MIM 2016 – Uppgradera en certifikatutfärdare som används av MIM CM

Information

Ett företag kan med jämna mellanrum behöva ersätta eller uppgradera en certifikatutfärdare (CA). Mycket ofta görs detta tillsammans med en uppgradering/migrering från Forefront Identity Manager 2010 R2 (FIM 2010 R2) eller Microsoft Identity Manager 2016 (MIM 2016 / MIM 2016 SP1) till MIM 2016 SP2. Ett vanligt sätt att göra detta är att stå upp för en ny server/virtuell dator för att vara värd för certifikatet, flytta CA-databasen till den nya servern och börja använda den nya uppgraderade certifikatservern. Om namnet på den nya servern/den virtuella datorn inte var samma namn som den ursprungliga certifikatutfärdarservern bryts informationen om certifikatmallen i profilmallen eftersom den refererar till det ursprungliga certifikatutfärdarnamnet.

När du uppgraderar en certifikatutfärdare som används av en MIM CM-lösning är det viktigt att behålla samma server-/datornamn för server som är värd för den nya/uppgraderade certifikatutfärdare samt själva certifikatutfärdarnamnet.   Om ett annat CA-servernamn eller CA-namn används bryts MIM CM-lösningen.

• Det finns flera dokumentationslänkar och inlägg där du kan lära dig hur du återställer certifikatet till en server med ett annat servernamn, men då bryts MIM CM-lösningen.

• Att underhålla samma ca-namn är rakt fram, eftersom detta kommer att göras när du följer anvisningarna för att återställa certifikatet till den nya servern.

Om servernamnet har ändrats kan följande fel uppstå:

• Alla försök med arbetsflöden för profilmallar resulterar i ett RPC-fel, ett fel hittades inte för certifikatavfärdare eller så inaktiveras certifikatavstängningsfelet.

• Certifikat som utfärdats till den ursprungliga certifikatutfärdare återkallas inte av MIM CM. De verkar misslyckas tyst i portalen, men kommer att kasta ett undantag i MIM CM-händelseloggen som anger att certifikatavstängningen är inaktiverad.

Följande (men inte bara dessa) felmeddelanden kan loggas:

• Angivet namn eller servernamn för certifikatservern är ogiltigt.

• Certifikatutfärdare <CA-Name> kan inte kontaktas eftersom den markeras som inaktiverad.

Lösning

Om certifikatservern migreras till en server med ett nytt CA-servernamn som visar ytterligare en CA-server som returneras i kommandot clmutil.exe -listCa gör du följande:

1. Uppdatera certifikatservern om du vill ändra ca-servernamnet till det ursprungliga namnet.

2. Återställ MIM CM-databasen till versionen som säkerhetskopierades precis innan CA-serveruppgraderingen.  

Referenser  

Microsoft Identity Manager versionshistorik  

Distribuera Windows-programmet MIM Certificate Manager | Microsoft Learn

Så här flyttar du en certifikatutfärdare till en annan server – Windows Server | Microsoft Learn