In-Place Upgrade einer Zertifizierungsstelle von Windows Server 2012 SP2 oder 2012 R2 zu Windows Server 2016

Spätestens im Rahmen des Endes der Produkt-Unterstützung durch den Hersteller (Microsoft) stellt sich die Frage, ob man die Zertifizierungsstelle durch Migration auf einen anderen Server auf ein aktuelles Betriebssystem bringt, oder ein In-Place Upgrade vornimmt. Anbei wird letzterer Vorgang beschrieben.

Anstelle eines In-Place Upgrades wird dringend empfohlen, die Zertifizierungsstelle auf einen anderen Server mit einem aktuellen Betriebssystem zu migrieren. Siehe Artikel "Migration einer Active Directory integrierten Zertifizierungsstelle (Enterprise Certification Authority) auf einen anderen Server".

Wird ein Hardware Security Modul (HSM) eingesetzt, muss vor der Durchführung des In-Place Upgrades mit dem Hersteller des HSM geklärt werden, ob dessen Key Storage Provider (KSP) das neue Betriebssystem unterstützt. Nebst einem Update des Key Storage Providers kann es als Abhängigkeit auch erforderlich sein, die Firmware des Hardware Security Moduls zu aktualisieren.

Das Downgrade einer Windows-Edition z.B. von Windows Server Datacenter auf Windows Server Standard wird nicht unterstützt.

Vorbereitende Arbeiten

Sicherstellen, dass die Zeil-Hardware (physisch oder virtuell) die Installation des neuen Betriebssystems unterstützt.
Bereitstellung des Lizenzschlüssels für das neue Betriebssystem. Während der Aktualisierung wird der Lizenzschlüssel für das Ziel-Betriebssystem benötigt.
Bereitstellen des Installations-Datenträgers des neuen Betriebssystems
Sicherstellen des physischen Zugangs zum Server bzw. zur Konfiguration und Konsole der virtuellen Maschine.
Installieren aller Windows-Updates für das aktuelle Betriebssystem.
Versetzen der Zertifizierungsstelle in den Wartungsmodus. Siehe Artikel "Eine Active Directory integrierte Zertifizierungsstelle (Enterprise Certification Authority) in den Wartungsmodus versetzen".
Veröffentlichen einer Sperrliste. Siehe Artikel "Erstellen und Veröffentlichen einer Zertifikatsperrliste".
Durchführen einer Notfall-Sperrlisten-Signierung. Siehe Artikel "Durchführen der Notfallsignierung von Zertifikatsperrlisten".
Erstellen einer aktuellen Sicherung (Backup) der Zertifzierungsstelle. Siehe Artikel "Eine Sicherung (Backup) einer Zertifizierungsstelle erstellen".

Durchführung des Upgrades

Kennen Sie TameMyCerts? TameMyCerts ist ein Add-On für die Microsoft Zertifizierungsstelle (Active Directory Certificate Services). Es erweitert die Funktion der Zertifizierungsstelle und ermöglicht die Anwendung von Regelwerken, um die sichere Automatisierung von Zertifikat-Ausstellungen zu realisieren. TameMyCerts ist einzigartig im Microsoft-Ökosystem, hat sich bereits in unzähligen Unternehmen auf der ganzen Welt bewährt und steht unter einer freien Lizenz. Es kann über GitHub heruntergeladen und kostenlos verwendet werden. Professionelle Wartung wird ebenfalls angeboten.

Nachdem der Datenträger für das neue Betriebssystem eingelegt wurde, kann die Installation gestartet werden.

Üblicherweise verfügen Serversysteme ohnehin über keine Internetverbindung, sodass hier die Option, Updates herunterzuladen, abgewählt werden kann. Bitte jedoch beachten, dass der Server in diesem Fall ohne Sicherheitsupdates wieder hochfahren wird. Dies wird dazu führen, dass die Remotedesktopverbindung von einem aktuellen Client aus nicht mehr funktionieren wird, da das Update für die Sicherheitslücke CVE-2018-0866 noch nicht installiert wurde.

