Лучшее решение при USN Rollback?

Добрый день, everyone!

Возникла следующая ситуация:
Есть 3 КД: DC, DC2, DC3.
DC - бывший основной КД. Находится в состоянии UNS Rollback.
DC2 - основной КД. Владелец ролей FSMO.
DC3 - нормально реплицируется и работает.

Потенциальный метод решения проблемы - понизить/повысить DC и жить дальше(рекомендовано Microsoft), но есть нюанс. На DC развернут единственный AD CS. Понизить КД без удаления службы невозможно. Насколько я понимаю, удаление службы грозит невозможность проверки выданных сертификатов (на основании самоподписного Root). Крайне нежелательно, так как есть куча клиентов на терминальном доступе.

Закралась мысль попробовать восстановить DC с помощью штатного Backup/Restore (чтобы изменить значение Invocation ID). После включить репликацию и удалить значение - DSA not writeable.

Вопрос следующий - лучшее ли это решение в данной ситуации или я упустил какой-то нюанс?
Может можно сделать всё проще?
Не повредит ли восстановление DC службе AD CS?


P.S. Нет практического опыта переноса службы AD CS на другой сервер. Источники в интернете противоречивы. Возможности сделать cname DC на другой КД нет, так как DC обязательно нужен в сети с таким же именем.
  • Вопрос задан
  • 112 просмотров
Решения вопроса 2
SignFinder
@SignFinder
Wintel\Unix Engineer
"Насколько я понимаю, удаление службы грозит невозможность проверки выданных сертификатов (на основании самоподписного Root)."
Почему вы так думаете?
CA не нужно наличие ADDS на той же машине для функционирования.

Плюс она бекапится и восстанавливается довольно просто. Так что бекапы, DC force removal, install new OS, promote new DC, restore CA.
Последний пункт даже правильнее звучит так - build new VM, restore CA.
Ответ написан
Irish_Blood
@Irish_Blood Автор вопроса
Все работы выполнены успешно!
Порядок действий:
1. Полный бэкап DC и центра CA.
2. Удаление центра СA.
3. Понижение DC.
4. Повышение DC.
5. Установка CA.
6. Восстановление бэкапа CA.
7. Проверка публикации сертификатов в IIS. Перепубликации в случае проблем.

Сейчас КД работает правильно и полноценно, как и центр CA.
Ответ написан
Пригласить эксперта
Ваш ответ на вопрос

Войдите, чтобы написать ответ

Войти через центр авторизации
Похожие вопросы