Como mover uma autoridade de certificação para outro servidor

Este artigo descreve como mover uma autoridade de certificação (AC) para um servidor diferente.

Autoridades de certificação (AC) são o componente central da infra-a estrutura de chaves públicas (PKI) de uma organização. As AC são configurados para existe para muitos anos ou decades, durante o qual o hardware que hospeda a AC é provavelmente actualizado.

Notas

• Para mover uma AC a partir de um servidor com o Windows 2000 Server para um servidor que está a executar o Windows Server 2003, primeiro tem de actualizar o servidor de AC que esteja a executar o Windows 2000 Server para o Windows Server 2003. Em seguida, pode seguir os passos descritos neste artigo.
• Certifique-se de que % SystemRoot % do servidor de destino corresponde % SystemRoot % do servidor de onde a cópia de segurança do estado da sistema é tirada.
  
  Tem de alterar o caminho dos ficheiros AC quando instala os componentes de servidor de AC para que correspondam a localização da cópia de segurança. Por exemplo, se efectuar uma cópia de segurança da pasta D:\Winnt\System32\Certlog, tem de restaurar a cópia de segurança para a pasta D:\Winnt\System32\Certlog. Não é possível restaurar a cópia de segurança para a pasta C:\Winnt\System32\Certlog. Depois de restaurar a cópia de segurança, pode mover os ficheiros de base de dados da AC para a localização predefinida.
  
  Se tentar restaurar a cópia de segurança e % SystemRoot % da cópia de segurança e o servidor de destino não correspondem, poderá receber a seguinte mensagem de erro:
  Não é possível efectuar o restauro de uma imagem incremental antes de efectuar o restauro de uma imagem completa. O nome do directório é inválido. 0X8007010B (WIN32/HTTP:267)
  Mover serviços de certificados de um sistema operativo de 32 bits para um sistema operativo de 64 bits ou vice-versa poderá falhar com uma das seguintes mensagens de erro:
  Os dados esperados não existem neste directório.
  Não é possível executar o restauro da imagem incremental antes de efectuar o restauro a partir de uma imagem completa 0x8007010b (Win32/HTTP:267)
  
  Alterações de formato de base de dados da versão de 32 bits para a versão de 64 bits causar incompatibilidades e o restauro está bloqueado. Isto é semelhante para a movimentação do Windows 2000 para a AC do Windows Server 2003. No entanto, não existe nenhum caminho de actualização de uma versão de 32 bits do Windows Server 2003 para uma versão de 64 bits. Por conseguinte, não é possível mover uma base de dados de 32 bits existente a uma base de dados de 64 bits. Para obter mais informações, clique no número de artigo que se segue para visualizar o artigo na base de dados de conhecimento da Microsoft:
  912309  (http://support.microsoft.com/kb/912309/ ) Como actualizar o Windows Server 2003 com Service Pack 1 para Windows Server 2003 R2
• Uma versão de 64 de x do CD2 do Windows Server 2003 R2 só actualiza versões de 64 bits do Windows Server 2003 que são baseados na arquitectura EM64T ou na arquitectura AMD64.

Efectuar cópias de segurança e restaurar a base de dados e chaves da autoridade de certificação

Windows Server 2003

Importante Esta secção, método ou tarefa contém passos que a saber como modificar o registo. No entanto, poderão ocorrer problemas graves se modificar o registo incorrectamente. Por conseguinte, certifique-se de que segue estes passos cuidadosamente. Para protecção adicional, cópia de segurança do registo antes de o modificar. Em seguida, pode restaurar o registo se ocorrer um problema. Para obter mais informações sobre como efectuar uma cópia de segurança e restaurar o registo, clique no número de artigo que se segue para visualizar o artigo na base de dados de conhecimento da Microsoft:

1. Nota Os modelos de certificado que estão configurados na pasta Modelos de certificado no snap-in autoridade de certificação. Os modelos de certificado as definições são armazenadas no Active Directory. Estes não são automaticamente efectuada a cópia de segurança. Tem de configurar manualmente as definições de modelos de certificado na nova AC para manter o mesmo conjunto de modelos.
   