Im nächsten Dialog muss der Product Key eingegeben werden. Bitte beachten, dass der Lizenzschlüssel zur Windows-Edition passen muss. War das alte Betriebssystem eine Standard Edition, muss das neue System ebenfalls eine Standard Edition sein.

Da Zertifizierungsstellen üblicherweise mit graphischer Oberfläche installiert werden, sollte im nächsten Dialog die Option "Desktop Experience" gewählt werden.

Im nächsten Dialog werden die Lizenzbedingungen akzeptiert, um fortfahren zu können.

Im nächsten Dialog muss unbedingt die Option "Keep personal files and apps" ausgewählt werden, damit die Zertifizierungsstellen-Installation erhalten bleibt. Ist hier nur die Option "Nothing" auswählbar, passt entweder die Betriebssystem-Sprache oder die Betriebssystem-Edition nicht zusammen.

Windows Server 2016 weist explizit darauf hin, dass In-Place Upgrades nicht empfohlen werden. Möchte man fortfahren, muss man diesen Hinweis bestätigen.

Im letzten Dialog wird eine Zusammenfassung des ausgewählten Optionen angezeigt und anschließend die Installation gestartet.

Anschließend erfolgt die Installation des neuen Betriebssystems. Der Server wird mehrfach neu starten, bevor er mit dem neuen Betriebssystem wieder genutzt werden kann.

Problemlösungen

Keine Möglichkeit, während des Upgrades Apps und Dateien zu behalten

Ein Downgrade der Windows-Editionen wird nicht unterstützt. In diesem Fall ist im Dialog "Choose what to keep" nur die Option "Nothing" verfügbar. Es darf keinesfalls fortgefahren werden, da andernfalls eine Neuinstallation des Betriebssystems erfolgt und alle vorhandenen Daten gelöscht werden.

Der Zertifizierungsstellen-Dienst startet nicht nach In-Place Upgrade

Meldet man sich nach dem In-Place Upgrade das erste Mal an, wird man feststellen, dass der Zertifizierungsstellen-Dienst nicht gestartet ist und sich auch nicht starten lässt.

The service cannot be started, either because it is disabled or because it has not enabled devices associated with it. 
0x422 (WIN32: 1058 ERROR_SERVICE_DISABLED)

Hierbei handelt es sich um ein bekanntes, wenn auch kurioses Problem und kann durch einen einmaligen Neustart des Servers gelöst werden.

Keine Remotedesktopverbindung mehr möglich nach In-Place Upgrade

Sehr wahrscheinlich wird nach dem In-Place Upgrade keine Remotedesktopverbindung zum Server möglich sein. Für den Grund und die Lösung siehe Artikel "Keine Remotedesktopverbindung mehr möglich nach In-Place Upgrade des Windows Server Betriebssystems".

Nacharbeiten

Windows aktivieren, sofern erforderlich. Nach dem Upgrade muss der Server unter Umständen noch mit einem KMS-Server verbunden, oder das Betriebssystem aktiviert werden.
Aktuelle Windows-Updates installieren. Der Server startet ohne Sicherheitsupdates, daher müssen diese umgehend installiert werden.
Wurde ein Upgrade ausgehend von einer Zertifizierungsstelle, die auf Windows Server 2008 R2 oder älter lief vorgenommen, kann es sinnvoll sein, die Erzeugung der Seriennummern für ausgestellte Zertifikate auf den neuen Standard anzupassen. Näheres hierzu siehe Artikel "Wie wird die Seriennummer eines Zertifikats gebildet?".
Funktionstest für die Zertifizierungsstelle durchführen. Siehe Artikel "Funktionstest durchführen für eine Zertifizierungsstelle".
Aktuelle Sicherung (Backup) erstellen. Siehe hierzu Artikel "Eine Sicherung (Backup) einer Zertifizierungsstelle erstellen".