MIM 2016 – Postup upgradu certifikační autority používané mim CM

Informace

Společnost může pravidelně potřebovat nahradit nebo upgradovat vydávající certifikační autoritu (CA). Velmi často se to provádí společně s upgradem nebo migrací z Forefront Identity Manageru 2010 R2 (FIM 2010 R2) nebo Microsoft Identity Manager 2016 (MIM 2016 / MIM 2016 SP1) na MIM 2016 SP2. Běžným způsobem, jak to udělat, je postavit nový server nebo virtuální počítač pro hostování certifikační autority, přesunout databázi certifikační autority na nový server a začít používat tuto novou upgradovanou certifikační autoritu. Pokud název nového serveru nebo virtuálního počítače nebyl stejný jako původní server certifikační autority, informace o šabloně certifikátu v šabloně profilu jsou poškozené, protože odkazují na název původní certifikační autority.

Při upgradu certifikační autority, kterou používá řešení MIM CM, je důležité zachovat stejný název serveru nebo počítače pro server, který je hostitelem nové/upgradované certifikační autority, i samotného názvu certifikační autority.   Pokud se použije jiný název serveru certifikační autority nebo název certifikační autority, dojde k narušení řešení MIM CM.

• Existuje několik odkazů na dokumentaci a příspěvků, kde se můžete dozvědět, jak obnovit certifikační autoritu na server s jiným názvem serveru, ale tím se naruší řešení MIM CM.

• Zachování stejného názvu certifikační autority je jednoduché, protože to se provede, když budete postupovat podle pokynů k obnovení certifikační autority na nový server.

Pokud se název serveru změnil, může dojít k následujícím chybám:

• Všechny pracovní postupy šablon profilu, o které se pokoušíte, budou mít za následek chybu RPC, chybu nenalezena certifikační autorita nebo chybu vyřazení certifikační autority z provozu.

• MiM CM neodvolá certifikáty vydané původní certifikační autoritě. Zdá se, že na portálu selhávají bezobslužně, ale v protokolu událostí MIM CM se zobrazí výjimka oznamující, že certifikační autorita je vyřazena z provozu.

Mohly by se protokolovat následující (ale nejen tyto) chybové zprávy:

• Zadaný název nebo název serveru certifikační autority je neplatný.

• Certifikační autoritu <CA-Name> nelze kontaktovat, protože je označena jako vyřazená.

Řešení

Pokud se certifikační autorita migruje na server s novým názvem serveru certifikační autority, který zobrazuje další server certifikační autority vrácený příkazem clmutil.exe -listCa, postupujte takto:

1. Aktualizujte certifikační autoritu a změňte název serveru certifikační autority na původní název.

2. Obnovte databázi MIM CM na verzi zálohovanou těsně před upgradem serveru certifikační autority.  

Odkazy  

historie verzí Microsoft Identity Manager  

Nasazení aplikace Správce certifikátů MIM pro Windows | Microsoft Learn

Jak přesunout certifikační autoritu na jiný server – Windows Server | Microsoft Learn