In-Place Upgrade einer Zertifizierungsstelle von Windows Server 2008 SP2 zu Windows Server 2012

Autor Uwe GradeneggerVeröffentlicht am Kategorien Windows Betriebssystem, ZertifizierungsstelleSchlagwörter

Spätestens im Rahmen des Endes der Produkt-Unterstützung durch den Hersteller (Microsoft) stellt sich die Frage, ob man die Zertifizierungsstelle durch Migration auf einen anderen Server auf ein aktuelles Betriebssystem bringt, oder ein In-Place Upgrade vornimmt. Anbei wird letzterer Vorgang beschrieben.

Der Support für Windows Server 2008 SP2 und Windows Server 2008 R2 ist am 14. Januar 2020 abgelaufen. (siehe Artikel "Ende der Produkt-Unterstützung durch den Hersteller (Microsoft)") Sollte es während der Migration zu Problemen kommen, ist im Regelfall kein Support durch Microsoft möglich.

Anstelle eines In-Place Upgrades wird dringend empfohlen, die Zertifizierungsstelle auf einen anderen Server mit einem aktuellen Betriebssystem zu migrieren. Siehe Artikel "Migration einer Active Directory integrierten Zertifizierungsstelle (Enterprise Certification Authority) auf einen anderen Server".

Das Downgrade einer Windows-Edition z.B. von Windows Server Datacenter auf Windows Server Standard wird nicht unterstützt.

Wird ein Hardware Security Modul (HSM) eingesetzt, muss vor der Durchführung des In-Place Upgrades mit dem Hersteller des HSM geklärt werden, ob dessen Key Storage Provider (KSP) das neue Betriebssystem unterstützt. Nebst einem Update des Key Storage Providers kann es als Abhängigkeit auch erforderlich sein, die Firmware des Hardware Security Moduls zu aktualisieren.

Vorbereitende Arbeiten

Durchführung des Upgrades

Kennen Sie TameMyCerts? TameMyCerts ist ein Add-On für die Microsoft Zertifizierungsstelle (Active Directory Certificate Services). Es erweitert die Funktion der Zertifizierungsstelle und ermöglicht die Anwendung von Regelwerken, um die sichere Automatisierung von Zertifikat-Ausstellungen zu realisieren. TameMyCerts ist einzigartig im Microsoft-Ökosystem, hat sich bereits in unzähligen Unternehmen auf der ganzen Welt bewährt und steht unter einer freien Lizenz. Es kann über GitHub heruntergeladen und kostenlos verwendet werden. Professionelle Wartung wird ebenfalls angeboten.

Nachdem der Datenträger für das neue Betriebssystem eingelegt wurde, kann die Installation gestartet werden.

Üblicherweise verfügen Serversysteme ohnehin über keine Internetverbindung, sodass hier die Option, Updates herunterzuladen, abgewählt werden kann. Bitte jedoch beachten, dass der Server in diesem Fall ohne Sicherheitsupdates wieder hochfahren wird. Dies wird dazu führen, dass die Remotedesktopverbindung von einem aktuellen Client aus nicht mehr funktionieren wird, da das Update für die Sicherheitslücke CVE-2018-0866 noch nicht installiert wurde.

Im nächsten Dialog muss der Product Key eingegeben werden. Bitte beachten, dass der Lizenzschlüssel zur Windows-Edition passen muss. War das alte Betriebssystem eine Standard Edition, muss das neue System ebenfalls eine Standard Edition sein.

Da Zertifizierungsstellen üblicherweise mit graphischer Oberfläche installiert werden, sollte im nächsten Dialog die Option "Desktop Experience" gewählt werden.

Im nächsten Dialog werden die Lizenzbedingungen akzeptiert, um fortfahren zu können.

Im nächsten Dialog muss unbedingt die Option "Upgrade: Install Windows and keep files, settings, and applications" ausgewählt werden, damit die Zertifizierungsstellen-Installation erhalten bleibt. Ist hier nur die Option "Custom: Install Windows only (advanced)" auswählbar, passt entweder die Betriebssystem-Sprache oder die Betriebssystem-Edition nicht zusammen.

Anschließend wird ein Kompatibilitätsbericht angezeigt. Bei einer Zertifizierungsstelle sollten hier keine Besonderheiten auftreten, sodass fortgefahren werden kann.

Anschließend erfolgt die Installation des neuen Betriebssystems. Der Server wird mehrfach neu starten, bevor er mit dem neuen Betriebssystem wieder genutzt werden kann.

Problemlösungen

Der Server startet nicht mehr nach dem Upgrade und wirft Fehlermeldung
0x000000C4

Windows Server 2012 und neuer setzen voraus, dass das No Execute (NX) bzw. Execute Disable (XD) Bit unterstützt wird. Wenn beispielsweise VMWare ESXi zur Virtualisierung eingesetzt wird, kann es sein, dass das Bit nicht an das Gastsystem weitergereicht wird. In diesem Fall muss eine Anpassung der Konfiguration der virtuellen Maschine erfolgen.

Ob die CPU das NX-Bit unterstützt, kann vorab mit dem Tool Coreinfo von Sysinternals überprüft werden.

Keine Remotedesktopverbindung mehr möglich nach In-Place Upgrade

Sehr wahrscheinlich wird nach dem In-Place Upgrade keine Remotedesktopverbindung zum Server möglich sein. Für den Grund und die Lösung siehe Artikel "Keine Remotedesktopverbindung mehr möglich nach In-Place Upgrade des Windows Server Betriebssystems".

Nacharbeiten

  • Windows aktivieren, sofern erforderlich. Nach dem Upgrade muss der Server unter Umständen noch mit einem KMS-Server verbunden, oder das Betriebssystem aktiviert werden.
  • Aktuelle Windows-Updates installieren. Der Server startet ohne Sicherheitsupdates, daher müssen diese umgehend installiert werden.
  • Wurde ein Upgrade ausgehend von einer Zertifizierungsstelle, die auf Windows Server 2008 R2 oder älter lief vorgenommen, kann es sinnvoll sein, die Erzeugung der Seriennummern für ausgestellte Zertifikate auf den neuen Standard anzupassen. Näheres hierzu siehe Artikel "Wie wird die Seriennummer eines Zertifikats gebildet?".
  • Funktionstest für die Zertifizierungsstelle durchführen. Siehe Artikel "Funktionstest durchführen für eine Zertifizierungsstelle".
  • Aktuelle Sicherung (Backup) erstellen. Siehe hierzu Artikel "Eine Sicherung (Backup) einer Zertifizierungsstelle erstellen".

Weiterführende Links:

Externe Quellen

de_DEDeutsch
en_USEnglish de_DEDeutsch