MIM 2016 - Cara Memutakhirkan Otoritas Sertifikat yang digunakan oleh MIM CM

Informasi

Secara berkala perusahaan mungkin perlu mengganti atau memutakhirkan Otoritas Sertifikat (CA) penerbitan. Sangat sering ini dilakukan bersama-sama dengan pemutakhiran/migrasi dari Forefront Identity Manager 2010 R2 (FIM 2010 R2) atau Microsoft Identity Manager 2016 (MIM 2016 / MIM 2016 SP1) ke MIM 2016 SP2. Cara umum untuk melakukan ini adalah dengan berdiri di server/VM baru untuk menghosting CA, memindahkan database CA ke server baru, dan mulai menggunakan CA baru yang dimutakhirkan. Jika nama server/VM baru tidak bernama sama dengan server CA asli, informasi Templat Sertifikat di Templat Profil rusak, karena mereferensikan nama CA asli.

Saat memutakhirkan Otoritas Sertifikat yang digunakan oleh solusi MIM CM sangatlah penting untuk mempertahankan nama server / komputer yang sama untuk server yang menghosting Otoritas Sertifikat yang baru/dimutakhirkan serta nama Otoritas Sertifikat itu sendiri.   Jika Nama Server CA atau Nama CA yang berbeda digunakan, itu akan merusak solusi MIM CM.

• Ada beberapa tautan dokumentasi dan postingan di mana Anda bisa mempelajari cara memulihkan CA ke server dengan nama server yang berbeda, tetapi melakukannya akan merusak solusi MIM CM.

• Mempertahankan nama CA yang sama lurus ke depan, karena ini akan dilakukan saat Anda mengikuti instruksi untuk memulihkan CA ke server baru.

Jika nama server telah diubah, kesalahan berikut mungkin terjadi:

• Semua alur kerja Templat Profil yang dicoba akan mengakibatkan kesalahan RPC, CA tidak ditemukan kesalahan, atau CA dinonaktifkan.

• Sertifikat yang dikeluarkan untuk CA asli tidak akan dicabut oleh MIM CM. Mereka akan tampak gagal secara diam-diam di Portal, tetapi akan memberikan pengecualian dalam Log Kejadian MIM CM yang menyatakan bahwa CA dinonaktifkan.

Pesan kesalahan berikut (tetapi tidak hanya ini) bisa dicatat:

• Nama atau nama server ca yang ditentukan tidak valid.

• Otoritas Sertifikat <CA-Name> tidak bisa dihubungi karena ditandai sebagai dinonaktifkan.

Solusi

Jika CA dimigrasikan ke server dengan Nama Server CA baru yang memperlihatkan server CA tambahan yang dikembalikan dalam perintah clmutil.exe -listCa, silakan lakukan hal berikut:

1. Perbarui CA untuk mengubah Nama Server CA ke nama asli.

2. Pulihkan database MIM CM ke versi yang dicadangkan tepat sebelum pemutakhiran server CA.  

Referensi  

Riwayat rilis Microsoft Identity Manager  

Menyebarkan aplikasi Windows MIM Certificate Manager | Microsoft Learn

Cara memindahkan otoritas sertifikasi ke server lain - Windows Server | Microsoft Learn