Этот браузер больше не поддерживается.
Выполните обновление до Microsoft Edge, чтобы воспользоваться новейшими функциями, обновлениями для системы безопасности и технической поддержкой.
![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(102.4, 41%, 19%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3EAM%3C/text%3E%3C/svg%3E)
Добрый день! У нас есть корпоративная инфраструктура с Active Directory:
DC.domain.kz (Windows Server 2016) держит роль PDC и корпоративный CA (Root CA).AD1.domain.kz (Windows Server 2025) уже реплицируется с DC, будет принимать все роли FSMO в будущем.Мы хотим перенести корпоративный Центр сертификации с DC на AD1 (новый сервер с другим именем). Цель — чтобы все сертификаты (включая LDAPS для сервисов и платформ) продолжали работать, а новый сервер стал основным CA.
Просьба дать официальную пошаговую инструкцию по:
Экспорт/импорт существующего CA на новый сервер с другим именем.
Сохранению доверия всех существующих сертификатов и цепочек.
Настройке LDAPS и других сервисов после миграции.
Важные условия:
Нужно учитывать, что старый DC будет выведен из роли PDC.
Можете ли вы помочь с безопасной миграцией корпоративного CA в такой сценарий?
![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(172.8, 86%, 26%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3EJN%3C/text%3E%3C/svg%3E)
Здравствуйте,
Хотел уточнить, есть ли обновления по данному вопросу. Если предложенные рекомендации помогли решить проблему, буду признателен, если вы нажмёте Accept Answer.
Пожалуйста, дайте знать, если вам потребуется дополнительная помощь. Хорошего дня!
Здравствуйте,
Миграция центра сертификации (CA) требует тщательного планирования, поскольку CA глубоко интегрирован в Active Directory и в цепочку доверия сертификатов.
Рекомендуемый подход, выполнить резервное копирование и восстановление базы данных CA и закрытого ключа, а не пытаться переименовать или напрямую перенести CA. На старом сервере используйте консоль Certification Authority или команду certutil -backup для экспорта базы данных CA, конфигурации и закрытого ключа. На новом сервере установите роль Active Directory Certificate Services, но изначально не выполняйте её настройку. Затем выполните восстановление CA с помощью certutil -restore и импортируйте закрытый ключ, чтобы сохранить ту же идентичность центра сертификации.
Важно сохранить прежнее имя CA и цепочку сертификатов, даже если имя хоста сервера изменилось. Это гарантирует, что все ранее выданные сертификаты останутся действительными и доверенными. После восстановления убедитесь, что сертификат CA и точки распространения CRL доступны, и при необходимости обновите пути DNS или LDAP. Для LDAPS и других сервисов потребуется перевыпустить сервисные сертификаты с указанием нового имени сервера, сохранив при этом доверие к исходному корневому CA.
После завершения миграции тщательно протестируйте аутентификацию и выпуск сертификатов, прежде чем выводить старый контроллер домена из эксплуатации. Также убедитесь, что передача ролей FSMO завершена и репликация работает корректно. В случае возникновения проблем Microsoft предоставляет подробную документацию по сценариям миграции CA, рекомендуется внимательно следовать пошаговым инструкциям.
Попробуйте выполнить эти действия и сообщите о результате. Если потребуется дополнительная информация, пожалуйста, ответьте на сообщение. Если этот ответ оказался полезным, прошу нажать Accept Answer, чтобы я знал, что ваш вопрос решён.
Jason.
