Pourquoi ne pas installer une autorité de certification sur un contrôleur de domaine ?

Bonjour

Lors d’un projet de migration des contrôleurs de domaine de Windows 2003 vers Windows 2008 R2, j’ai été confronté à la problématique de la migration du serveur d’autorité de certification d’entreprise.  Ce dernier était installé sur un contrôleur de domaine. Hors je devais rétrograder ce serveur en serveur membre pour finaliser la migration des contrôleurs de domaine vers Windows 2008 R2 et configurer la forêt en mode natif 2008 R2.

PROBLEME :
Lorsque j’ai exécuté l’assistant DCPROMO sur le contrôleur de domaine / serveur d’autorité de certification, j’ai obtenu le message d’erreur suivant :
« Avant de pouvoir installer ou désinstaller Active Directory, vous devez supprimer le composant Autorité de certification ».
Il s’agit d’une contrainte Microsoft et non d’un bug.

SOLUTION :
La solution consiste à :
- Sauvegarder l’autorité de certification depuis la console « Autorité de certification ».
- Sauvegarder les certificats sur votre serveur (faire une exportation au format PFX). Pour cela, lancer une MMC vierge (mmc.exe) et ajouter le composant logiciel enfichable certificat. Faire l’ajout pour l’ordinateur et pour l’utilisation. Faire une exportation de vos certificats en exportant la clé privée (format PFX).
- Sauvegarder la configuration du service CERTSVC avec REGEDT32 en sauvegardant la clé :
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ CertSvc\Configuration\CA_NAME.
- Vérifier l’emplacement du service autorité de certification !
- Taper “certutil –shutdown” pour arrêter le service d’autorité de certification.
- Taper “certutil –key” pour avoir des informations sur le certificat d’autorité de certification.
- Taper “certutil –delkey CA_NAME” pour supprimer le certificat de l’autorité de certification.
- Supprimer le composant « Autorité de certification » du serveur. Voir : http://support.microsoft.com/kb/298138/fr
- Lancer DCPROMO sur le serveur pour lui retirer le rôle de contrôleur de domaine.
- Installer de nouveau le composant autorité de certification sur le serveur en réutilisant le certificat de l’autorité de certification sauvegardée. Utiliser le même chemin.
- Restaurer la sauvegarde de l’autorité de certification.
- Tester le redémarrage de la CA.
- Si cela fonctionne, faire une sauvegarde de :
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CertSvc\ Configuration\CA_NAME.
- Supprimer cette clé et toutes les sous clés.
- Restaurer l’ancienne configuration de votre CA en double cliquant sur le fichier .REG obtenu avant de supprimer la CA d’origine.

Pour plus d’informations :
http://support.microsoft.com/kb/555012/en-us
http://www.windowsitpro.com/article/tips/moving-a-certificate-authority-ca-to-another-dc-
http://support.microsoft.com/kb/298138/en-us

Dans certains cas, il n’est pas possible de démarrer le service autorité de certification. Le message d’erreur « Clé incorrecte. Ox80090003 (-2146893821) ». On a un message d’erreur Source CertSvc EVENTID 100 dans le journal d’événement. On a ce problème quand le composant « Autorité de certification » a été réinstallé vers un emplacement différent. La solution est alors de supprimer / réinstaller l’autorité de certification. Si vous ne retrouvez pas l’ancien emplacement de la CA, ne réimporter pas les anciens paramètres du service d’autorité de certification. Pour plus d’informations :
http://blogs.msdn.com/b/danpark/archive/2005/07/19/440524.aspx

Remarque :
Pour rappel, il est n’est pas possible de renommer un serveur avec le composant « Autorité de certification », la solution proposée dans les articles ci-dessus est d’ajouter un nom de service supplémentaire (SPN) au niveau du compte ordinateur du serveur cible. Dans mon cas je voulais conserver l’autorité de certification sur ce serveur. Pas besoin d’appliquer cette technique.

A+
Guillaume MATHIEU
PROSERVIA
La connaissance s’accroît quand on la partage.
http://msreport.free.fr

À propos de Guillaume Mathieu

Consultant - Formateur chez PROSERVIA (Pôle Conseil Expertise)
Ce contenu a été publié dans Active Directory, Annuaire, Certificats, Sécurité, Troubleshouting. Vous pouvez le mettre en favoris avec ce permalien.

5 réponses à Pourquoi ne pas installer une autorité de certification sur un contrôleur de domaine ?

  1. maurice raymond dit :

    Merci Merci et grand merci Guillaume

  2. C’est toujours un plaisir Raymond. Que deviens tu ?

  3. Benoit dit :

    Bonjour,

    J’ai installé une autorité de certification d’entreprise sur un serveur membre pour créer des certificats autosignés pour mes fichiers rdp… je ne sais pas ou j’ai m….é… mais je n’arrive pas à mettre ça en place… Aujourd’hui je voudrais la supprimer définitivement… y a t’il un risque majeur àa le faire si je le fait proprement ? (suppression de role etc…) ?

    Merci d’avance

  4. Il existe une procédure pour supprimer l’autorité de certification intégrée dans l’annuaire.
    http://support.microsoft.com/kb/889250/en-us
    A+

    Guillaume MATHIEU
    Consultant Architecture & Intégration PROSERVIA
    La connaissance s’accroît quand on la partage

  5. Dezo dit :

    Bonjour,

    Je suis exactement dans ce cas. Je dois rétrograder mon dernier DC en 2003 pour qu’il devienne serveur membre uniquement.
    Hors il a le rôle d’autorité de certification et je n’y connais pas grand chose.
    Pouvez vous détailler les étapes nécessaire à savoir :

    - Sauvegarder l’autorité de certification depuis la console « Autorité de certification ».
    - Sauvegarder les certificats sur votre serveur (faire une exportation au format PFX). Pour cela, lancer une MMC vierge (mmc.exe) et ajouter le composant logiciel enfichable certificat. Faire l’ajout pour l’ordinateur et pour l’utilisation. Faire une exportation de vos certificats en exportant la clé privée (format PFX).
    -Vérifier l’emplacement du service autorité de certification ! OU ????

    En vous remerciant par avance.

    Cordialement,

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *

*


8 − cinq =

Vous pouvez utiliser ces balises et attributs HTML : <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <strike> <strong>