Verschieben einer Zertifizierungsstelle auf einen anderen Server

In diesem Artikel wird beschrieben, wie Sie eine Zertifizierungsstelle auf einen anderen Server verschieben.

Gilt für: Windows Server 2000, Windows Server 2003, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012, Windows Server 2012 R2, Windows Server 2016, Windows Server 2019, Windows Server 2022
Ursprüngliche KB-Nummer: 298138

Zusammenfassung

Zertifizierungsstellen (CAs) sind die zentrale Komponente der Public Key-Infrastruktur (PKI) eines organization. Die Zertifizierungsstellen sind so konfiguriert, dass sie viele Jahre oder Jahrzehnte bestehen, wobei die Hardware, die die Zertifizierungsstelle hostet, wahrscheinlich aktualisiert wird.

Stellen Sie sicher, dass % Systemroot% des Zielservers mit %Systemroot% des Servers übereinstimmt, von dem die Systemstatussicherung erstellt wird.

Sie müssen den Pfad der ZS-Dateien ändern, wenn Sie die ZS-Serverkomponenten installieren, sodass sie mit dem Speicherort der Sicherung übereinstimmen. Wenn Sie beispielsweise aus dem Ordner D:\Winnt\System32\Certlog sichern, müssen Sie die Sicherung im Ordner D:\Winnt\System32\Certlog wiederherstellen. Sie können die Sicherung nicht im Ordner C:\Winnt\System32\Certlog wiederherstellen. Nachdem Sie die Sicherung wiederhergestellt haben, können Sie die Datenbankdateien der Zertifizierungsstelle an den Standardspeicherort verschieben.

Wenn Sie versuchen, die Sicherung wiederherzustellen, und das %Systemroot% der Sicherung und des Zielservers nicht übereinstimmen, wird möglicherweise die folgende Fehlermeldung angezeigt:

Die Wiederherstellung eines inkrementellen Images kann nicht ausgeführt werden, bevor Sie die Wiederherstellung aus einem vollständigen Image durchführen. Der Verzeichnisname ist ungültig. 0x8007010b (WIN32/HTTP:267)

Das Verschieben von Zertifikatdiensten von einem 32-Bit-Betriebssystem auf ein 64-Bit-Betriebssystem oder umgekehrt kann mit einer der folgenden Fehlermeldungen fehlschlagen:

Die erwarteten Daten sind in diesem Verzeichnis nicht vorhanden.

Die Wiederherstellung eines inkrementellen Images kann vor der Wiederherstellung aus einem vollständigen Image 0x8007010b (WIN32/HTTP:267) nicht ausgeführt werden.

Änderungen des Datenbankformats von der 32-Bit-Version zur 64-Bit-Version führen zu Inkompatibilitäten, und die Wiederherstellung wird blockiert. Dies ähnelt dem Wechsel von Windows 2000 zu Windows Server 2003-Zertifizierungsstelle. Es gibt jedoch keinen Upgradepfad von einer 32-Bit-Version von Windows Server 2003 auf eine 64-Bit-Version. Daher können Sie eine vorhandene 32-Bit-Datenbank nicht in eine 64-Bit-Datenbank auf einem Windows Server 2003-basierten Computer verschieben. Sie können jedoch ein Upgrade von Windows Server 2003-Zertifizierungsstelle (unter Windows Server 2003 x86) auf Windows Server 2008 R2-Zertifizierungsstelle (unter Windows Server 2008 R2 x64) durchführen. Dieses Upgrade wird unterstützt.

Eine x64-basierte Version von Windows Server 2003 R2 CD2 aktualisiert nur 64-Bit-Versionen von Windows Server 2003, die auf der EM64T-Architektur oder der AMD64-Architektur basieren.

Sichern und Wiederherstellen der Zertifizierungsstellenschlüssel und der Datenbank

1. Beachten Sie die Zertifikatvorlagen, die im Ordner Zertifikatvorlagen im Zertifizierungsstellen-Snap-In konfiguriert sind. Die Einstellungen für Zertifikatvorlagen werden in Active Directory gespeichert. Sie werden nicht automatisch gesichert. Sie müssen die Zertifikatvorlageneinstellungen für die neue Zertifizierungsstelle manuell konfigurieren, um den gleichen Satz von Vorlagen beizubehalten.

