本系列包含四大部份 , 相關連結如下

How to migrate CA from Server 2003 to Server 2008 R2 – Part I Backup CA & Uninstall ...

How to migrate CA from Server 2003 to Server 2008 R2 – Part II Install CA Role on Destin ...

How to migrate CA from Server 2003 to Server 2008 R2 – Part III Restore CA on Destinatio ...

How to migrate CA from Server 2003 to Server 2008 R2 – Part IV Post-Migration Tasks

Part IV

確認CA的CDP & AIA Extenstion是否設定正常
==================================

開啟CA管理畫面 – 對CA名稱點右鍵 – 內容

點選延伸的標籤 , 分別確認CDP & AIA部份的設定是否正確

確認AD資料庫內CDP & AIA容器的權限
==================================

於DC上開啟dssite.msc , 點選檢視-顯示服務節點

找到下圖CDP-SourceCA , 針對右邊所有cRLDistributionPoint類型的物件修改安全性 , 加入目的端Server的電腦帳號並給予完全控制的權限

針對AIA內的CA名稱確認目的端Server是否有完全控制的權限

       
   
安裝新的憑證範本
==================================

用Enterprise Admins群組的成員登入CA , 開啟CA管理畫面 , 對憑證範本點右鍵 – 管理

此時會出現底下對話框 – 點選[是]來安裝新的憑證範本

新增別名紀錄確保CRL Checking正常
==================================

如果目的端Server跟來源Server的電腦名稱不一樣時,我們可以再DNS Server裡面新增一筆Source Server的CNAME對應到目的端Server
確保先前發出去的憑證在進行CRL Checking時不會有問題

發佈原先的憑證範本
==================================

根據先前於來源Server執行certutil -catemplates > CATemplates.txt所產生的文字檔案將原先發佈的憑證範本重新發佈

確認CA運作正常
==================================

1. 找一台Client測試憑證是否可以正常申請憑證

2. 確認新舊憑證的CRL Checking是正常的

分別找一個新申請的憑證 & 先前申請的憑證 , 將其匯出成CertNew.cer & CertOld.cer
執行此指令certutil -verify -urlfetch Name.cer 確認CRL的檢測是否成功
(如下圖,確認AIA & CAP都是已確認 , 而且最後有顯示成功通過憑證撤銷檢查)

本系列包含四大部份 , 相關連結如下

How to migrate CA from Server 2003 to Server 2008 R2 – Part I Backup CA & Uninstall ...

How to migrate CA from Server 2003 to Server 2008 R2 – Part II Install CA Role on Destin ...

How to migrate CA from Server 2003 to Server 2008 R2 – Part III Restore CA on Destinatio ...

How to migrate CA from Server 2003 to Server 2008 R2 – Part IV Post-Migration Tasks

Part III

1. 開啟CA管理畫面進行還原CA動作

2. 還原CA時會先停止CA服務 , 按確定

3. 開始後點選下一步

4. 勾選兩個選項並選擇備份的資料夾

5. 輸入先前備份時設定的密碼

6. 點選完成

7. 點選是啟動CA服務

8. 用Notepad開啟先前備份的CA機碼檔案

編輯CAServerName的值(如果Server名稱一樣則不需要進行更改)    
 
如果原先是使用Standalone CA , 然後轉到Server 2008 R2要使用Enterprise CA時 , 需修改CAType的值成0
修改完成後點兩下匯入, 匯入後請將Certificate Service進行重新啟動的動作讓其生效


CAType值的意義
=============
CAType = 0 (This means it is installed as Enterprise Root CA)
CAType = 1 (This means it is installed as Enterprise Subordinate CA)
CAType = 3 (This means it is installed as Stand Alone CA)
CAType = 4 (This means it is installed as Stand Alone Subordinate CA)

9. 將Source Server的C:\windows\system32\Certsrv\CertEnroll裡面的SourceServerName.domain.com_CAName(X).crt檔案
複製到目的端Server的C:\windows\system32\Certsrv\CertEnroll資料夾內 (如下圖 , server2003是Source Server , 08r2-wins是Destination server)

本系列包含四大部份 , 相關連結如下

How to migrate CA from Server 2003 to Server 2008 R2 – Part I Backup CA & Uninstall ...

How to migrate CA from Server 2003 to Server 2008 R2 – Part II Install CA Role on Destin ...

