Migration einer Active Directory integrierten Zertifizierungsstelle (Enterprise Certification Authority) auf einen anderen Server

Oftmals lebt eine Zertifizierungsstelle deutlich länger, als der Server, auf welchem sie installiert wurde. Gründe für eine Migration der Zertifizierungsstelle auf einen neuen Server, d.h. unter Beibehaltung der Daten, können sein:

  • Defekt oder Ende der Lebensdauer der Server-Hardware
  • Ende der Lebensdauer des Server-Betriebssystems
  • Änderung des Server-Namens

Nachfolgend wird die Vorgehensweise für die Migration im Detail beschrieben.

Grundlagen

Die Migration einer Zertifizierungsstelle besteht aus folgenden Schritten:

  • Vorbereitung des neuen Servers
  • Installation der Zertifizierungsstellen-Zertifikate (inklusive privatem Schlüssel) auf dem neuen Server
  • Die Zertifizierungsstelle auf dem alten Server in den Wartungsmodus versetzen
  • Veröffentlichen neuer Zertifikatsperrlisten
  • Notfall-Signierung der neu veröffentlichen Zertifikatsperrlisten
  • Eine Sicherung (Backup) der Zertifizierungsstelle auf dem alten Server erstellen
  • Den alten Server außer Betrieb nehmen
  • Wiederherstellen der zuvor erstellten Sicherung der Zertifizierungsstelle auf dem neuen Server
  • Funktionstest durchführen
  • Die Zertifizierungsstelle aus dem Wartungsmodus nehmen

Die einzelnen Schritte werden im weiteren Verlauf des Artikels näher beschrieben.

Voraussetzungen

Wenn die Zertifizierungsstelle umsichtig entworfen wurde, besteht keine Bindung an den Computernamen des Servers, auf dem sie installiert wurde. Somit kann der neue Server problemlos einen neuen Computernamen erhalten. Diese Variante bietet außerdem den Vorteil, dass der neue Server vorab vorbereitet werden kann, was das Zeitfenster, indem die Zertifizierungsstelle nicht verfügbar ist, deutlich verkürzt.

Aber auch wenn die Zertifizierungsstelle z.B. durch einen AIA oder CDP-Pfad, der auf den Servernamen verweist, an den Computernamen gebunden ist, kann der Servername unter Umständen geändert werden.

Stolperfallen

Vorbereitung des neuen Servers

Zur Vorbereitung des Servers gehört unter Anderem:

  • Erstellen der virtuellen Maschine oder Inbetriebnahme der Server-Hardware
  • Installation des Betriebssystems
  • Aufnehmen des neuen Servers in die Domäne
  • Installation von Betriebssystem-Updates und Managementsoftware
  • Sicherheitshärtung der Betriebssystem-Installation

Diese Schritte werden hier nicht näher beschrieben, da sie allgemeingültig sind.

Installation der Zertifizierungsstellen-Zertifikate (inklusive privatem Schlüssel) auf dem neuen Server

Dieser Schritt gehört zur Vorbereitung des Servers und kann unter Umständen sehr umfangreich sein, etwa wenn Hardware Security Module zum Einsatz kommen. Um bei der Migration der Zertifizierungsstelle keine Zeit zu verlieren, wird dieser Schritt daher im Vorfeld durchgeführt.

Eine Beschreibung der Installation der Zertifizierungsstellen-Zertifikaten ist in den folgenden Artikeln zu finden:

Die Zertifizierungsstelle auf dem alten Server in den Wartungsmodus versetzen

Damit sich die Zertifizierungsstelle während der Migration in einem konsistenten Zustand befindet, muss verhindert werden, dass sie weiterhin Zertifikatanforderungen annimmt und Zertifikate an die Antragsteller ausstellt. Hierzu wird die Zertifizierungsstelle in den Wartungsmodus versetzt.

Die Vorgehensweise, um eine Zertifizierungsstelle in den Wartungsmodus zu versetzen ist im Artikel "Eine Active Directory integrierte Zertifizierungsstelle (Enterprise Certification Authority) in den Wartungsmodus versetzen" beschrieben.

Veröffentlichen neuer Zertifikatsperrlisten

Für den Fall, dass die Migration länger dauert als geplant, sollten auf dem Altsystem unbedingt noch einmal aktuelle Sperrlisten erzeugt werden.

