MIM 2016 – Aktualisieren einer von MIM CM verwendeten Zertifizierungsstelle

Informationen

In regelmäßigen Abständen muss ein Unternehmen möglicherweise eine ausstellende Zertifizierungsstelle ersetzen oder aktualisieren. Sehr häufig erfolgt dies zusammen mit einem Upgrade/einer Migration von Forefront Identity Manager 2010 R2 (FIM 2010 R2) oder Microsoft Identity Manager 2016 (MIM 2016/ MIM 2016 SP1) auf MIM 2016 SP2. Eine gängige Methode hierfür besteht darin, einen neuen Server/virtuellen Computer zum Hosten der Zertifizierungsstelle einzurichten, die ZS-Datenbank auf den neuen Server zu verschieben und mit der Verwendung dieser neuen aktualisierten Zertifizierungsstelle zu beginnen. Wenn der Name des neuen Servers/virtuellen Computers nicht mit dem Namen des ursprünglichen Zertifizierungsstellenservers identisch war, werden die Zertifikatvorlageninformationen in der Profilvorlage beschädigt, da sie auf den ursprünglichen Namen der Zertifizierungsstelle verweisen.

Beim Upgrade einer Zertifizierungsstelle, die von einer MIM CM-Lösung verwendet wird, ist es wichtig, denselben Server-/Computernamen für den Server zu verwalten, der die neue/aktualisierte Zertifizierungsstelle hostet, sowie den Namen der Zertifizierungsstelle selbst.   Wenn ein anderer Name des Zertifizierungsstellenservers oder ein anderer Name der Zertifizierungsstelle verwendet wird, wird die MIM CM-Lösung unterbrochen.

• Es gibt mehrere Dokumentationslinks und Beiträge, in denen Sie erfahren können, wie Sie die Zertifizierungsstelle auf einem Server mit einem anderen Servernamen wiederherstellen, aber dadurch wird die MIM CM-Lösung unterbrochen.

• Das Beibehalten desselben Zertifizierungsstellennamens ist einfach, da dies geschieht, wenn Sie die Anweisungen zum Wiederherstellen der Zertifizierungsstelle auf dem neuen Server befolgen.

Wenn der Servername geändert wurde, können die folgenden Fehler auftreten:

• Alle versuchten Profilvorlagenworkflows führen zu einem RPC-Fehler, einem Fehler der Zertifizierungsstelle nicht gefunden oder die Zertifizierungsstelle wird außer Betrieb gesetzt.

• Zertifikate, die für die ursprüngliche Zertifizierungsstelle ausgestellt wurden, werden von MIM CM nicht widerrufen. Sie scheinen im Portal automatisch fehlzuschlagen, lösen jedoch eine Ausnahme im MIM CM-Ereignisprotokoll aus, die besagt, dass die Zertifizierungsstelle außer Betrieb genommen wurde.

Die folgenden (aber nicht nur diese) Fehlermeldungen können protokolliert werden:

• Der angegebene Name oder Servername der Zertifizierungsstelle ist ungültig.

• Die zertifizierungsstelle <CA-Name> kann nicht kontaktiert werden, da sie als außer Betrieb gesetzt markiert ist.

Lösung

Wenn die Zertifizierungsstelle zu einem Server mit einem neuen Namen des Zertifizierungsstellenservers migriert wird, der einen zusätzlichen Zertifizierungsstellenserver anzeigt, der im Befehl clmutil.exe -listCa zurückgegeben wird, gehen Sie wie folgt vor:

1. Aktualisieren Sie die Zertifizierungsstelle, um den Namen des Zertifizierungsstellenservers in den ursprünglichen Namen zu ändern.

2. Stellen Sie die MIM CM-Datenbank auf die Version wieder her, die direkt vor dem Upgrade des Zertifizierungsstellenservers gesichert wurde.  

Informationsquellen  

Microsoft Identity Manager Releaseverlauf  

Bereitstellen der WINDOWS-Anwendung für den MIM-Zertifikat-Manager | Microsoft Learn

Verschieben einer Zertifizierungsstelle auf einen anderen Server – Windows Server | Microsoft Learn