   Hinweis

   Der Ordner "Zertifikatvorlagen" ist nur in einer Unternehmenszertifizierungsstelle vorhanden. Eigenständige Zertifizierungsstellen verwenden keine Zertifikatvorlagen. Daher gilt dieser Schritt nicht für eine eigenständige Zertifizierungsstelle.

2. Verwenden Sie das Zertifizierungsstellen-Snap-In, um die ZS-Datenbank und den privaten Schlüssel zu sichern. Gehen Sie dazu wie folgt vor:

   1. Klicken Sie im Zertifizierungsstellen-Snap-In mit der rechten Maustaste auf den Namen der Zertifizierungsstelle, klicken Sie auf Alle Aufgaben, und klicken Sie dann auf Zertifizierungsstelle sichern , um den Sicherungs-Assistenten für Zertifizierungsstellen zu starten.
   2. Klicken Sie auf Weiter und dann auf Privater Schlüssel und Zertifizierungsstellenzertifikat.
   3. Klicken Sie auf Zertifikatdatenbank und Zertifikatdatenbankprotokoll.
   4. Verwenden Sie einen leeren Ordner als Sicherungsspeicherort. Stellen Sie sicher, dass der neue Server auf den Sicherungsordner zugreifen kann.
   5. Klicken Sie auf Weiter. Wenn der angegebene Sicherungsordner nicht vorhanden ist, wird er vom Assistenten für die Sicherung der Zertifizierungsstelle erstellt.
   6. Geben Sie ein Kennwort für die Sicherungsdatei für den privaten Schlüssel der Zertifizierungsstelle ein, und bestätigen Sie es dann.
   7. Klicken Sie auf Weiter, und überprüfen Sie dann die Sicherungseinstellungen. Die folgenden Einstellungen sollten angezeigt werden:
      • Privater Schlüssel und Zertifizierungsstellenzertifikat
      • Ausgestelltes Protokoll und ausstehende Anforderungen
   8. Klicken Sie auf Fertig stellen.

3. Speichern Sie die Registrierungseinstellungen für diese Zertifizierungsstelle. Gehen Sie dazu wie folgt vor:

   1. Klicken Sie auf Start, klicken Sie auf Ausführen, und geben im Feld Öffnen die Zeichenfolge regedit ein. Klicken Sie anschließend auf OK.
   2. Klicken Sie mit der rechten Maustaste auf den folgenden Registrierungsunterschlüssel:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration
   3. Klicken Sie auf Exportieren.
   4. Speichern Sie die Registrierungsdatei im Sicherungsordner der Zertifizierungsstelle, den Sie in Schritt 2d definiert haben.

   Hinweis

   Standardmäßig sind Active Directory-Zertifikatdienste (AD CS) mit CRL-Erweiterungen (Certificate Revocation List, Zertifikatsperrliste) konfiguriert, die den Hostnamen des ZS-Computers im Pfad enthalten. Dies bedeutet, dass alle Zertifikate, die vor der Migration von der Zertifizierungsstelle ausgestellt wurden, Zertifikatüberprüfungspfade mit dem alten Hostnamen enthalten können. Diese Pfade sind nach der Migration möglicherweise nicht mehr gültig. Um Sperrüberprüfungsfehler zu vermeiden, muss die neue Zertifizierungsstelle so konfiguriert werden, dass sie CRLs in den alten Pfaden (vor der Migration) und den neuen Pfaden veröffentlicht. Wenn Sie die alte Zertifizierungsstelle dauerhaft löschen müssen, können Sie der neuen Zertifizierungsstelle einen zweiten Computernamen hinzufügen. Bevor Sie dies tun können, muss der alte Computername in Active Directory verfügbar sein. An diesem Punkt können Sie die CRL-Verteilungspunkte der neuen Zertifizierungsstelle hinzufügen.

