none
Upgrade ADCS 2008 auf 2008 R2 RRS feed

 > 

  • Frage

  • Question
    Anmelden
    0
    Anmelden
    Hallo,

    ich habe meinen Windows 2008 Server (AD / ADCS) migriert. Seit der Migration habe ich den Fehler, dass der ADCS Dienst nicht startet. hier die FM:
    Event ID 17 "Unable to initialize the database connection...".
    "WsResetMetadata 0xd00000bb".
    es gibt einen Thread im englischen TN Forum, der bei mir aber nicht funktioniert (   http://social.technet.microsoft.com/Forums/en-US/windowsserver2008r2general/thread/1f8461e7-03ee-4d5d-b11f-4d0070aad883  ). Die Berechtiungen sind ok (NTFS / Registry). Ich habe auch schon die Database von vor der Migration zurückgesichert, da ich beim Ausführen von esentutl auf die CA - .edb die FM bekommen habe, dass die DB einen IO Fehler hat... (error -1022 (JET_errorDiskIO!)....). Dieser Befehl lief unter vollen administrativen Rechten. Einen Registry Auszug (s. Thread oben) habe ich leider nicht, weil ich angenommen habe, dass ein normales Backup reicht...
    Hat jmd. eine Idee woran das liegen könnte? Und vllt. auch gleich eine passende Lösung? Schade, dass MS dass im Mig Leitfaden mit keinem Ton erwähnt, dass es da Stress gibt, oder eine Vorbereitung notwendig wäre...

    Vielen Dank für Eure Hilfe.
    Montag, 5. Oktober 2009 08:13
    |

Antworten

  • Question
    Anmelden
    0
    Anmelden
    Hallo Fabian,


    so, ich habe die CA Rolle deinstalliert und wieder installiert. Allerdings nimmt er eine neue Datenbank. Die habe ich dann durch die Alte DB ersetzt, und siehe da, es geht wieder. Nur die Einstellungen, die man nach Installation mit einem Script macht sind durch die Rollen Neuinstallation überschrieben. Ich habe dieses Script einfach neu ausgeführt. Nun stimmen die CDP und AIA Infos wieder. 
    Ich hatte vor dem Ausführen des Scriptes, den Certsvc Registry Baum von vor der Deinstallation mal importiert, und siehe da, der Fehler war wieder da. Ich gehe mal davon aus, das beim Migrieren des Servers auf R2 irgendeine Registry Einstellung verdreht wurde. Also war nicht die DB im Eimer, sondern die Registry.

    Nun Gut nur der Form halber:

    1. Registrybaum der CA sichern.
    2. Verzeichnis der CA sichern.
    3. Rolle deinstallieren
    4. Rolle installieren (keine neue, sondern vorhandene CA Daten / Schlüssel auf diesem Computer verwenden)
    5. CA herunterfahren. Alte CADB Daten reinkopieren (die neue zur Sicherheit auch wegkopieren, man weiss ja nie)
    6. das Installationsscript drüberlaufen lassen, welches bei der Erst Inst. der CA verwendet wurde.
    7. Server neustarten.

    dann sollte die CA wieder laufen
    Zum Test ein Zertifikat anforden. Dies sollte ausgestellt werden.


    Nun gut. Ich hoffe das wars jetzt.
    Vielen Dank an alle.

    MfG Matthias
    • Als Antwort markiert Pitiplatsch Samstag, 10. Oktober 2009 14:41
    Samstag, 10. Oktober 2009 14:38
    |

Alle Antworten

  • Question
    Anmelden
    1
    Anmelden
    Hi,
    ich habe meinen Windows 2008 Server (AD / ADCS) migriert. 
    Wie genau hast Du die Migration denn durchgeführt? Inplace oder per Datensicherung / Wiederherstellung?
    Ist die Plattform dieselbe, also 32-Bit zu 32-Bit oder bist Du von 32-Bit auf x64 gegangen?
    Schade, dass MS dass im Mig Leitfaden mit keinem Ton erwähnt, dass es da Stress gibt, oder eine Vorbereitung notwendig wäre...