   Nota Os modelos de certificado pasta existe apenas numa empresa AC. autónomo AC não utilize modelos de certificado. Por conseguinte, este passo não se aplica a uma AC autónoma.
2. Utilize o snap-in autoridade de certificação para efectuar uma cópia de segurança da base de dados da AC e chave privada. Para o fazer, siga estes passos:
   1. No snap-in autoridade de certificação, clique com o botão direito do rato no nome de AC, clique em Todas as tarefas e, em seguida, clique em criar uma cópia de segurança de AC para iniciar o Assistente de cópias de segurança de autoridade de certificação.
   2. Clique em seguinte e, em seguida, clique em chave privada e certificado da AC.
   3. Clique em base de dados de certificados e registo da base de dados de certificados.
   4. Utilize uma pasta vazia como localização de cópia de segurança. Certifique-se de que a pasta de cópia de segurança pode ser acedida através do novo servidor.
   5. Clique em seguinte. Se a pasta de cópia de segurança especificada não existir, o Assistente de cópias de segurança de autoridade de certificação cria-o.
   6. Escreva e confirme uma palavra-passe para a AC ficheiro de chave privada cópia de segurança.
   7. Clique em seguinte e, em seguida, verifique se as definições de cópia de segurança. Devem ser apresentadas as seguintes definições:
      • Chave privada e certificado de AC
      • Registo emitido e pendente pedidos
   8. Clique em Concluir.
3. Guardar as definições de registo para esta AC. Para o fazer, siga estes passos:
   1. Clique em Iniciar, clique em Executar, escreva regedit na caixa Abrir e, em seguida, clique em OK.
   2. Localize e clique com o botão direito do rato na seguinte subchave do registo:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration
   3. Clique em Exportar.
   4. Guarde o ficheiro de registo na pasta de cópia de segurança de AC que definiu no passo 2d.
4. Remova serviços de certificados do servidor antigo.
   
   Nota Este passo remove objectos do Active Directory. Não efectue este passo fora de ordem. Se a remoção da origem de AC é executada após a instalação do destino AC (passo 6 nesta secção), o destino AC tornar-se inoperacional.
5. Mudar o nome antigo servidor ou desligá-lo permanentemente da rede.
6. Instale os serviços de certificados no novo servidor. Para o fazer, siga estes passos.
   
   Nota O novo servidor tem de ter o mesmo nome de computador que o servidor antigo.
   1. No painel de controlo, faça duplo clique em Adicionar ou remover programas.
   2. Clique em Adicionar/remover componentes do Windows, clique em Serviços de certificados no Assistente de componentes do Windows e, em seguida, clique em seguinte.
   3. Na caixa de diálogo Tipo de AC, clique no tipo de AC apropriado.
   4. Clique em utilizar definições personalizadas para gerar o par de chaves e certificado AC e, em seguida, clique em seguinte.
   5. Clique em Importar, escreva o caminho do ficheiro .P12 na pasta de cópia de segurança, escreva a palavra-passe que escolheu chave referida no passo 2f e, em seguida, clique em OK.
   6. Na caixa de diálogo público e par de chaves privadas, verifique se utilizar as chaves existentes está assinalada.
   7. Clique em seguinte duas vezes.
   8. Aceitar as predefinições de definições de base de dados de certificados, clique em seguinte e, em seguida, clique em Concluir para concluir a instalação dos serviços de certificados.
7. Pare o serviço serviços de certificados.
8. Localize o ficheiro de registo que guardou no passo 3 e, em seguida, faça duplo clique para importar as definições de registo. Se o caminho que é mostrado na exportação registo a partir da AC antiga difere o novo caminho, tem de ajustar a exportação de registo em conformidade. Por predefinição, o novo caminho é C:\Windows, no Windows Server 2003.
9. Utilize o snap-in autoridade de certificação para restaurar a base de dados da AC. Para o fazer, siga estes passos:
   1. No snap-in autoridade de certificação, clique com o botão direito do rato no nome de AC, clique em Todas as tarefas e, em seguida, clique em Restaurar AC.
      