4. Überprüfen Sie den CRL-Verteilungspunkt auf der alten Zertifizierungsstelle. Diese Einstellungen müssen in der neuen Zertifizierungsstelle konfiguriert werden.

   1. Öffnen Sie cmd.exe in der alten Zertifizierungsstelle.
   2. pkiview eingeben.
   3. Exportieren Sie die Konfiguration.

5. Entfernen Sie Zertifikatdienste vom alten Server.

   Hinweis

   In diesem Schritt werden Objekte aus Active Directory entfernt. Führen Sie diesen Schritt nicht in der richtigen Reihenfolge aus. Wenn die Quellzertifizierungsstelle nach der Installation der Zielzertifizierungsstelle entfernt wird (Schritt 7 in diesem Abschnitt), wird die Zielzertifizierungsstelle unbrauchbar.

6. Benennen Sie den alten Server um, oder trennen Sie ihn dauerhaft vom Netzwerk.

7. Installieren Sie Zertifikatdienste auf dem neuen Server. Gehen Sie hierzu wie folgt vor.

   Hinweis

   Der neue Server muss den gleichen Computernamen wie der alte Server haben.

   1. Klicken Sie in der Systemsteuerung auf Software.
   2. Klicken Sie auf Windows-Komponenten hinzufügen/entfernen, klicken Sie im Assistenten für Windows-Komponenten auf Zertifikatdienste , und klicken Sie dann auf Weiter.
   3. Klicken Sie im Dialogfeld ZS-Typ auf den entsprechenden Zertifizierungsstellentyp.
   4. Klicken Sie auf Benutzerdefinierte Einstellungen verwenden, um das Schlüsselpaar und das Zertifizierungsstellenzertifikat zu generieren, und klicken Sie dann auf Weiter.
   5. Klicken Sie auf Importieren, und geben Sie den Pfad des ein. P12-Datei im Sicherungsordner, geben Sie das Kennwort ein, das Sie in Schritt 2f ausgewählt haben, und klicken Sie dann auf OK.
   6. Vergewissern Sie sich im Dialogfeld Öffentliches und privates Schlüsselpaar , dass Vorhandene Schlüssel verwenden aktiviert ist.
   7. Klicken Sie zweimal auf Weiter.
   8. Übernehmen Sie die Standardeinstellungen für Zertifikatdatenbankeinstellungen, klicken Sie auf Weiter, und klicken Sie dann auf Fertig stellen , um die Installation der Zertifikatdienste abzuschließen.

   Wichtig

   Wenn der neue Server einen anderen Computernamen hat, führen Sie die folgenden Schritte aus:

   1. Klicken Sie in der Systemsteuerung auf Software.
   2. Klicken Sie auf Windows-Komponenten hinzufügen/entfernen, klicken Sie im Assistenten für Windows-Komponenten auf Zertifikatdienste , und klicken Sie dann auf Weiter.
   3. Klicken Sie im Dialogfeld ZS-Typ auf den entsprechenden Zertifizierungsstellentyp.
   4. Klicken Sie auf Benutzerdefinierte Einstellungen verwenden, um das Schlüsselpaar und das Zertifizierungsstellenzertifikat zu generieren, und klicken Sie dann auf Weiter.
   5. Klicken Sie auf Importieren, und geben Sie den Pfad des ein. P12-Datei im Sicherungsordner, geben Sie das Kennwort ein, das Sie in Schritt 2f ausgewählt haben, und klicken Sie dann auf OK.
   6. Vergewissern Sie sich im Dialogfeld Öffentliches und privates Schlüsselpaar , dass Vorhandene Schlüssel verwenden aktiviert ist.
   7. Klicken Sie zweimal auf Weiter.
   8. Übernehmen Sie die Standardeinstellungen für Zertifikatdatenbankeinstellungen, klicken Sie auf Weiter, und klicken Sie dann auf Fertig stellen , um die Installation der Zertifikatdienste abzuschließen.
   9. Ändern Sie den zuvor exportierten Registrierungsschlüssel in Schritt 3 wie folgt:
      1. Klicken Sie mit der rechten Maustaste auf den exportierten Schlüssel.
      2. Bearbeiten.
      3. Ersetzen Sie den CaServerName-Wert durch den neuen Servernamen.
      4. Speichern und schließen.