    Vielen Dank für Eure Hilfe.
    Entschuldige, ich meine es nicht "böse", aber daß es theoretisch immer zu Problemen kommen kann, ist meines Erachtens bei der Komplexität der heutigen Software / IT-Umgebungen selbsterklärend.
    Eine Beschreibung (egal von welchem Hersteller) entbindet Dich nicht von der Pflicht, das Vorgehen ausführlich zu testen, bevor man damit eine Produktionsumgebung bearbeitet.
    Darauf weisen wir übrigens in fast jedem Whitepaper von uns hin.

    Viele Grüße
    Fabian
    http://blogs.technet.com/deds
    Montag, 5. Oktober 2009 19:19
    |
  • Question
    Anmelden
    0
    Anmelden
    Hallo Fabian,

    danke für die Antwort,

    also: Die Migration war eine Inplace Migration. Sie lief von einem Windows 2008 x64 auf Windows 2008 R2 x64. Also normalerweise eine Bilderbuchmigration.
    1. Backup
    2. Adprep...
    3. DVD rein "Upgrade" wählen
    4. warten...
    5. Freuen... (na ja, bis auf dieses Mal :-)  )


    Mir ist bewusst, dass Ihr nicht alle Kombinationen testen könnt. Aber bei etwas, wie einer CA hätte ich das jetzt schon angenommen. Beim SP2 für WSUS habe ich es ja noch eingesehen, dass das nicht gut verlaufen kann, weil die Struktur doch sehr bunt wird (aber das ist ein anderes Thema). Mein System hat nur Sachen von der W2k8 DVD drauf. Der Virenscanner wurde vorher runtergeworfen. Daher hätte ich es schon gedacht, dass das auch so funktioniert. Es ist ja nicht gerade eine exotische Kombination.
    Natürlich entbindet mich das nicht von Tests, das weiss ich auch. Allerdings hilft mir der Test auch nicht, wenn beim Test alles gut geht, und beim Prod.Mig nicht.

    Hast Du trotzdem einen Tip für mich?

    Viele Grüsse,
    Matthias
    Dienstag, 6. Oktober 2009 06:37
    |
  • Question
    Anmelden
    0
    Anmelden
    Hi,

    ist das ein Server der nur die ADCS ausführt oder noch andere Dienste drauf hat? Ich würde im ersteren Fall den W2k8 restoren und nochmal migrieren.
    Just my 2 Cents.
    Viele Grüße Walter Steinsdorfer MVP Exchange Server http://msmvps.org/blogs/wstein
    Dienstag, 6. Oktober 2009 06:55
    |
  • Question
    Anmelden
    0
    Anmelden
    Hi,

    neben dem von Walter vorgeschlagenen Vorgehen kannst Du auch einmal versuchen, mittels ESENTUTIL die Datenbank in Ordnung zu bringen:

    930832 Support for the Esentutl.exe tool on a Windows Server 2003 certification authority database
    http://support.microsoft.com/default.aspx?scid=kb;EN-US;930832

    Das Vorgehen sollte für 2008 R2 gleich sein.

    Viele Grüße
    Fabian
    http://blogs.technet.com/deds
    Dienstag, 6. Oktober 2009 07:15
    |
  • Question
    Anmelden
    0
    Anmelden
    Hallo Walter, hallo Fabian,

    vielen Dank für die Antworten, ich werde sie in umgekehrter Reihenfolge durchführen. Also erst Fabian und dann Walter. Wobei ich hoffe, dass ich nicht bis zu Walters Lösung kommen muss... Allerdings dann erst heut abend.
    Wobei mir gerade Auffällt, dass ich mit Esentutl bereits herumexperimentiert habe. Dieses meldet mir immer einen IO Fehler (s.o.). Auch bei der DB aus der Sicherung. Die Platte und das Dateisystem sind aber ok.
    Ich probier es trotzdem noch mal.

    Nun noch zur Frage: Da läuft AD / ADCS (inkl. Web) / HyperV - (kleines Budget halt...)


    Viele Grüsse,
    Matthias
    Dienstag, 6. Oktober 2009 07:48
    |
  • Question
    Anmelden
    0
    Anmelden

    Hallo,

    ich bin jetzt soweit das teil komplett aus dem Fenster zu werfen. Nachdem ich es nun erfolgreich geschafft habe,
    die DB zu recovern, defragmentieren, dumpen, lossy repairen, gelingt es mir immer noch nicht, die DB zum fliegen zu bekommen.
    Die Tools geben mir darüber Auskunft, dass sie erfolgreich das getan haben, was sie sollten. Aber alles was ich beim Starten
    des ADCS Dienstes bekomme, ist ein Datenbankverbindung kann nicht initialisiert werden: Name_der_CA.WsResetMetadata 0xd00000bb (-805306181)

    ok. hab ich mir gedacht, mach ich einen restore auf eine 2. Platte, fahr die Kiste hoch und sichere
    noch einmal die CA und hol sie in das neue SYSTEM oder mache die Mig eben dort noch mal.

    Weit gefehlt. Ist ja nicht so, als das Complete PC Tool aus einer Sicherung ein laufendes System machen könnte. NEEEIN - Stattdessen
    bekomme ich einen Fehler namens  0x80042407 die im BIOS Festgelegte Partition ist zu klein... Gegoogelt, ACPI ausgeschaltet,
    Bootreihenfolge geändert - NIX.

    Meine Plattengeometrie war mal auf genau dieser Platte und ich habe sie dann später mal auf eine 750er Platte gemoved (Acronis).
    Die Geometrie (1. 110 MB / 2. 232,78 GB)habe ich natürlich beibehalten. Ich habe es nur wegen der schnelleren Platte gemacht, nicht
    wegen des Platzes.

    Wenn ich Bitlocker nicht eingesetzt hätte, hätte ich mit Acronis eine offline Sicherung machen können. Dann wäre alles gut gewesen.
    Aber stattessen musste ich mit Boardmitteln arbeiten - meiner derzeitigen (vollkommen resignierten) Meinung ein grosser Fehler.
    Sorry, nehmt das bitte nicht persöhnlich aber ich bin grad echt frustriert.

    Wir sollten mit der Reparatur der DB fortfahren.
    Ich habe jetzt noch eine weitere DB names tmp.edb, die ich werde reparieren noch dumpen kann. Das esentutl ist der meinung, dass
    es entweder keine DB ist oder sie korrupt ist. gibt es dazu noch ideen? könnte es daran liegen? Die DB herauszunehmen bringt nichts.


    Ich wäre jetzt für jeden Vorschlag dankbar.
    Liebe Grüsse
    Matthias

    Dienstag, 6. Oktober 2009 17:15
    |
  • Question
    Anmelden
    0
    Anmelden
    Hi,

    Du schreibst, daß Du eine Acronis Sicherung gemacht hast und diese auch auf eine andere Platte zurück gesichert hast. Unter Umständen ist hier eine Problemquelle zu suchen. Für alle Fälle würde ich einmal ein Checkdisk laufen lassen - aber ehrlich gesagt denke ich nicht, daß Du damit das Problem beheben kannst.

    Die temp.edb kannst Du im Normalfall nicht mit "esentutil" bearbeiten, darauf solltest Du jetzt vielleicht kein Augenmerk / keinen Schwerpunkt legen.

    Ich persönlich nutze im Normalfall ebenfalls die Boardmittel für solche Aktionen und hatte noch keinerlei Probleme in diese Richtung. Das Problem scheint also im Moment wohl eher an den Aktionen vor der Migration zu liegen als an unserer Software...

    Viele Grüße
    Fabian
    http://blogs.technet.com/deds
    Dienstag, 6. Oktober 2009 19:27
    |
  • Question
    Anmelden
    0
    Anmelden
    Hallo Fabian,

    ok, dann werd ich die temp.edb entfernen. Und dann? Die CA lief ja vor der migration und wie es aussieht, bekomme ich einen Restore des OS's nicht hin, weil die CompletePCRestore Routine das nicht so einsieht. Das mit dem Acronis ist schon 3 Monate her und der Rechner ist bereits mehrfach durchgeholt worden. Am Acronis liegt es definitiv NICHT. Das Filesystem ist ok. Ich habe es bereits geprüft, als ich das erste Mal den Fehler nach der Migration sah.
    Was für Aktionen meinst Du???
    Das sollte im Normalfall reichen.
    1. Backup
    2. Adprep...
    3. DVD rein "Upgrade" wählen
    4. warten...
    5. Freuen... (na ja, bis auf dieses Mal :-(  )

    Und nun? Kann ich die CA jetzt vergessen? Sag jetzt bitte nicht, "Das Problem scheint also im Moment wohl eher an den Aktionen vor der Migration zu liegen als an unserer Software..." denn da waren, ausser den geschilderten, keine. Und dass div. Dienste oben sind, wenn man eine Inplace Mig macht, sollte der Setup Routine auch klar sein und betreffendes sauber herunterfahren.

    Viele Grüsse
    Matthias
    Mittwoch, 7. Oktober 2009 06:22
    |
  • Question
    Anmelden
    0
    Anmelden
    Hi,

    wenn ich mal einmischen darf, Du schreibst:
    >Nun noch zur Frage: Da läuft AD / ADCS (inkl. Web) / HyperV - (kleines Budget halt...)

    Wo ist bei Dir ggf. das Problem die CA neu aufzusetzen ?

    Also CA deinstallieren, AD bereinigen (KB889250) und Ca neu zu implementieren.
    Gruß Ralph Andreas Altermann
    Mittwoch, 7. Oktober 2009 09:18
    |
  • Question
    Anmelden
    0
    Anmelden
    Hallo Ralph Andreas,

    <<Wo ist bei Dir ggf. das Problem die CA neu aufzusetzen ?
    Weil das auch bei einem kleinen Budget nicht die Lösung sein kann, wenn so ein Upgrade fehlschlägt. Gerade dann nicht. Ist ja auch nicht so, als wenn die CA nur 2 Zertifikate ausgestellt hätte. Ich müsste dann den ganzen Kram neu zertifizieren. Das wollt ich mir sparen. Du baust Dir doch auch kein Auto neu, nur weil beim Reifenwechsel ein ein Reifen mit Plattfuss drangekommen ist. Also ich geh mal davon aus, das Du sowas nicht machst.

    So nun wieder zum Text. Gibts ausser dem genannten noch etwas, was ich machen könnte?
    Am Ende werde ich die CA vielleicht neu machen müssen, aber ich könnt mir vorstellen, dass es da wa Eleganteres gibt. Und das würde ich dem Neuaufsetzen eben vorziehen.

    Liebe Grüsse,
    Matthias

    Mittwoch, 7. Oktober 2009 11:09
    |
  • Question
    Anmelden
    0
    Anmelden
    Hi Matthias,

    Du schließt Fehler von Acronis oder anderen Komponenten kategorisch aus - das ist sehr "mutig", wir erleben hier bei uns jeden Tag, daß es nicht ganz so einfach ist...

    Du könntest noch einmal das CA-Debug Logging aktivieren, vielleicht finden sich hier noch wertvolle Hinweise: http://technet.microsoft.com/en-us/library/cc774528(WS.10).aspx --> siehe unten in dem Artikel.

    Eine Neuinstallation / Implementierung von CAs ist nicht ganz so schmerzfrei, da alle derzeit gültigen Zertifikate dann im Prinzip verloren sind und man die PKI-Struktur neu aufbauen muß.

    Ansonsten bleibt eine (kostenpflichtige) Anfrage bei uns, damit man sich das Problem einmal mit allen notwendigen Daten anschauen kann. Fernanalysen sind bei solchen Fehlern meist nicht so einfach.

    Spontan würde mir sonst leider nicht mehr viel einfallen, ohne sich das gesamte System einmal anzuschauen.

    Viele Grüße
    Fabian
    http://blogs.technet.com/deds
    Mittwoch, 7. Oktober 2009 11:13
    |
  • Question
    Anmelden
    0
    Anmelden
    Hallo Fabian,

    ich werde es mir mal ansehen und durchführen. Mal sehen was rauskommt.*diedaumendrück*

    Vielen Dank.
    LG Matthias
    Mittwoch, 7. Oktober 2009 11:15
    |
  • Question
    Anmelden
    0
    Anmelden
    Hallo Fabian,

    schade, es hätte zu schön werden können... Klappt aber nicht. Falls jmd. auf die Schnelle noch etwas einfalle sollte, wäre ich dankbar...

    Das Debug log bringt auch nichts anderes zu Tage, als das, was ich schon habe. WsResetMetadata...

    Bis Dann.
    Mittwoch, 7. Oktober 2009 15:25
    |
  • Question
    Anmelden
    0
    Anmelden
    Hallo Matthias,

    Du kannst einmal den aktuellen Stand der CA sichern (inkl. Schlüssel, Datenbank + Logfiles und Registry Schlüssel, siehe den oben genannten KB-Artikel) und die CA-Rolle neu installieren - inklusive IIS-Funktionen usw., die benötigt werden. Danach sicherst Du die Daten zurück.

    Vielleicht bringt das Besserung.

    Viele Grüße
    Fabian
    http://blogs.technet.com/deds
    Mittwoch, 7. Oktober 2009 16:06
    |
  • Question
    Anmelden
    0
    Anmelden
    Hallo Fabian,


    so, ich habe die CA Rolle deinstalliert und wieder installiert. Allerdings nimmt er eine neue Datenbank. Die habe ich dann durch die Alte DB ersetzt, und siehe da, es geht wieder. Nur die Einstellungen, die man nach Installation mit einem Script macht sind durch die Rollen Neuinstallation überschrieben. Ich habe dieses Script einfach neu ausgeführt. Nun stimmen die CDP und AIA Infos wieder. 
    Ich hatte vor dem Ausführen des Scriptes, den Certsvc Registry Baum von vor der Deinstallation mal importiert, und siehe da, der Fehler war wieder da. Ich gehe mal davon aus, das beim Migrieren des Servers auf R2 irgendeine Registry Einstellung verdreht wurde. Also war nicht die DB im Eimer, sondern die Registry.

    Nun Gut nur der Form halber:

    1. Registrybaum der CA sichern.
    2. Verzeichnis der CA sichern.
    3. Rolle deinstallieren
    4. Rolle installieren (keine neue, sondern vorhandene CA Daten / Schlüssel auf diesem Computer verwenden)
    5. CA herunterfahren. Alte CADB Daten reinkopieren (die neue zur Sicherheit auch wegkopieren, man weiss ja nie)
    6. das Installationsscript drüberlaufen lassen, welches bei der Erst Inst. der CA verwendet wurde.
    7. Server neustarten.

    dann sollte die CA wieder laufen
    Zum Test ein Zertifikat anforden. Dies sollte ausgestellt werden.


    Nun gut. Ich hoffe das wars jetzt.
    Vielen Dank an alle.

    MfG Matthias
    • Als Antwort markiert Pitiplatsch Samstag, 10. Oktober 2009 14:41
    Samstag, 10. Oktober 2009 14:38
    |
  • Question
    Anmelden
    0
    Anmelden
    Hi Matthias,

    freut mich, daß es mit der vorgeschlagenen Neuinstallation geklappt hat und danke für die Rückmeldung.

    Viele Grüße
    Fabian
    http://blogs.technet.com/deds
    Samstag, 10. Oktober 2009 17:22
    |