MIM 2016 - MIM CM で使用される証明機関をアップグレードする方法

情報

定期的に、発行元証明機関 (CA) の交換またはアップグレードが必要になる場合があります。 多くの場合、これは Forefront Identity Manager 2010 R2 (FIM 2010 R2) または Microsoft Identity Manager 2016 (MIM 2016/ MIM 2016 SP1) から MIM 2016 SP2 へのアップグレード/移行と共に行われます。 これを行う一般的な方法は、新しいサーバー/VM を立ち上げて CA をホストし、CA データベースを新しいサーバーに移動し、その新しいアップグレードされた CA の使用を開始することです。 新しいサーバー/VM の名前が元の CA サーバーと同じ名前でない場合、プロファイル テンプレートの証明書テンプレート情報は、元の CA 名を参照しているため、破損しています。

MIM CM ソリューションで使用される証明機関をアップグレードする場合は、新しい/アップグレードされた証明機関と証明機関名自体をホストするサーバーと同じサーバー/コンピューター名を維持することが重要です。   別の CA サーバー名または CA 名を使用すると、MIM CM ソリューションが破損します。

• 別のサーバー名を持つサーバーに CA を復元する方法を学習できる複数のドキュメント リンクと投稿がありますが、これを行うと MIM CM ソリューションが破損します。

• 同じ CA 名の維持は簡単です。これは、指示に従って CA を新しいサーバーに復元するときに行われます。

サーバー名が変更された場合、次のエラーが発生する可能性があります。

• 試行されたすべてのプロファイル テンプレート ワークフローでは、RPC エラー、CA が見つからないエラー、または CA が使用停止エラーになります。

• 元の CA に発行された証明書は、MIM CM によって取り消されません。 ポータルでは自動的に失敗しているように見えますが、CA が使用停止であることを示す例外が MIM CM イベント ログにスローされます。

次の (ただし、これらだけでなく) エラー メッセージがログに記録される可能性があります。

• CA の指定された名前またはサーバー名が無効です。

• 証明機関<CA-Name>は使用停止としてマークされているため、接続できません。

ソリューション

CA が新しい CA サーバー名を持つサーバーに移行され、clmutil.exe -listCa コマンドで返される追加の CA サーバーが表示される場合は、次の手順を実行してください。

1. CA を更新して、CA サーバー名を元の名前に変更します。

2. CA サーバーのアップグレードの直前に、MIM CM データベースをバックアップされたバージョンに復元します。  

関連情報  

リリース履歴のMicrosoft Identity Manager  

MIM Certificate Manager Windows アプリケーションをデプロイする |Microsoft Learn

証明機関を別のサーバーに移動する方法 - Windows Server |Microsoft Learn