MIM 2016 - Come aggiornare un'autorità di certificazione utilizzata da MIM CM

Informazioni

Periodicamente una società potrebbe dover sostituire o aggiornare un'autorità di certificazione (CA) che emette. Molto spesso questa operazione viene eseguita insieme a un aggiornamento/migrazione da Forefront Identity Manager 2010 R2 (FIM 2010 R2) o Microsoft Identity Manager 2016 (MIM 2016/ MIM 2016 SP1) a MIM 2016 SP2. Un modo comune per farlo consiste nel mettere in piedi un nuovo server/macchina virtuale per ospitare la CA, spostare il database ca nel nuovo server e iniziare a usare la nuova CA aggiornata. Se il nome del nuovo server/macchina virtuale non era lo stesso nome del server CA originale, le informazioni del modello di certificato nel modello di profilo vengono interrotte, in quanto fa riferimento al nome CA originale.

Quando si aggiorna un'autorità di certificazione utilizzata da una soluzione MIM CM, è fondamentale mantenere lo stesso nome del server/computer per il server che ospita l'autorità di certificazione nuova/aggiornata, nonché il nome dell'autorità di certificazione stessa.   Se viene usato un nome di server CA diverso o un nome CA diverso, la soluzione MIM CM verrà interrotto.

• Esistono più collegamenti e post di documentazione in cui è possibile imparare a ripristinare la CA in un server con un nome di server diverso, ma in questo modo si interromperà la soluzione MIM CM.

• Mantenere lo stesso nome ca è immediatamente in avanti, come verrà fatto quando si seguono le istruzioni per ripristinare la CA nel nuovo server.

Se il nome del server è stato modificato, possono verificarsi gli errori seguenti:

• Tutti i flussi di lavoro del modello di profilo tentati recheranno un errore RPC, un errore CA non trovato o l'errore di rimozione della CA.

• I certificati rilasciati alla CA originale non verranno revocati da MIM CM. L'operazione non riesce automaticamente nel portale, ma genera un'eccezione nel registro eventi MIM CM che indica che la CA è stata rimossa.

È possibile registrare i seguenti messaggi di errore, ma non solo:

• Il nome specificato o il nome del server della CA non è valido.

• Il <CA-Name> Autorità di certificazione non può essere contattato perché è contrassegnato come disattivato.

Soluzione

Se la CA viene migrata a un server con un nuovo nome di server CA che mostra un server CA aggiuntivo restituito nel comando clmutil.exe -listCa, eseguire le operazioni seguenti:

1. Aggiornare la CA per sostituire il nome del server CA con il nome originale.

2. Ripristinare il database MIM CM alla versione di cui è stato eseguito il backup subito prima dell'aggiornamento del server CA.  

Riferimenti  

cronologia delle versioni di Microsoft Identity Manager  

Distribuire l'applicazione Windows Gestione certificati MIM | Microsoft Learn

Come spostare un'autorità di certificazione in un altro server - Windows Server | Microsoft Learn