Guia de Migração de Serviços de Certificados do Active Directory para Windows Server 2012 R2

Aplica-se a: Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 R2, Windows Server 2012

Sobre este guia

Este documento apresenta diretrizes sobre como migrar uma AC (autoridade de certificação) para um servidor que executa o Windows Server 2012 R2 de um servidor que executa o Windows Server 2012, Windows Server 2008 R2, Windows Server 2008, Windows Server 2003 R2 ou Windows Server 2003.

Público-alvo

• Administradores ou engenheiros de operações de TI responsáveis por planejar e executar a migração de AC.

• Administradores ou engenheiros de operações de TI responsáveis pelos procedimentos diários de gerenciamento e solução de problemas de redes, servidores, computadores cliente, sistemas operacionais ou aplicativos.

• Gerentes de operações de TI responsáveis pela administração da rede e dos servidores.

• Arquitetos de TI responsáveis pelo gerenciamento e a segurança de computadores em uma organização.

Cenários de migração com suporte

Este guia apresenta instruções de como migrar um servidor existente que está executando o AD CS (Serviços de Certificados do Active Directory®) para um servidor com o Windows Server 2008 R2 ou o Windows Server 2012 R2. Este guia não contém instruções de migração quando o servidor de origem executa várias funções. Se o seu servidor estiver executando várias funções, você deve projetar um procedimento de migração personalizado que seja específico para o ambiente do servidor, de acordo com as informações fornecidas nos outros guias de migração de função. Para exibir os guias de migração de outras funções de servidor, consulte Migrando funções e recursos no Windows Server (https://go.microsoft.com/fwlink/?LinkID=128554).

Sistemas operacionais compatíveis

Este guia dá suporte a migrações de servidores de origem que executam as versões de sistema operacional e service packs listados na tabela a seguir. Todas as migrações descritas neste documento pressupõem que o servidor de destino está em execução no Windows Server 2012 R2 conforme especificado na tabela a seguir.

O que este guia não contém

• Procedimentos para atualizar para o Windows Server 2012 R2, Windows Server 2012 ou Windows Server 2008 R2

• Procedimentos para migrar funções de servidor adicionais

• Procedimentos para migrar serviços de função AD CS adicionais

De forma geral, a migração não é necessária para os serviços de função AD CS listados a seguir. Em vez disso, você pode instalar e configurar esses serviços de função em computadores que executam o Windows Server 2008 R2 ou o Windows Server 2012 executando os procedimentos de instalação de serviço de função. Para obter informações sobre o impacto da migração AC em outros serviços de função do AD CS, consulte Impacto da migração em outros computadores da empresa.

• Inscrição na Web da autoridade de certificação (https://go.microsoft.com/fwlink/?LinkId=179360) (a página pode estar em inglês)

• Respondente Online (https://go.microsoft.com/fwlink/?LinkId=143098) (a página pode estar em inglês)

• Inscrição de Dispositivo de Rede (https://go.microsoft.com/fwlink/?LinkId=179362) (a página pode estar em inglês)

• Serviços Web de Registro de Certificado (https://go.microsoft.com/fwlink/?LinkId=179363) (a página pode estar em inglês)

Visão geral da migração de autoridade de certificação

A migração de AC (autoridade de certificação) envolve vários procedimentos, que são abordados nas seções a seguir.

Preparando-se para migrar

• Preparando o servidor de destino

• Fazendo backup do servidor de origem

• Preparando o servidor de origem

Migrando a autoridade de certificação

• Fazendo backup do banco de dados e da chave privada de uma autoridade de certificação

• Fazendo backup das configurações do Registro da autoridade de certificação

• Fazendo backup de CAPolicy.inf

• Removendo o serviço de função Autoridade de Certificação do servidor de origem

• Removendo o servidor de origem do domínio

• Adicionando o servidor de destino ao domínio

• Adicionando o serviço de função Autoridade de Certificação ao servidor de destino

• Restaurando o banco de dados e a configuração da autoridade de certificação no servidor de destino

• Concedendo permissões em contêineres AIA e CDP

• Procedimentos adicionais para cluster de failover (opcional)

Verificando a migração

• Verificando o registro de certificados

• Verificando a publicação da CRL

Tarefas pós-migração

• Atualizando modelos de certificado no AD DS (Serviços de Domínio Active Directory).

• Recuperando certificados após uma alteração no nome de host

• Restaurando o AD CS (Serviços de Certificados do Active Directory) no servidor de origem no caso de falha de migração

• Solucionando problemas de migração

Impacto da migração

Impacto da migração no servidor de origem

Os procedimentos de migração de CA descritos neste guia incluem o encerramento do servidor de origem depois que a migração for concluída e a funcionalidade da autoridade de certificação no servidor de destino for verificada. Se o servidor de origem não estiver encerrado, os servidores de origem e de destino deverão ter nomes diferentes. Serão necessárias etapas adicionais para atualizar a configuração da autoridade de certificação no servidor de destino se o nome deste for diferente do nome do servidor de origem.

Impacto da migração em outros computadores da empresa

Durante a migração, a autoridade de certificação não pode emitir certificados nem publicar CRLs.

Para assegurar que a verificação do status de revogação possa ser feita por membros do domínio durante a migração da autoridade de certificação, é importante publicar uma CRL que seja válida vá além da duração planejada da migração.

Como o acesso de identificação de autoridade e as extensões de ponto de distribuição de CRL de certificados emitidos previamente podem fazer referência ao nome da autoridade de certificação de origem, é importante continuar publicando CRLs e certificados de CA no mesmo local ou providenciar uma solução de redirecionamento. Para obter um exemplo de como configurar o redirecionamento do IIS, consulte Redirecionando sites no IIS 6.0.

Permissões necessárias para executar a migração

Para instalar uma autoridade de certificação corporativa ou uma autoridade de certificação autônoma em um computador membro do domínio, você deve ser membro dos grupos Administradores Corporativos ou Admins. do Domínio no domínio. Para instalar uma autoridade de certificação autônoma em um servidor que não é membro do domínio, você deve ser membro do grupo Administradores local. A remoção do serviço de função Autoridade de Certificação do servidor de origem tem os mesmos requisitos de associação de grupo que a instalação.

Duração estimada

A migração de autoridade de certificação mais simples normalmente é concluída no prazo de 1 a 2 horas. A duração real da migração depende do número de autoridades de certificação e do tamanho dos bancos de dados de CA.

Consulte também

• Preparar para migrar

• Migrando a autoridade de certificação

• Verificando a migração de autoridade de certificação

• Tarefas pós-migração

• Migrando funções e recursos no Windows Server