Generell sollten die Sperrlistengültigkeiten überprüft und falls erforderlich vor der Migration erhöht werden. Die Vorgehensweise zur Konfiguration der Sperrlisten-Gültigkeiten ist im Artikel "Konfiguration der Sperrlistenverteilpunkte (CDP) und der Authority Information Access (AIA) Erweiterung einer Zertifizierungsstelle" beschrieben.

Die Vorgehensweise zur Veröffentlichung einer Zertifikatsperrliste istim Artikel "Erstellen und Veröffentlichen einer Zertifikatsperrliste" beschrieben.

Notfall-Signierung der neu veröffentlichen Zertifikatsperrlisten

Bei der Notfallsignierung der Sperrlisten wird eine bestehende Zertifikatsperliste unter direkter Verwendung des dazugehörigen privaten Schlüssels mit einem verlängerten Ablaufdateum erneut signiert. Sollte bei der Migration etwas schief gehen, kann der Sperrlistenbetrieb weiterhin aufrecht erhalten werden, bis das Problem gelöst werden konnte.

Eine detailierte Beschreibung zur Durchführung der Notfallsignierung ist im Artikel "Durchführen der Notfallsignierung von Zertifikatsperrlisten" zu finden.

Eine Sicherung (Backup) der Zertifizierungsstelle auf dem alten Server erstellen

Eine detailierte Beschreibung zu den einzelnen Teilschritten ist im Artikel "Eine Sicherung (Backup) einer Zertifizierungsstelle erstellen" zu finden.

Den alten Server außer Betrieb nehmen

Der alte Server wird nun heruntergefahren. Die Zertifizierungsstellen-Rolle wird vorher nicht deinstalliert, da sich ein Teil der Konfiguration im Active Directory befindet und somit vom neuen Server direkt wieder übernommen werden kann.

Wiederherstellen der zuvor erstellten Sicherung der Zertifizierungsstelle auf dem neuen Server

Die Wiederherstellung der Zertifizierungsstelle aus dem Backup besteht aus den folgenden Schritten.

  • Die Zertifizierungsstellen-Rolle auf dem neuen Server installieren
  • Anpassen der Sicherung der Registry aus dem Backup der Zertifizierungsstelle und Import der Einstellungen
  • Importieren der Zertifizierungsstellen-Datenbank aus dem Backup

Eine detailierte Beschreibung zu den einzelnen Teilschritten ist im Artikel "Wiederherstellung einer Zertifizierungsstelle aus der Sicherung (Backup)" zu finden.

Bei einem Wechsel von einer älteren Windows Server Version auf Windows Server 2012 oder neuer hat sich die Vorgehensweise zur Bildung der Zertifikatseriennummer geändert (siehe Artikel "Wie wird die Seriennummer eines Zertifikats gebildet?"). Man sollte sich in diesem Fall bewusst dafür entscheiden, ob man den alten potentiell unsichereren Wert übernehmen möchte oder zur neuen Standardeinstellung übergehen möchte.

Verbundene Dienste anpassen

Wenn der neue Server unter einem anderen Hostnamen erreichbar ist, müssen – falls vorhanden – die mit der Zertifizierungsstelle verbundenen Dienste angepasst werden, sodass sie sich auf den neuen Server verbinden. Dies umfasst:

Funktionstest durchführen

Eine detaillierte Beschreibung zu den einzelnen Teilschritten ist im Artikel "Funktionstest durchführen für eine Zertifizierungsstelle" zu finden.

Die Zertifizierungsstelle aus dem Wartungsmodus nehmen

War der Funktionstest erfolgreich, kann die Zertifizierungsstelle wieder für die Ausstellung von Zertifikaten an die Antragsteller freigegeben werden.

Hierzu wird die Zertifizierungsstelle aus dem Wartungsmodus genommen. Eine Beschreibung, wie dies umgesetzt wird, ist im Artikel "Eine Active Directory integrierte Zertifizierungsstelle (Enterprise Certification Authority) in den Wartungsmodus versetzen" beschrieben.

Weiterführende Links

18 Gedanken zu „Migration einer Active Directory integrierten Zertifizierungsstelle (Enterprise Certification Authority) auf einen anderen Server“

Kommentare sind geschlossen.