MIM 2016 - Cómo actualizar una entidad de certificación usada por MIM CM

Information

Periódicamente, es posible que una empresa tenga que reemplazar o actualizar una entidad emisora de certificados (CA). Muy a menudo, esto se realiza con una actualización o migración de Forefront Identity Manager 2010 R2 (FIM 2010 R2) o Microsoft Identity Manager 2016 (MIM 2016/MIM 2016 SP1) a MIM 2016 SP2. Una manera común de hacer esto es hacer frente a un nuevo servidor/VM para hospedar la CA, mover la base de datos de CA al nuevo servidor, y empezar a usar esa nueva CA actualizada. Si el nombre del nuevo servidor o vm no era el mismo nombre que el servidor de CA original, la información de la plantilla de certificado de la plantilla de perfil se rompe, ya que hace referencia al nombre de la CA original.

Al actualizar una entidad emisora de certificados usada por una solución MIM CM, es fundamental mantener el mismo nombre de servidor o equipo para el servidor que hospeda la entidad emisora de certificados nueva o actualizada, así como el nombre de la entidad emisora de certificados en sí.   Si se utiliza un nombre de servidor de CA diferente o un nombre de CA, romperá la solución MIM CM.

• Hay múltiples vínculos de documentación y publicaciones donde usted puede aprender cómo restaurar la CA a un servidor con un nombre de servidor diferente, pero si lo hace romperá la solución MIM CM.

• Mantener el mismo nombre de CA es directo hacia adelante, ya que esto se hará cuando usted siga las instrucciones para restaurar la CA en el nuevo servidor.

Si se ha cambiado el nombre del servidor, pueden producirse los siguientes errores:

• Todos los flujos de trabajo de plantilla de perfil intentados producirán un error RPC, ca no encontrada o ca se retira error.

• MIM CM no revocará los certificados emitidos a la CA original. Parecerá que fallan silenciosamente en el portal, pero producirán una excepción en el registro de eventos DE MIM CM que indica que la CA se retira.

Se podrían registrar los siguientes mensajes de error (pero no solo estos):

• El nombre especificado o el nombre del servidor de la CA no es válido.

• No <CA-Name> ponerse en contacto con la entidad emisora de certificados porque está marcada como retirada.

Solución

Si la CA se migra a un servidor con un nuevo nombre de servidor de CA que muestra un servidor de CA adicional devuelto en el comando clmutil.exe -listCa, haga lo siguiente:

1. Actualice la CA para cambiar el nombre del servidor de CA al nombre original.

2. Restaure la base de datos de MIM CM a la versión copia de seguridad justo antes de la actualización del servidor de CA.  

Referencias  

Microsoft Identity Manager historial de versiones  

Implementar la aplicación de Windows MIM Certificate Manager | Microsoft Learn

Cómo mover una entidad de certificación a otro servidor: Windows Server | Microsoft Learn