How to migrate CA from Server 2003 to Server 2008 R2 – Part III Restore CA on Destinatio ...

How to migrate CA from Server 2003 to Server 2008 R2 – Part IV Post-Migration Tasks

Part II

PS:
- 進行此動作前請確認Server電腦名稱已經修改完成並加入網域 , 否則安裝CA服務後無法重新更名
- 如果先前有使用CAPolicy.inf時,請將來源端Server的CAPolicy.inf放至C:\windows底下

1. 開啟Server Manager並點選新增角色

2. 點選下一步

3. 勾選Active Directory憑證服務

4. 點選下一步

5. 勾選憑證授權單位 & 憑證授權單位網頁註冊
出現底下視窗後按下新增所需的角色服務同時安裝IIS

6. 選擇[企業]

7. 選擇[根CA]

8. 選擇[使用現有的私密金鑰] – [選取憑證並使用它的相關私密金鑰]

9. 選擇匯入並選擇先前備份的私鑰 & 輸入密碼
(此檔案於先前備份CA所在的資料夾內)

10. 點選下一步

11. 使用預設設定 (此設定需跟來源CA的位置一樣)

12. 點選下一步安裝IIS元件

13. 使用預設設定即可 , 下一步

14. 點選安裝

15. 安裝完成後點選關閉

本系列包含四大部份 , 相關連結如下

How to migrate CA from Server 2003 to Server 2008 R2 – Part I Backup CA & Uninstall ...

How to migrate CA from Server 2003 to Server 2008 R2 – Part II Install CA Role on Destin ...

How to migrate CA from Server 2003 to Server 2008 R2 – Part III Restore CA on Destinatio ...

How to migrate CA from Server 2003 to Server 2008 R2 – Part IV Post-Migration Tasks

Part I

1. 開啟CA管理畫面並對CA名稱點右鍵 - All Tasks – Back up CA

2. 點選Next

3. 勾選上面兩個選項並選擇備份要存放的資料夾 (該資料夾裡面必須是空的)

4. 輸入一組密碼,還原CA時使用

5. 點選Finish完成程序

6. 開啟Regedit並找到底下機碼 , 將其匯出成CAConfig.reg
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\CertSvc\Configuration

7. 確認CA Server是否有C:\windows\CAPolicy.inf此檔案 , 有得話請將其備份  

8. 將C:\windows\system32\Certsrv\此資料備份起來

9. 備份目前發佈的憑證範本資訊 , 以便後續Migration完成後可以將其發佈使用 (適用Enterprise CA)
    執行certutil -catemplates > CATemplates.txt
   

   文字檔內的範本資訊則是目前可供User使用的憑證範本 (後面的錯誤訊息不用理會)

10. 將底下檔案複製到目的端Server

• CA Backup Folder
• CAConfig.reg
• CAPolicy.inf
• C:\windows\system32\Certsrv\CertEnroll
• CATemplates.txt

11. 上述動作都完成後 , 將來源Server的CA Service進行移除動作

12. 打開新增移除程式 – 新增移除元件 , 取消勾選Certificate Services , 然後等候移除完成重新開機即可
PS:移除CA元件時會將AD資料庫Configuration裡面的CA資訊也移除,所以此動作不能在Migration完成後才進行,會造成CA運作異常

問題描述：

Windows 2003 Server 排程執行時出現錯誤代碼 0x1，同時排程執行狀態停在 [執行中]，並未正常結束

解決方法：

建議啟用[允許服務與桌面互動]的設定：

方法如下

1. 依序按一下 [開始] 與 [控制台]，再按兩下 [系統管理工具]。

2. 按一下 [電腦管理]。

3. 展開 [服務及應用程式]，然後按一下 [服務]。

4. 用滑鼠右鍵按一下 [Task Scheduler] 服務，再按一下 [內容]。

5. 在 [一般] 索引標籤上，確定已將啟動類型設為 [自動]，且服務狀態亦設為 [已啟動]。服務如未執行，請按一下 [啟動]。

6. 在 [登入] 索引標籤上，確定選取了本機系統帳戶，並核取了 [允許服務與桌面互動]核取方塊。

7. 按一下 [確定]，然後結束 [電腦管理]。

參考資料：

如何疑難排解 Windows XP 與 Windows Server 2003 中的排程工作

http://support.microsoft.com/kb/308558