MIM 2016 – Como Atualizar uma Autoridade de Certificação utilizada pelo MIM CM

Informações

Periodicamente, uma empresa poderá ter de substituir ou atualizar uma Autoridade de Certificação (AC) emissora. Muitas vezes, isto é feito em conjunto com uma atualização/migração do Forefront Identity Manager 2010 R2 (FIM 2010 R2) ou Microsoft Identity Manager 2016 (MIM 2016/MIM 2016 SP1) para o MIM 2016 SP2. Uma forma comum de o fazer é criar um novo servidor/VM para alojar a AC, mover a base de dados da AC para o novo servidor e começar a utilizar essa nova AC atualizada. Se o nome do novo servidor/VM não tiver o mesmo nome que o servidor de AC original, as informações do Modelo de Certificado no Modelo de Perfil serão quebradas, uma vez que referencia o nome da AC original.

Ao atualizar uma Autoridade de Certificação utilizada por uma solução DE CM do MIM, é fundamental manter o mesmo nome de servidor/computador para o servidor que aloja a nova/atualizada Autoridade de Certificação, bem como o próprio nome da Autoridade de Certificação.   Se for utilizado um Nome de Servidor ou Um Nome da AC diferente, irá interromper a solução CM do MIM.

• Existem várias ligações e publicações de documentação onde pode aprender a restaurar a AC para um servidor com um nome de servidor diferente, mas fazê-lo irá interromper a solução DE CM do MIM.

• Manter o mesmo nome de AC é simples, pois isto será feito quando seguir as instruções para restaurar a AC para o novo servidor.

Se o nome do servidor tiver sido alterado, poderão ocorrer os seguintes erros:

• Todos os fluxos de trabalho do Modelo de Perfil tentados resultarão num erro de RPC, um erro de AC não encontrado ou a AC está desativada.

• Os certificados emitidos para a AC original não serão revogados pelo CM do MIM. Parecerão falhar automaticamente no Portal, mas emitirão uma exceção no Registo de Eventos do CM do MIM a indicar que a AC está desativada.

As seguintes mensagens de erro (mas não só estas) podem ser registadas:

• O nome especificado ou o nome do servidor da AC é inválido.

• Não é possível contactar a Autoridade de Certificação <CA-Name> porque está marcada como desativada.

Solução

Se a AC for migrada para um servidor com um novo Nome do Servidor de AC que mostra um servidor de AC adicional devolvido no comando clmutil.exe -listCa, faça o seguinte:

1. Atualize a AC para alterar o Nome do Servidor da AC para o nome original.

2. Restaure a base de dados CM do MIM para a versão com cópia de segurança imediatamente antes da atualização do servidor de AC.  

Referências  

Microsoft Identity Manager histórico de lançamentos  

Implementar a aplicação Windows gestor de certificados do MIM | Microsoft Learn

Como mover uma autoridade de certificação para outro servidor – Windows Server | Microsoft Learn