MIM 2016 - Een certificeringsinstantie upgraden die wordt gebruikt door MIM CM

Informatie

Mogelijk moet een bedrijf periodiek een verlenende certificeringsinstantie (CA) vervangen of upgraden. Dit gebeurt vaak samen met een upgrade/migratie van Forefront Identity Manager 2010 R2 (FIM 2010 R2) of Microsoft Identity Manager 2016 (MIM 2016 / MIM 2016 SP1) naar MIM 2016 SP2. Een veelvoorkomende manier om dit te doen, is door een nieuwe server/VM op te zetten om de CA te hosten, de CA-database naar de nieuwe server te verplaatsen en die nieuwe bijgewerkte CA te gaan gebruiken. Als de naam van de nieuwe server/VM niet dezelfde naam heeft als de oorspronkelijke CA-server, is de certificaatsjabloongegevens in de profielsjabloon verbroken, omdat deze verwijst naar de oorspronkelijke CA-naam.

Bij het upgraden van een certificeringsinstantie die wordt gebruikt door een MIM CM-oplossing, is het essentieel om dezelfde server/computernaam te behouden voor de server waarop de nieuwe/bijgewerkte certificeringsinstantie wordt gehost, evenals de naam van de certificeringsinstantie zelf.   Als een andere CA-servernaam of CA-naam wordt gebruikt, wordt de MIM CM-oplossing verbroken.

• Er zijn meerdere documentatiekoppelingen en berichten waar u kunt leren hoe u de CA kunt herstellen naar een server met een andere servernaam, maar als u dit doet, wordt de MIM CM-oplossing verbroken.

• Het onderhouden van dezelfde CA-naam is eenvoudig, omdat dit wordt gedaan wanneer u de instructies voor het herstellen van de CA op de nieuwe server volgt.

Als de servernaam is gewijzigd, kunnen de volgende fouten optreden:

• Alle profielsjabloonwerkstromen die worden geprobeerd, resulteren in een RPC-fout, ca-fout niet gevonden of ca is buiten gebruik gesteld.

• Certificaten die zijn uitgegeven aan de oorspronkelijke CA, worden niet ingetrokken door MIM CM. Ze lijken op de achtergrond te mislukken in de portal, maar er wordt een uitzondering gegenereerd in het MIM CM-gebeurtenislogboek waarin wordt aangegeven dat de CA buiten gebruik is gesteld.

De volgende (maar niet alleen deze) foutberichten kunnen worden geregistreerd:

• De opgegeven naam of servernaam van de CA is ongeldig.

• Er kan geen contact worden opgenomen met de certificeringsinstantie <CA-Name> omdat deze is gemarkeerd als buiten gebruik gesteld.

Oplossing

Als de CA wordt gemigreerd naar een server met een nieuwe CA-servernaam waarin een extra CA-server wordt weergegeven die wordt geretourneerd in de opdracht clmutil.exe -listCa, gaat u als volgt te werk:

1. Werk de CA bij om de naam van de CA-server te wijzigen in de oorspronkelijke naam.

2. Herstel de MIM CM-database naar de versie waarvan een back-up is gemaakt vlak voor de upgrade van de CA-server.  

Verwijzingen  

Microsoft Identity Manager releasegeschiedenis  

De Windows-toepassing MIM Certificate Manager implementeren | Microsoft Learn

Een certificeringsinstantie verplaatsen naar een andere server - Windows Server | Microsoft Learn