Неудачная миграция Certificate Authority(CA) с Windows 2008R на Windows 2012 R2

[szelga]

а вторым номером поднять не получилось? потом первый загасить и отозвать по прошествии некоторого времени.

[Alexey_Shalin]

был уже второй… я думаю, что у меня реально в этом направлении мало знаний… нужно будет подтянуть

[questor]

К выводам я бы добавил ещё один: тестируйте!!!

Ничто не мешало сделать копии виртуалок и по заранее подготовленному чеклисту попробовать пройти сценарий и попробовать проверить, насколько успешно прошла миграция.

Тут главное — полная изоляция тестового контура от боевой сети.

[Alexey_Shalin]

Для это нужно было бы поднять
Копию АД
Копию SubCA (возможно и не нужно было бы)
Копию CA

Но если честно Вы, правы… нужно было попробовать и так

[gotch]

Руками, если что-то на физике было, это делается за два часа. На виртуалках еще быстрее.
В Veeam Backup такой стенд собирается за 5 минут (правда отлаживается иногда часа два, зато понимаешь, что у тебя криво бекапится).

[Pas]

Можно для плавного перехода выпустить на действующем CA сертификат не клиентский, а intermediate CA, его уже передать в новый сервер и сделать его там выдающим. И уже потом развлекаться и плавно переводить клиентские серты.

[DikSoft]

Необходимо и достаточно было прочитать Vadims Podans! )
После всех этих опытов настоятельно рекомендую зайти в ADSIEDIT и посмотреть точки подключения:
Configuration --> Services --> Public Key Services

[Alexey_Shalin]

Спасибо. Проверю.

[gotch]

Пример, как не надо заниматься системным администрированием.
Если это Windows, то Next-next-next-finish? Печально, что не разбираясь в технологии, вы решили не изучая ее взяться за работу.
Опыт предшественников тоже не заслуживает внимания?

[Alexey_Shalin]

Добрый. Я именно по этому этой доке и делал.все удачно прошло… т.е все перенеслось… все работало… Только при попытке получить сертификат через веб были ошибки… а так все перенеслось нормально...

[gotch]

Да, извините, резковато ответил. Эмоции.
Смотрите, что у вас еще могло сломаться.
Если вы про реестр забыли, а я его не вижу в статье, то возможно несовпадение точек распространения CRL, а при обновлении ключа и AIA.
Из-за удаления учетной записи компьютера, могут слететь разрешения в
CN=имя вашего CA,CN=KRA,CN=Public Key Services,CN=Services,CN=Configuration,DC=ваш,DC=домен

CN=имя вашего CA,CN=сервер,CN=CDP,CN=Public Key Services,CN=Services,CN=Configuration,DC=ваш,DC=домен

CN=имя вашего CA,CN=AIA,CN=Public Key Services,CN=Services,CN=Configuration,DC=ваш,DC=домен

Так же стоит проверить что все шаблоны, которые раньше обслуживал «старый» CA, теперь обслуживает новый. Или просто добавить его к выдаче типа
certutil -setcatemplates +DomainController
certutil -setcatemplates +WebServer
certutil -setcatemplates +Machine
certutil -setcatemplates +User
certutil -setcatemplates +SubCA

Если использовали CAPolicy.inf — перенесите его, сыграет роль при обновлении ключа.