8. Beenden Sie den Zertifikatdienstedienst.

9. Suchen Sie die Registrierungsdatei, die Sie in Schritt 3 gespeichert haben, und doppelklicken Sie dann darauf, um die Registrierungseinstellungen zu importieren. Wenn sich der Pfad, der im Registrierungsexport von der alten Zertifizierungsstelle angezeigt wird, vom neuen Pfad unterscheidet, müssen Sie den Registrierungsexport entsprechend anpassen. Standardmäßig lautet der neue Pfad C:\Windows in Windows Server 2003.

10. Verwenden Sie das Zertifizierungsstellen-Snap-In, um die Datenbank der Zertifizierungsstelle wiederherzustellen. Gehen Sie dazu wie folgt vor:

    1. Klicken Sie im Snap-In Zertifizierungsstelle mit der rechten Maustaste auf den Namen der Zertifizierungsstelle, klicken Sie auf Alle Aufgaben, und klicken Sie dann auf Zertifizierungsstelle wiederherstellen.

       Der Assistent für die Wiederherstellung von Zertifizierungsstellen wird gestartet.

    2. Klicken Sie auf Weiter und dann auf Privater Schlüssel und Zertifizierungsstellenzertifikat.

    3. Klicken Sie auf Zertifikatdatenbank und Zertifikatdatenbankprotokoll.

    4. Geben Sie den Speicherort des Sicherungsordners ein, und klicken Sie dann auf Weiter.

    5. Überprüfen Sie die Sicherungseinstellungen. Die Einstellungen "Ausgestelltes Protokoll" und " Ausstehende Anforderungen " sollten angezeigt werden.

    6. Klicken Sie auf Fertig stellen und dann auf Ja , um die Zertifikatdienste neu zu starten, wenn die Datenbank der Zertifizierungsstelle wiederhergestellt wird.

    Möglicherweise erhalten Sie während der Wiederherstellung der Zertifizierungsstelle den folgenden Fehler, wenn der Sicherungsordner der Zertifizierungsstelle nicht das richtige Ordnerstrukturformat aufweist:

    ---------------------------
    Microsoft-Zertifikatdienste
    ---------------------------

    Die erwarteten Daten sind in diesem Verzeichnis nicht vorhanden.
    Wählen Sie ein anderes Verzeichnis aus. Der Verzeichnisname ist ungültig. 0x8007010b (WIN32/HTTP: 267)

    Die richtige Ordnerstruktur sieht wie folgt aus:

    • C:\Ca_Backup\CA_NAME.p12
    • C:\Ca_Backup\Database\certbkxp.dat
    • C:\Ca_Backup\Database\edb#####.log
    • C:\Ca_Backup\Database\CA_NAME.edb

    Dabei ist C:\Ca_Backup der Ordner, den Sie in Schritt 2 in der Phase der Sicherungszertifizierungsstelle ausgewählt haben.

11. Fügen Sie im Zertifizierungsstellen-Snap-In Manuell Zertifikatvorlagen hinzu, oder entfernen Sie diese, um die Einstellungen für Zertifikatvorlagen zu duplizieren, die Sie sich in Schritt 1 notiert haben.

1. Starten Sie von einem Domänencontroller innerhalb der Gesamtstruktur, in den Sie die ZS-Rolle migriert haben, ADSI-Bearbeitung.
2. Klicken Sie mit der rechten Maustaste auf ADSI Bearbeiten –> Verbinden mit –>wählen Sie unter Bekannten Namenskontext auswählendie Option Konfiguration –> OK aus.
3. Navigieren Sie zu CN=Konfiguration | CN=Services | CN=Public Key-Dienste | CN=Registrierungsdienste.
4. Klicken Sie im rechten Bereich mit der rechten Maustaste auf die Zertifizierungsstelle, in der Sie sich registrieren möchten, und klicken Sie auf Eigenschaften. Suchen Des Flags-Attributs ; und vergewissern Sie sich, dass sie auf 10 festgelegt ist.
5. Andernfalls legen Sie die Option auf 10 fest, und warten Sie, oder erzwingen Sie die Active Directory-Replikation manuell.
6. Schließen Sie ADSI Edit, und stellen Sie sicher, dass Sie jetzt Ihre neuen Vorlagen veröffentlichen können.

