注意：只输入文件名，不输入路径，它的路径是默认的：
C:\program files\exchsrvr\KMSDATA 


12、继续
13、选择导出证书的查看方式，可以以用户字母排序或管理组


14、继续执行，选择要导出的证书



15、准备导出操作


开始导出数据，平均每100条记录大约需要一分钟时间（取决你的硬件性能）


16、导出完成后按NEXT


17、导出的结果见图


所有的导出文件将位于下面的目录里
C:\program files\exchsrvr\KMSDATA
18、请将这些文件复制到目标CA的计算机上以便导入。
注意：当导出大量用户的时候，可能产生多个文件，这些文件都应该被导入到新的CA中。

导入用户证书到CA
导入过程
1、以CA管理员登录计算机
2、打开命令行（CMD）
3、更改目录到包含KMS导出文件的目录
4、执行：CertUtil.exe –f –importkms <name of export file>
这里的-f是必须的。
输出的结果告诉你导入的状态以及成功导入的用户数，这里显示的用户数应和KMS导出的一样，以下是输出的成功样本：
---------
Processing KMS exports from: 
    O=microsoft,C=US 
 
KMS export file signature verifies  
Lock box opened, symmetric key successfully decrypted 
.................................. 
 
Users: 6  
 
Ignored signature certificates: 25  
Certificates with keys: 17  
Foreign certificates imported: 17  
Certificates imported: 17  
 
Keys: 17 
Keys archived: 17 
CertUtil: -ImportKMS command completed successfully.,