MIM 2016 - Cum să faceți upgrade unei autorități de certificare utilizate de MIM CM

Informaţii

Periodic, este posibil ca o firmă să trebuiască să înlocuiască sau să facă upgrade unei autorități de certificare (CA) emitente. Foarte des, acest lucru se face împreună cu un upgrade/migrare de la Forefront Identity Manager 2010 R2 (FIM 2010 R2) sau Microsoft Identity Manager 2016 (MIM 2016 / MIM 2016 SP1) la MIM 2016 SP2. O modalitate obișnuită de a face acest lucru este să ridicați în picioare un server nou/o mașină virtuală nouă pentru a găzdui ca, să mutați baza de date CA pe noul server și să începeți să utilizați noua ca de upgrade. Dacă numele serverului/mașinii virtuale noi nu a fost același nume cu cel al serverului CA original, informațiile șablonului de certificat din șablonul de profil sunt întrerupte, deoarece face referire la numele ca original.

Atunci când faceți upgrade unei autorități de certificare care este utilizată de o soluție CM MIM, este esențial să păstrați același nume de server/computer pentru serverul care găzduiește autoritatea de certificare nouă/actualizată, precum și numele autorității de certificare propriu-zise.   Dacă se utilizează un alt nume de server CA sau CA, acesta va întrerupe soluția CM MIM.

• Există mai multe link-uri documentație și posturi în cazul în care puteți afla cum să restaurați CA la un server cu un alt nume de server, dar acest lucru va sparge soluția MIM CM.

• Menținerea aceluiași nume ca este imediat înainte, deoarece acest lucru se va face atunci când urmați instrucțiunile pentru a restaura ca pe noul server.

Dacă numele serverului a fost modificat, pot apărea următoarele erori:

• Toate fluxurile de lucru Șablon profil încercate vor avea ca rezultat o eroare RPC, o eroare CA negăsit sau eroarea CA este retrasă.

• Certificatele emise către autoritatea de certificare originală nu vor fi revocate de CM MIM. Acestea vor părea să nu reușească în mod silențios în portal, dar vor genera o excepție în jurnalul de evenimente CM MIM, care afirmă că ca este retrasă.

Următoarele mesaje de eroare (dar nu numai acestea) au putut fi înregistrate în jurnal:

• Numele specificat sau numele de server al ca nu sunt valide.

• Autoritatea de certificare <CA-Name> nu poate fi contactată, deoarece este marcată ca retrasă.

Soluţie

Dacă ca este migrat la un server cu un nou nume de server CA, care afișează un server CA suplimentar returnat în comanda clmutil.exe -listCa, procedați astfel:

1. Actualizați CA pentru a modifica numele de server CA la numele inițial.

2. Restaurați baza de date MIM CM la versiunea de backup chiar înainte de upgrade-ul serverului CA.  

Referințe  

Microsoft Identity Manager istoricul lansărilor  

Implementarea aplicației Windows Manager certificate MIM | Microsoft Learn

Cum se mută o autoritate de certificare pe un alt server - Windows Server | Microsoft Learn