Sichern und Wiederherstellen der Zertifizierungsstellenschlüssel und der Datenbank in Windows 2000 Server

1. Beachten Sie die Zertifikatvorlagen, die im Ordner Zertifikatvorlagen im Zertifizierungsstellen-Snap-In konfiguriert sind. Die Einstellungen für Zertifikatvorlagen werden in Active Directory gespeichert. Sie werden nicht automatisch gesichert. Sie müssen die Zertifikatvorlageneinstellungen für die neue Zertifizierungsstelle manuell konfigurieren, um den gleichen Satz von Vorlagen beizubehalten.

   Hinweis

   Der Ordner "Zertifikatvorlagen" ist nur in einer Unternehmenszertifizierungsstelle vorhanden. Eigenständige Zertifizierungsstellen verwenden keine Zertifikatvorlagen. Daher gilt dieser Schritt nicht für eine eigenständige Zertifizierungsstelle.

2. Verwenden Sie das Zertifizierungsstellen-Snap-In, um die ZS-Datenbank und den privaten Schlüssel zu sichern. Gehen Sie dazu wie folgt vor:

   1. Klicken Sie im Zertifizierungsstellen-Snap-In mit der rechten Maustaste auf den Namen der Zertifizierungsstelle, klicken Sie auf Alle Aufgaben, und klicken Sie dann auf Zertifizierungsstelle sichern , um den Sicherungs-Assistenten für Zertifizierungsstellen zu starten.
   2. Klicken Sie auf Weiter und dann auf Privater Schlüssel und Zertifizierungsstellenzertifikat.
   3. Klicken Sie auf Ausgestelltes Zertifikatprotokoll und Warteschlange für ausstehende Zertifikatanforderungen.
   4. Verwenden Sie einen leeren Ordner als Sicherungsspeicherort. Stellen Sie sicher, dass der neue Server auf den Sicherungsordner zugreifen kann.
   5. Klicken Sie auf Weiter. Wenn der angegebene Sicherungsordner nicht vorhanden ist, wird er vom Assistenten für die Sicherung der Zertifizierungsstelle erstellt.
   6. Geben Sie ein Kennwort für die Sicherungsdatei für den privaten Schlüssel der Zertifizierungsstelle ein, und bestätigen Sie es dann.
   7. Klicken Sie zweimal auf Weiter , und überprüfen Sie dann die Sicherungseinstellungen. Die folgenden Einstellungen sollten angezeigt werden:
      • Privater Schlüssel und Zertifizierungsstellenzertifikat
      • Ausgestelltes Protokoll und ausstehende Anforderungen
   8. Klicken Sie auf Fertig stellen.

3. Speichern Sie die Registrierungseinstellungen für diese Zertifizierungsstelle. Gehen Sie dazu wie folgt vor:

   1. Klicken Sie auf Start, klicken Sie auf Ausführen, und geben im Feld Öffnen die Zeichenfolge regedit ein. Klicken Sie anschließend auf OK.
   2. Suchen Sie den folgenden Registrierungsunterschlüssel, und klicken Sie dann mit der rechten Maustaste darauf: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration
   3. Klicken Sie auf Konfiguration und dann im Menü Registrierung auf Registrierungsdatei exportieren.
   4. Speichern Sie die Registrierungsdatei im Sicherungsordner der Zertifizierungsstelle, den Sie in Schritt 2d definiert haben.

4. Überprüfen Sie den CRL-Verteilungspunkt auf der alten Zertifizierungsstelle. Diese Einstellungen müssen in der neuen Zertifizierungsstelle konfiguriert werden.

   1. Öffnen Sie cmd.exe in der alten Zertifizierungsstelle.
   2. pkiview eingeben.
   3. Exportieren Sie die Konfiguration.

