证书迁移准备工作:
成都创新互联专注于兴隆企业网站建设,成都响应式网站建设公司,成都做商城网站。兴隆网站建设公司,为兴隆等地区提供建站服务。全流程按需求定制开发，专业设计，全程项目跟踪，成都创新互联专业和态度为您提供的服务
1,备份CA模板列表:
Certutil -catemplates >c:\cabackup\catemplates.txt
2,记录CA的签名算法和CSP:
Certutil -getreg ca\csp\* >c:\cabackup\csp.txt
3,吊销的证书发布有效期延长
4,备份CA数据库和私钥:
4.1,用PowerShell:
Backup-CARoleService –path
注:BackupDirectory指定创建备份文件的目录。指定的值可以是相对路径或绝对路径。如果指定的目录不存在，则创建该目录。备份文件在名为Database的子目录中创建。
4.2,用Certutil.exe
Net stop certsrv
Certutil -backupDB c:\cabackup\db //注:导入所指定的文件夹必须是空文件夹
Certutil -backupkey c:\cabackup //注:输入之后会要求输入一个密码以确保安全
5,备份CA注册表设置
5.1,用regedit.exe
单击“开始”、指向“运行”，然后键入 regedit 以打开注册表编辑器。在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CertSvc 右键单击“配置”，然后单击“导出”。指定位置和文件名，然后单击“保存”。这将创建包含源 CA 的 CA配置数据的注册表文件。
5.2,使用Reg.exe备份CA注册表设置
打开命令提示符窗口
键入reg exportHKLM\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration
6,备份CAPolicy.inf
在C:\windows文件夹下 (一般情况下没有)
7,停止源CA服务器
8,在目标服务器上还原数据
8.1,在新CA服务器上安装CA证书颁机构--->AD CS配置时必须导入源CA的私钥.
8.2,还原数据库
8.2.1,用PowerShell
Stop-service certsvc
Restore-CARoleService -path c:\cabackup\ -databaseonly -force
Start-service certsvc
8.2.2,用Certutil
Net stop certsrv
Certutil.exe -f -restoredb c:\cabackup
Net start certsrv
8.3,还原CA注册表设置
8.3.1,用reg.exe
在目标CA上导入源CA注册表备份
1. 以本地Administrators组成员的身份登录到目标服务器。
打开命令提示符窗口。
键入net stop certsvc并按Enter。
键入reg import
编辑CA注册表设置
DBDirectory
DBLogDirectory
DBSystemDirectory
DBTempDirectory
单击“开始”，在“搜索程序和文件”框中键入regedit.exe，然后按Enter以打开注册表编辑器。
在控制台树中，找到密钥HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ services \ CertSvc \ Configuration，然后单击“配置”。
在详细信息窗格中，双击DBSessionCount。
单击十六进制。在“数值数据”中，键入64，然后单击“确定”。
验证以下设置中指定的位置是否适用于目标服务器，并根据需要进行更改以指示CA数据库和日志文件的位置。
8.3.2,修改 CAServerName
将源CAServerName修改为新CA的CAServerName
8.4,还原证书模板列表
使用管理凭据登录到目标CA.
打开命令提示符窗口。
键入certutil -setcatemplates +
certutil -setcatemplates + Administrator，User，DomainController
8.5,授予AIA和CDP容器权限(在DC上完成)
如果目标服务器的名称与源服务器不同，则必须为目标服务器授予AD DS中源服务器的CDP和AIA容器的权限
8.5.1,以Enterprise Admins组成员的身份登录到安装
ActiveDirectory站点和服务管理单元的计算机。打开Active Directory站点和服务（dssite.msc）
8.5.2,对这两个容器添加新CA计算机完全控制权限
(ps:如果在CDP扩展中使用文件// \ computer \ share语法将CRL发布到共享文件夹位置，则可能需要调整该共享文件夹的权限，以便目标CA能够写入该文件夹地点。如果您在目标服务器上托管CDP并使用包含别名的AIA或CDP路径（例如，pki.contoso.com）作为目标，则可能需要调整DNS记录以使其指向正确的目标IP地址。)