      O Assistente de restauro de autoridade de certificação é iniciado.
   2. Clique em seguinte e, em seguida, clique em chave privada e certificado da AC.
   3. Clique em base de dados de certificados e registo da base de dados de certificados.
   4. Escreva a localização da pasta de cópia de segurança e, em seguida, clique em seguinte.
   5. Verifique as definições de cópia de segurança. As definições de Registo emitido e Requisições pendentes devem ser apresentadas.
   6. Clique em Concluir e, em seguida, clique em Sim para reiniciar os serviços de certificados quando a base de dados da AC é restaurada.
   
   Nota Poderá receber o seguinte erro durante o processo de AC restauro se a pasta de cópia de segurança de AC não está no formato de estrutura de pasta correcta:
   ---------------------------
   Serviços de certificados da Microsoft
   ---------------------------
   Os dados esperados não existem neste directório.
   Escolha um directório diferente. O nome do directório é inválido. 0X8007010B (WIN32/HTTP: 267)
   A estrutura de pasta correcta é:
   C:\Ca_Backup\CA_NAME.p12
   C:\Ca_Backup\Database\certbkxp.dat
   C:\Ca_Backup\Database\edb#####.log
   C:\Ca_Backup\Database\CA_NAME.edb
   
   Escolheu onde C:\Ca_Backup é a pasta durante a fase de AC backup no passo 2.
10. No snap-in autoridade de certificação, manualmente adicionar ou remover modelos de certificado para duplicar as definições de modelos de certificado que anotou no passo 1.

Windows 2000 Server

Importante Esta secção, método ou tarefa contém passos que a saber como modificar o registo. No entanto, poderão ocorrer problemas graves se modificar o registo incorrectamente. Por conseguinte, certifique-se de que segue estes passos cuidadosamente. Para protecção adicional, cópia de segurança do registo antes de o modificar. Em seguida, pode restaurar o registo se ocorrer um problema. Para obter mais informações sobre como efectuar uma cópia de segurança e restaurar o registo, clique no número de artigo que se segue para visualizar o artigo na base de dados de conhecimento da Microsoft:

1. Nota Os modelos de certificado que estão configurados na pasta Modelos de certificado no snap-in autoridade de certificação. Os modelos de certificado as definições são armazenadas no Active Directory. Estes não são automaticamente efectuada a cópia de segurança. Tem de configurar manualmente as definições de modelos de certificado na nova AC para manter o mesmo conjunto de modelos.
   
   Nota Os modelos de certificado pasta existe apenas numa empresa AC. autónomo AC não utilize modelos de certificado. Por conseguinte, este passo não se aplica a uma AC autónoma.
2. Utilize o snap-in autoridade de certificação para efectuar uma cópia de segurança da base de dados da AC e chave privada. Para o fazer, siga estes passos:
   1. No snap-in autoridade de certificação, clique com o botão direito do rato no nome de AC, clique em Todas as tarefas e, em seguida, clique em criar uma cópia de segurança de AC para iniciar o Assistente de cópias de segurança de autoridade de certificação.
   2. Clique em seguinte e, em seguida, clique em chave privada e certificado da AC.
   3. Clique em registo de certificados emitidos e pendentes certificado pedido fila.
   4. Utilize uma pasta vazia como localização de cópia de segurança. Certifique-se de que a pasta de cópia de segurança pode ser acedida através do novo servidor.
   5. Clique em seguinte. Se a pasta de cópia de segurança especificada não existir, o Assistente de cópias de segurança de autoridade de certificação cria-o.
   6. Escreva e confirme uma palavra-passe para a AC ficheiro de chave privada cópia de segurança.
   7. Clique duas vezes em seguinte e, em seguida, verifique se as definições de cópia de segurança. Devem ser apresentadas as seguintes definições:
      • Chave privada e certificado de AC
      • Registo emitido e pendente pedidos
   8. Clique em Concluir.
3. Guardar as definições de registo para esta AC. Para o fazer, siga estes passos:
   1. Clique em Iniciar, clique em Executar, escreva regedit na caixa Abrir e, em seguida, clique em OK.
   2. Localize e clique com o botão direito do rato na seguinte subchave do registo:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration
   3. Clique em configuração e, em seguida, clique em Exportar ficheiro de registo no menu registo.
   4. Guarde o ficheiro de registo na pasta de cópia de segurança de AC que definiu no passo 2d.
4. Remova serviços de certificados do servidor antigo.
   
