In-Place Upgrade einer Zertifizierungsstelle von Windows Server 2008 SP2 zu Windows Server 2008 R2

Spätestens im Rahmen des Endes der Produkt-Unterstützung durch den Hersteller (Microsoft) stellt sich die Frage, ob man die Zertifizierungsstelle durch Migration vers un autre serveur auf ein aktuelles Betriebssystem bringt, oder ein In-Place Upgrade vornimmt. Anbei wird letzterer Vorgang beschrieben.

Der Support für Windows Server 2008 SP2 und Windows Server 2008 R2 ist am 14. Januar 2020 abgelaufen. (siehe Artikel „Fin du support du produit par le fabricant (Microsoft)„) Sollte es während der Migration zu Problemen kommen, ist im Regelfall kein Support durch Microsoft möglich.

Anstelle eines In-Place Upgrades wird dringend empfohlen, die Zertifizierungsstelle auf einen anderen Server mit einem aktuellen Betriebssystem zu migrieren. Siehe Artikel „Migration d'une autorité de certification intégrée à Active Directory (Enterprise Certification Authority) vers un autre serveur„ .

Es ist nicht möglich, von einer 32-Bit Installation von Windows Server 2008 auf eine neuere Windows Version zu aktualisieren, da diese nur noch als 64-Bit Version veröffentlicht werden. Der einzige Weg, eine solche Zertifizierungsstelle zu aktualisieren ist eine Migration auf einen neuen Server mit aktuellem Betriebssystem. Siehe Artikel „Migration d'une autorité de certification intégrée à Active Directory (Enterprise Certification Authority) vers un autre serveur„ .

Das Downgrade einer Windows-Edition z.B. von Windows Server Datacenter auf Windows Server Standard wird nicht unterstützt.

Vorbereitende Arbeiten

Sicherstellen, dass die Zeil-Hardware (physisch oder virtuell) die Installation des neuen Betriebssystems unterstützt.
Bereitstellung des Lizenzschlüssels für das neue Betriebssystem. Während der Aktualisierung wird der Lizenzschlüssel für das Ziel-Betriebssystem benötigt.
Bereitstellen des Installations-Datenträgers des neuen Betriebssystems
Sicherstellen des physischen Zugangs zum Server bzw. zur Konfiguration und Konsole der virtuellen Maschine.
Installieren aller Windows-Updates für das aktuelle Betriebssystem.
Versetzen der Zertifizierungsstelle in den Wartungsmodus. Siehe Artikel „Mettre une autorité de certification intégrée à Active Directory (Enterprise Certification Authority) en mode maintenance„ .
Veröffentlichen einer Sperrliste. Siehe Artikel „Création et publication d'une liste de révocation de certificats„ .
Durchführen einer Notfall-Sperrlisten-Signierung. Siehe Artikel „Durchführen der Notfallsignierung von Zertifikatsperrlisten„ .
Erstellen einer aktuellen Sicherung (Backup) der Zertifizierungsstelle. Siehe Artikel „Créer une sauvegarde (backup) d'une autorité de certification„ .

Durchführung des Upgrades

Connaissez-vous TameMyCerts? TameMyCerts est un add-on pour l'autorité de certification Microsoft (Active Directory Certificate Services). Il étend la fonction de l'autorité de certification et permet de Application de la réglementationIl s'agit d'un logiciel de gestion des certificats qui permet d'automatiser l'émission de certificats en toute sécurité. TameMyCerts est unique dans l'écosystème Microsoft, a déjà fait ses preuves dans d'innombrables entreprises du monde entier et est disponible sous une licence libre. Il peut téléchargé via GitHub et être utilisé gratuitement. Une maintenance professionnelle est également proposée.

Nachdem der Datenträger für das neue Betriebssystem eingelegt wurde, kann die Installation gestartet werden.

Üblicherweise verfügen Serversysteme ohnehin über keine Internetverbindung, sodass hier die Option, Updates herunterzuladen, abgewählt werden kann. Bitte jedoch beachten, dass der Server in diesem Fall ohne Sicherheitsupdates wieder hochfahren wird. Dies wird dazu führen, dass die Remotedesktopverbindung von einem aktuellen Client aus nicht mehr funktionieren wird, da das Update für die Sicherheitslücke CVE-2018-0866 noch nicht installiert wurde.

Im nächsten Dialog werden die Lizenzbedingungen akzeptiert, um fortfahren zu können.

Im nächsten Dialog muss unbedingt die Option „Upgrade“ ausgewählt werden, damit die Zertifizierungsstellen-Installation erhalten bleibt. Ist hier nur die Option „Custom (advanced)“ auswählbar, passt entweder die Betriebssystem-Sprache oder die Betriebssystem-Edition nicht zusammen.

Anschließend wird ein Kompatibilitätsbericht angezeigt. Bei einer Zertifizierungsstelle sollten hier keine Besonderheiten auftreten, sodass fortgefahren werden kann.

Anschließend erfolgt die Installation des neuen Betriebssystems. Der Server wird mehrfach neu starten, bevor er mit dem neuen Betriebssystem wieder genutzt werden kann.

Problemlösungen

Keine Remotedesktopverbindung mehr möglich nach In-Place Upgrade

Sehr wahrscheinlich wird nach dem In-Place Upgrade keine Remotedesktopverbindung zum Server möglich sein. Für den Grund und die Lösung siehe Artikel „Keine Remotedesktopverbindung mehr möglich nach In-Place Upgrade des Windows Server Betriebssystems„ .

Retouches

Windows aktivieren, sofern erforderlich. Nach dem Upgrade muss der Server unter Umständen noch mit einem KMS-Server verbunden, oder das Betriebssystem aktiviert werden.
Aktuelle Windows-Updates installieren. Der Server startet ohne Sicherheitsupdates, daher müssen diese umgehend installiert werden.
Wurde ein Upgrade ausgehend von einer Zertifizierungsstelle, die auf Windows Server 2008 R2 oder älter lief vorgenommen, kann es sinnvoll sein, die Erzeugung der Seriennummern für ausgestellte Zertifikate auf den neuen Standard anzupassen. Näheres hierzu siehe Artikel „Comment est formé le numéro de série d'un certificat ?„ .
Funktionstest für die Zertifizierungsstelle durchführen. Siehe Artikel „Réaliser un test de fonctionnement pour un organisme de certification„ .
Aktuelle Sicherung (Backup) erstellen. Siehe hierzu Artikel „Créer une sauvegarde (backup) d'une autorité de certification„ .

Liens complémentaires :

Sources externes

Windows Server 2012 upgrade may fail with error 0x000000C4 (Microsoft)
CredSSP updates for CVE-2018-0886 (Microsoft)