5. Entfernen Sie Zertifikatdienste vom alten Server.

   Hinweis

   In diesem Schritt werden Objekte aus Active Directory entfernt. Führen Sie diesen Schritt nicht in der richtigen Reihenfolge aus. Wenn die Quellzertifizierungsstelle nach der Installation der Zielzertifizierungsstelle entfernt wird (Schritt 7 in diesem Abschnitt), wird die Zielzertifizierungsstelle unbrauchbar.

6. Benennen Sie den alten Server um, oder trennen Sie ihn dauerhaft vom Netzwerk.

7. Installieren Sie Zertifikatdienste auf dem neuen Server. Gehen Sie hierzu wie folgt vor.

   Hinweis

   Der neue Server muss den gleichen Computernamen wie der alte Server haben.

   1. Doppelklicken Sie in der Systemsteuerung auf Software .
   2. Klicken Sie auf Windows-Komponenten hinzufügen/entfernen, klicken Sie im Assistenten für Windows-Komponenten auf Zertifikatdienste , und klicken Sie dann auf Weiter.
   3. Klicken Sie im Dialogfeld Zertifizierungsstellentyp auf den entsprechenden Zertifizierungsstellentyp.
   4. Klicken Sie auf Erweiterte Optionen und dann auf Weiter.
   5. Klicken Sie im Dialogfeld Öffentliches und privates Schlüsselpaar auf Vorhandene Schlüssel verwenden, und klicken Sie dann auf Importieren.
   6. Geben Sie den Pfad des ein. P12-Datei im Sicherungsordner, geben Sie das Kennwort ein, das Sie in Schritt 2f ausgewählt haben, und klicken Sie dann auf OK.
   7. Klicken Sie auf Weiter, geben Sie ggf. eine Ca-Beschreibung ein, und klicken Sie dann auf Weiter.
   8. Übernehmen Sie die Standardeinstellungen für Datenspeicherort, klicken Sie auf Weiter, und klicken Sie dann auf Fertig stellen , um die Installation der Zertifikatdienste abzuschließen.

8. Beenden Sie den Zertifikatdienstedienst.

9. Suchen Sie die Registrierungsdatei, die Sie in Schritt 3 gespeichert haben, und doppelklicken Sie dann darauf, um die Registrierungseinstellungen zu importieren.

10. Verwenden Sie das Zertifizierungsstellen-Snap-In, um die Datenbank der Zertifizierungsstelle wiederherzustellen. Gehen Sie dazu wie folgt vor:

    1. Klicken Sie im Snap-In Zertifizierungsstelle mit der rechten Maustaste auf den Namen der Zertifizierungsstelle, klicken Sie auf Alle Aufgaben, und klicken Sie dann auf Zertifizierungsstelle wiederherstellen.

       Der Assistent für die Wiederherstellung von Zertifizierungsstellen wird gestartet.

    2. Klicken Sie auf Weiter, und klicken Sie dann auf Ausgestelltes Zertifikatprotokoll und Warteschlange für ausstehende Zertifikatanforderungen.

    3. Geben Sie den Speicherort des Sicherungsordners ein, und klicken Sie dann auf Weiter.

    4. Überprüfen Sie die Sicherungseinstellungen. Die folgenden Einstellungen sollten angezeigt werden:

       • Ausgestelltes Protokoll
       • Ausstehende Anforderungen

    5. Klicken Sie auf Fertig stellen und dann auf Ja , um die Zertifikatdienste neu zu starten, wenn die Datenbank der Zertifizierungsstelle wiederhergestellt wird.

11. Fügen Sie im Zertifizierungsstellen-Snap-In Manuell Zertifikatvorlagen hinzu, oder entfernen Sie diese, um die Einstellungen für Zertifikatvorlagen zu duplizieren, die Sie sich in Schritt 1 notiert haben.

Weitere Informationen

Weitere Informationen zu Upgrade- und Migrationsszenarien für Windows Server 2003 und Windows Server 2008 finden Sie im Whitepaper "Upgrade and Migration Guide" für Active Directory-Zertifikatdienste. Das Whitepaper finden Sie im Leitfaden zum Upgrade und zur Migration von Active Directory-Zertifikatdiensten.