Migrar una CA - Autoridad Certificadora

Transcripción

1 1 de 15 01/12/2007 1:34 Migrar una CA - Autoridad Certificadora En este procedimiento se explica como migrar una CA de un servidor a otro. Si tenemos una CA en un MS Windows 2000 Server, la única manera para migrar esa CA a un MS Windows 2003, es actualizando el servidor, para que haga los cambios oportunos, y una vez migrado ese servidor, movieríamos la CA a otro servidor basado en 2003 mediante las siguientes explicaciones. Una vez migrado si es que fuera necesario el servidor basado en MS Windows 2000 a MS Windows 2003, abriíamos la consola de la CA, para ello: "Inicio" > "Programas" > "Herramientas administrativas" > "Entidad emisora de certificados". Todo esto es para exportar las configuraciones a un fichero y después poder recuperarlo en otro servidor.

2 2 de 15 01/12/2007 1:34 Sobre el servidor del que queremos realizar el backup, botón derecho > "Todas las tareas" > "Realizar copia de seguridad de la entidad emisora de certificados..." "Siguiente"

3 3 de 15 01/12/2007 1:34 Marcamos los dos checks y metemos un PATH para que nos guarde ahi toda la info necesaria para migrar la CA a otro server. Metemos una clave por si alguien intenta restaurar la CA donde no deba ser y se haga con nuestros certificados.

4 4 de 15 01/12/2007 1:34 Finalizar...esperamos mientras hace el backup... Vale, vemos que nos genera un fichero y una serie de directorios en el PATH de backup

5 5 de 15 01/12/2007 1:34 Ahora a parte de eso, hay que exportar una rama del registro, para ello, abrimos el registro, "Inicio" > "Ejecutar" > 'regedit' y "Aceptar" Buscamos esta ruta (y sobre ella, botón derecho y "Exportar"): HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration

6 6 de 15 01/12/2007 1:34 Le indicamos un nombre por ejemplo "CAregister.reg" Vale, ahora ya tenemos los datos necesarios copiados, ahora nos olvidamos del servidor viejo y lo desconectamos de la red, metemos el nuevo y restauraremos en él todo lo generado anteriormente.

7 7 de 15 01/12/2007 1:34 Vale, pues lo dicho, vamos a "Panel de Control", a "Agregar o quitar programas" y luego a la derecha a "Agregar o quitar componentes de Windows", seleccionamos el componente de la CA "Servicios de Certificate Server" y damos a "Siguiente". Sí

8 8 de 15 01/12/2007 1:34 Seleccionamos la primera opción, "Entidad emisora raíz de la empresa" y continuamos,

9 9 de 15 01/12/2007 1:34 Le damos un nombre a la CA, a la Entidad emisora de certificados, lo más normal es poner el nombre de la empresa, y le damos una validez a los certificados, lo más normal uno, dos o un máximo de 5 años, más podría resultar peligroso por si nos roban algún certificado sin darnos cuenta, Siguiente. Aunque realmente todo esto nos da igual pq luego restauraremos las copias que tenemos y lo machacará. Siguiente. Vale, estos son los PATH's donde nos almacenará la BD de los certificados y los registros, continuamos. Sí

10 10 de 15 01/12/2007 1:34 Esperamos...

11 11 de 15 01/12/2007 1:34 Finalizar, Y ahora, una vez instalada la nueva CA en el nuevo servidor, toca parar los servicios del CA para poder restaurar todos los backups anteriores, así que para detener el servicio de la CA, vamos a los servicios: "Inicio" > "Ejecutar" > 'services.msc' y "Aceptar". Buscamos el "Servicios de Certificate Server" y sobre él, con el botón derecho > "Detener".

12 12 de 15 01/12/2007 1:34 Esperamos... Y una vez que el servicio está parado, vamos a restaurar las configuraciones, primero, sobre el archivo de registro de backup, que teniamos antes (CAregister.reg), botón derecho y "Combinar". Sí para que nos meta la informacion de ese fichero a nuestro disco. Aceptar

13 13 de 15 01/12/2007 1:34 Vale, y ahora, abrimos la consola de la CA ("Inicio" > "Programas" > "Herramientas administrativas" > "Entidad emisora de certificados); sobre el servidor CA, botón derecho > "Todas las tareas" > "Restaurar la entidad emisora de certificados..." Siguiente

14 14 de 15 01/12/2007 1:34 Marcamos los dos checks, y seleccionamos el PATH donde está el backup que hemos realizado antes sobre el otro servidor de CA (nuestro original), y continuamos. Metemos la clave que hemos generado antes para que nadie nos robe los certificados...

15 15 de 15 01/12/2007 1:34 Finalizar Vale, todo perfecto, sin problemas, le decimos que sí, que ya puede iniciarnos los servicios de la CA. Una vez iniciados, todo debería de funcionar como antes, ya tendríamos todos los certificados movidos a una nueva CA dentro del mismo dominio.