Como migrar una CA 2003 a Active Directory Certificate Services (AD CS) Windows Server 2012 R2.

En esta última nota de esta saga sobre certificados vamos a realizar la migración de una CA versión 2003 a Active Directory Certificate Services 2012.

Lo primero que vamos a realizar es preparar el laboratorio, para este caso necesitamos un servidor con el rol de controlador de dominio (AD-DS), un servidor con el rol de CA versión 2003 (este es el servidor a migrar), un servidor con Windows Server 2012 (este es el servidor de destino).

Imagen 1

 

NOTA: Para instalar el rol AD-CS versión 2008 R2 o 2012 la versión del esquema de AD-DS debe ser 30 como mínimo.

 

El primer paso es hacer el backup de la base de datos de la CA y de las configuraciones almacenadas en al registry.

 

Iniciar sesión en el servidor de origen, luego iniciar la consola de administración de la CA. Hacer clic derecho sobre el nodo con el nombre de la CA, luego dirigirse a la opción All Tasks, luego hacer clic sobre Back Up CA.

Imagen 2

 

En la sección Welcome to the Certification Authority Backup Wizard, presionar el Next.

 

 Imagen 3

 

En la sección Items to Back Up seleccionar Private Key and CA Certificates y Certificate database and certificate database log, luego seleccionar la ubicación en el campo Back up to this location y presionar Next.

Imagen 4

 

En la sección Select a Password ingresar la contraseña para proteger la clave privada, presionar Next.

Imagen 5

 

En la sección Completing the certification Authority Backup Wizard presionar Finish.

Imagen 6

 

NOTA: Verificar en la ruta seleccionada que existan los siguientes archivos certbkxp.dat, edb#####.log, and CAName.edb

Desde la consola de comandos ejecutar "net stop certsvc".

Imagen 7

 

NOTA: El servicio debe ser detenido para evitar la emisión de certificados adicionales.

El siguiente paso es exportar las claves de registro, para realizar esto desde el menú Run… ejecutar el comando regedit. Navegar hacia la clave HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCertSvc hacer clic derecho sobre Configuration y hacer clic en la opción Export. Seleccionar como destino la misma carpeta donde se realizo el backup de la CA, ingresar el nombre del archivo y presionar Save.

Imagen 8

 

NOTA: Si la CA ​​de origen usa un archivo CAPolicy.inf personalizado, se debe copiar el archivo en la misma ubicación que los archivos de copia de seguridad fuente de CA.

El archivo CAPolicy.inf se encuentra en el directorio %SystemRoot%, que suele estar en C:Windows.

Copiar la carpeta donde se realizaron los backups al nuevo servidor. Luego desinstalar la CA desde Add/Remove Windows Components Wizard, unir el servidor a un workgroup.

El siguiente paso es la instalacion y configuracion del rol AD-CS para esto pueden utilizar la siguiente nota Instalación y configuración AD-CS

Una vez instalado el rol AD-CS resta realizar la configuración del rol, para esto desde la consola Server Manager hacer clic sobre el icono de notificaciones luego en el enlace Configure Active Directory Certificate Services on the destination server.

 

 Imagen 9

 

En la sección Specify credentials to configure roles services presionar Next.

Imagen 10

 

En la sección Select Role Services to configure, seleccionar el rol Certification Authority luego presionar Next.

Imagen 11

 

En la sección Specify the setup type of the CA seleccionar el mismo tipo de CA que la de origen, presionar Next.

Imagen 12

 

En la sección Specify the type of the private key seleccionar la opción Use existing private key luego seleccionar la opción Select a certificate and use its associated private key, presionar Next.

Imagen 13

 

En la sección Select an existing certificate for this CA, presionar el botón Import luego presionar el botón Browse… y navegar hasta la ruta donde se encuentra el certificado exportado, en el campo Password ingresar la contraseña para poder acceder a la clave privada por ultimo presionar Next.

Imagen 14

 

Imagen 15

 

En la sección Specify the database locations verificar la ubicación de la base de datos y del log, presionar Next.

Imagen 16

 

En la sección confirmation presionar el botón Configure.

Imagen 17

 

En la sección Results presionar Close.

 

El siguiente paso es restaurar la base de datos de la CA de origen en el servidor de destino. Para llevar adelante esta tarea ejecutar los siguientes pasos.

Iniciar sesión en el servidor de destino, iniciar la consola de administración de AD-CS hacer clic derecho sobre el nodo con el nombre de la CA, dirigirse a la opción All tasks luego a la opción Restore CA…

 

Imagen 18

 

Presionar el botón OK en la ventana que alerta sobre la detención del servicio AD-CS.

Imagen 19

 

En la sección Welcome to the Certification Authority Restore Wizard presionar Next.

Imagen 20

 

En la sección Items to restore seleccionar la opción Certificate database and certificate database log, luego presionar el botón Browse… y navegar hasta donde se encuentra la carpeta con el backup de la CA de origen, por ultimo presionar Next.

Imagen 21

 

En la sección Completing the Certification Authority Restore Wizard presionar Finish.

Imagen 22

 

En la ventana Certification Authority Restore Wizard presionar el botón Yes para iniciar el servicio AD-CS.

Imagen 23

 

El último paso en esta migración es importar las claves de registro, antes de hacer esta tarea es importante revisar los siguientes valores los cuales deben coincidir con los valores de la nueva instalación.

Estos valores de la ubicación del almacenamiento son elegidos durante la configuración de la CA. Estos existen en la clave del Registro de configuración:

 

-DBDirectory


-DBLogDirectory


-DBSystemDirectory


-DBTempDirectory

Los siguientes valores en la clave del Registro de configuración{nombre}CA contienen, en sus valores por defecto una ruta local. (Como alternativa, se puede actualizar estos valores después de importarlos mediante el uso de la consola de administración de CA. Los valores se encuentran en la solapa CA properties Extensions.)

-CACertPublicationURLs


-CRLPublicationURLs

 

Iniciar la consola de comandos con privilegios de administrador, ejecutar el comando net stop certsvc

 Imagen 24

 

Luego ubicados en la carpeta donde se encuentra el archivo .reg que queremos importar ejecutar el comando reg import < nombredearchivo.reg >

Imagen 25

 

Por ultimo ejecutar el comando net start certsvc para iniciar el servicio.

Imagen 26

 

Para verificar el funcionamiento de la CA migrada se puede solicitar un certificado para un web server.

Por el momento vamos a dejar las CA de lado y nuestra próxima serie de notas será sobre Active Directory Rights Management Services (AD-RMS).