   Nota Este passo remove objectos do Active Directory. Não efectue este passo fora de ordem. Se a remoção da origem de AC é executada após a instalação do destino AC (passo 6 nesta secção), o destino AC tornar-se inoperacional.
5. Mudar o nome antigo servidor ou desligá-lo permanentemente da rede.
6. Instale os serviços de certificados no novo servidor. Para o fazer, siga estes passos.
   
   Nota O novo servidor tem de ter o mesmo nome de computador que o servidor antigo.
   1. No painel de controlo, faça duplo clique em Adicionar/remover programas.
   2. Clique em Adicionar/remover componentes do Windows, clique em Serviços de certificados no Assistente de componentes do Windows e, em seguida, clique em seguinte.
   3. Na caixa de diálogo Tipo de autoridade de certificação, clique no tipo de AC apropriado.
   4. Clique em Opções avançadas e, em seguida, clique em seguinte.
   5. Na caixa de diálogo público e privado par de chaves, clique em Utilize as teclas existentes e, em seguida, clique em Importar.
   6. Escreva o caminho do ficheiro .P12 na pasta de cópia de segurança, escreva a palavra-passe que escolheu chave referida no passo 2f e, em seguida, clique em OK.
   7. Clique em seguinte, escreva uma descrição de AC se apropriado e, em seguida, clique em Seguinte.
   8. Aceitar as predefinições de localização de armazenamento de dados, clique em seguinte e, em seguida, clique em Concluir para concluir a instalação dos serviços de certificados.
7. Pare o serviço serviços de certificados.
8. Localize o ficheiro de registo que guardou no passo 3 e, em seguida, faça duplo clique para importar as definições de registo.
9. Utilize o snap-in autoridade de certificação para restaurar a base de dados da AC. Para o fazer, siga estes passos:
   1. No snap-in autoridade de certificação, clique com o botão direito do rato no nome de AC, clique em Todas as tarefas e, em seguida, clique em Restaurar AC.
      
      O Assistente de restauro de autoridade de certificação é iniciado.
   2. Clique em seguinte e, em seguida, clique em registo de certificado emitido e pendentes da fila de pedidos de certificado.
   3. Escreva a localização da pasta de cópia de segurança e, em seguida, clique em seguinte.
   4. Verifique as definições de cópia de segurança. Devem ser apresentadas as seguintes definições:
      • Registo emitido
      • Pedidos pendentes
   5. Clique em Concluir e, em seguida, clique em Sim para reiniciar os serviços de certificados quando a base de dados da AC é restaurada.
10. No snap-in autoridade de certificação, manualmente adicionar ou remover modelos de certificado para duplicar as definições de modelos de certificado que anotou no passo 1.

Para mais informações sobre cenários de actualização e migração para Windows Server 2003 e Windows Server 2008, consulte a documentação técnica "Active Directory certificados serviços actualização e migração Guide". Para transferir a documentação técnica, visite o seguinte Microsoft Web site do Centro de transferências: