Moin :)
Wir haben diesen Guide benutzt, da wir nicht sicher waren, ob sich an dem Prozedere etwas zu 2019 geändert hat. Anscheinend ist der Kram allerdings seit Dekaden der selbe - zumindest in den wichtigen Grundzügen.
https://www.infrastrukturhelden.de/microsoft-infrastruktur/active-directory/zertifizierungsdienste/umzug-einer-windows-zertifizierungsstelle-von-2012r2-auf-windows-server-2019.html
Wie sich im Nachhinein zeigte, haben wir bei der ersten Annahme für die Migration vergeigt. Allerdings war das zu dem Zeitpunkt noch nicht klar.
Wir haben seit der letzten Woche allerdings eine steile Lernkurve hingelegt, da wir wegen anderer Problemchen quasi nichts anderes mehr gemacht haben.
Um auf den Kern Deiner Frage zurück zu kommen... "Ungern" würden wir einfach die "Lass alles automatisch neu ausstellen"-Karte ziehen.
Die Krücke bis zum Auslaufen der alten Zertfikate wäre für uns aktuell die geschmeidigste Variante.
Der AD-Container ist ja in der Konfiguration vorhanden.
Was ich trotz sehr sehr sehr viel Lesens nicht genau ergründen konnte ist - Wenn Client und Server noch die alte URL abfragen wollen:
- ein manueller URL-Check via Certutil funktioniert (die Liste als OK) angegeben wird
- Der alte ldap-crl eintrag im CDP als Sperrlisten Verteilpunkt angegeben ist.
was fehlt uns noch? Muss ich den alten CDP Distribution Point noch via "certutil -f -dspublish <CRLDATEI> CRL" im AD bekannt machen? Die URL scheint ja generell erreichbar zu sein. :-/
Da verlässt mich aktuell mein Verständnis, was der Client falsch macht.
Capi2-Log sagt auch nur der Server scheint offline zu sein - was ja fakt ist, aber die angegebene URL ist ja trotzdem abfragbar.
Vermutlich ist es nur eine winzige Kleinigkeit. Die alten Zertifikate haben folgenden Eintrag:
[1]Sperrlisten-Verteilungspunkt
Name des Verteilungspunktes:
Vollst. Name:
URL=ldap:///CN=<NameRootCA>,CN=<ShortnameAltServer>,CN=CDP,CN=Public Key Services,CN=Services,CN=Configuration,DC=mkk,DC=local?certificateRevocationList?base?objectClass=cRLDistributionPoint
[...]
Dies entspricht der manuellen Eintragung in der CDP erweiterung der Zertifizierungsstelle...
Bin da etwas ratlos momentan... Dachte nach dem CRL-Client-Cache Timeout wäre der Spuk spätestens vorbei, allerdings wird der neue "alte" CDP eintrag auf der CA offenbar von den Clients nicht wahrgenommen.
Besten Gruß
Hecatonchires
