MIM 2016 — kā jaunināt MIM CM izmantoto sertificēšanas iestādi

Informācija

Uzņēmumam periodiski var būt nepieciešams aizstāt vai jaunināt sertificēšanas iestādi (certificate authority — CA). Ļoti bieži tas notiek kopā ar jaunināšanu/migrāciju no Forefront Identity Manager 2010 R2 (FIM 2010 R2) vai Microsoft Identity Manager 2016 (MIM 2016/MIM 2016 SP1) uz MIM 2016 SP2. To bieži var izdarīt, savietojot jaunu serveri/VM, lai viesotu CA, pārvietotu CA datu bāzi uz jauno serveri un sāktu izmantot jauno jaunināto CA. Ja jaunā servera/VM nosaukums nav tāds pats kā sākotnējam CA serverim, profila veidnē informācija par sertifikāta veidni tiek bojāta, jo tai ir atsauce uz sākotnējo CA nosaukumu.

Jauninot sertificēšanas iestādi, ko izmanto MIM CM risinājums, ir ļoti svarīgi uzturēt tādu pašu servera/datora nosaukumu serverim, kurā tiek viesota jaunā/jauninātā sertificēšanas iestāde, kā arī pašu sertificēšanas iestādes nosaukumu.   Ja tiek izmantots cits CA servera nosaukums vai CA nosaukums, tas pārkāpj MIM CM risinājumu.

• Pastāv vairākas dokumentācijas saites un ziņas, kurās varat uzzināt, kā atjaunot CA serverī ar citu servera nosaukumu, taču tādējādi tiks pārtraukts MIM CM risinājums.

• Viena un tā paša CA nosaukuma uzturēšana tiek veikta uzreiz, jo tas tiks paveikts, izpildot norādījumus par CA atjaunošanu jaunajā serverī.

Ja servera nosaukums ir mainīts, var rasties šādas kļūdas:

• Visas mēģinātās profila veidnes darbplūsmas radīs RPC kļūdu, CA nav atrasta kļūda vai CA tiek pārtraukta.

• MIM CM neatsauc sākotnējos CA izdotos sertifikātus. Tās portālā šķiet nemanāmi, bet miM CM notikumu žurnālā atmet izņēmumu, kurā norādīts, ka CA tiek pārtraukta.

Var reģistrēt šādus (taču ne tikai šos) kļūdu ziņojumus:

• Ca norādītais nosaukums vai servera nosaukums nav derīgs.

• Nevar sazināties ar sertificēšanas <CA-Name>, jo tā ir atzīmēta kā pārtraukta.

Risinājums

Ja CA tiek migrēta uz serveri ar jaunu CA servera nosaukumu, kas rāda papildu CA serveri, kas atgriezts ar komandu clmutil.exe -listCa, rīkojieties šādi:

1. Atjauniniet CA, lai mainītu CA servera nosaukumu uz sākotnējo nosaukumu.

2. Atjaunojiet MIM CM datu bāzi versijā, kas dublēta tieši pirms CA servera jaunināšanas.  

Atsauces  

Microsoft Identity Manager laidienu vēsture  

MIM sertifikātu pārvaldnieka Windows lietojumprogrammas izvietošana | Microsoft Learn

Kā pārvietot sertificēšanas iestādi uz citu serveri — Windows Server | Microsoft Learn