建站
咨詢
售后
建站咨詢
新聞中心
證書遷移準備工作:
1,備份CA模板列表:
Certutil -catemplates >c:\cabackup\catemplates.txt
2,記錄CA的簽名算法和CSP:
Certutil -getreg ca\csp\* >c:\cabackup\csp.txt
3,吊銷的證書發(fā)布有效期延長
4,備份CA數(shù)據(jù)庫和私鑰:
4.1,用PowerShell:
Backup-CARoleService –path
注:BackupDirectory指定創(chuàng)建備份文件的目錄。指定的值可以是相對路徑或絕對路徑。如果指定的目錄不存在，則創(chuàng)建該目錄。備份文件在名為Database的子目錄中創(chuàng)建。
4.2,用Certutil.exe
Net stop certsrv
Certutil -backupDB c:\cabackup\db //注:導入所指定的文件夾必須是空文件夾
Certutil -backupkey c:\cabackup //注:輸入之后會要求輸入一個密碼以確保安全
5,備份CA注冊表設置
5.1,用regedit.exe
單擊“開始”、指向“運行”，然后鍵入 regedit 以打開注冊表編輯器。在 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CertSvc 右鍵單擊“配置”，然后單擊“導出”。指定位置和文件名，然后單擊“保存”。這將創(chuàng)建包含源 CA 的 CA配置數(shù)據(jù)的注冊表文件。
5.2,使用Reg.exe備份CA注冊表設置
打開命令提示符窗口
鍵入reg export HKLM\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration
6,備份CAPolicy.inf
在C:\windows文件夾下 (一般情況下沒有)
7,停止源CA服務器
8,在目標服務器上還原數(shù)據(jù)
8.1,在新CA服務器上安裝CA證書頒機構(gòu)--->AD CS配置時必須導入源CA的私鑰.
8.2,還原數(shù)據(jù)庫
8.2.1,用PowerShell
Stop-service certsvc
Restore-CARoleService -path c:\cabackup\ -databaseonly -force
Start-service certsvc
8.2.2,用Certutil
Net stop certsrv
Certutil.exe -f -restoredb c:\cabackup
Net start certsrv
8.3,還原CA注冊表設置
8.3.1,用reg.exe
在目標CA上導入源CA注冊表備份
1. 以本地Administrators組成員的身份登錄到目標服務器。
打開命令提示符窗口。
鍵入net stop certsvc并按Enter。
鍵入reg import
編輯CA注冊表設置
DBDirectory
DBLogDirectory
DBSystemDirectory
DBTempDirectory
單擊“ 開始”，在“ 搜索程序和文件”框中鍵入regedit.exe，然后按Enter以打開注冊表編輯器。
在控制臺樹中，找到密鑰HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ services \ CertSvc \ Configuration，然后單擊“ 配置”。
在詳細信息窗格中，雙擊DBSessionCount。
單擊十六進制。在“ 數(shù)值數(shù)據(jù)”中，鍵入64，然后單擊“ 確定”。
驗證以下設置中指定的位置是否適用于目標服務器，并根據(jù)需要進行更改以指示CA數(shù)據(jù)庫和日志文件的位置。
8.3.2,修改 CAServerName
將源CAServerName修改為新CA的CAServerName
8.4,還原證書模板列表
使用管理憑據(jù)登錄到目標CA.
打開命令提示符窗口。
鍵入certutil -setcatemplates +
certutil -setcatemplates + Administrator，User，DomainController
8.5, 授予AIA和CDP容器權限(在DC上完成)
如果目標服務器的名稱與源服務器不同，則必須為目標服務器授予AD DS中源服務器的CDP和AIA容器的權限
8.5.1,以Enterprise Admins組成員的身份登錄到安裝
ActiveDirectory站點和服務管理單元的計算機。打開Active Directory站點和服務（dssite.msc）
8.5.2,對這兩個容器添加新CA計算機完全控制權限
(ps:如果在CDP擴展中使用文件// \ computer \ share語法將CRL發(fā)布到共享文件夾位置，則可能需要調(diào)整該共享文件夾的權限，以便目標CA能夠?qū)懭朐撐募A地點。如果您在目標服務器上托管CDP并使用包含別名的AIA或CDP路徑（例如，pki.contoso.com）作為目標，則可能需要調(diào)整DNS記錄以使其指向正確的目標IP地址。)
另外有需要云服務器可以了解下創(chuàng)新互聯(lián)scvps.cn，海內(nèi)外云服務器15元起步，三天無理由+7*72小時售后在線，公司持有idc許可證，提供“云服務器、裸金屬服務器、高防服務器、香港服務器、美國服務器、虛擬主機、免備案服務器”等云主機租用服務以及企業(yè)上云的綜合解決方案，具有“安全穩(wěn)定、簡單易用、服務可用性高、性價比高”等特點與優(yōu)勢，專為企業(yè)上云打造定制，能夠滿足用戶豐富、多元化的應用場景需求。
網(wǎng)頁標題：CA證書的遷移-創(chuàng)新互聯(lián)
文章起源：http://fisionsoft.com.cn/article/gghjc.html
