AD Zertifizierungsstelle notwendig? Migration SBS2011 - SRV2016

[Mack 10]

Hallo zusammen,

 

ich habe hier einen Small Business Server 2011 welcher auf neue Hardware in eine Hyper V Umgebung (1 DC VM und 1 Exchange VM) migriert wird.

 

Es ist soweit auch alles umgezogen.

- DNS, DHCP, Shares, Printer, kompletter Exchange (alter 2010er bereits deinstalliert) und die FSMO Rollen. Sharepoint wurde/wird nicht genutzt

Soweit ist also quasi alles drüben und läuft. 

 

Für den neuen Exchange wurde ein Geotrust SAN installiert, mit Split DNS für intern und extern und läuft soweit.

 

Nun steht das demoten des alten DCs an und die Frage vorab im Raum, brauche ich die AD integrierte Zertifikationsstelle noch?

Dort sind "nur" Zertifikate für die "sites", die CA an sich, sowie den neuen und alten DC enthalten.

Kann ich die CA dann einfach deinstallieren? Wie schaut es dann mit dem DC Zertifikat des neuen DC und dem Vertrauen der Clients im Netzwerk aus?

 

Wenn ich eine Domäne neu aufbaue und die Zert-Rolle anfänglich nicht installiere, vertrauen die Clients dem DC ja auch ohne einer CA.

Oder ändert sich da etwas sobald einmal eine AD CA im Spiel ist?

 

verwirrte Grüße

 

Dirk

[ente_0815 0]

Ich kann leider nicht explizit helfen, werfe aber ein weiteres Stichwort ein:

 

Zertifikat für EFS-Verschlüsselung bedenken!

[Mack 10]

Ich kann leider nicht explizit helfen, werfe aber ein weiteres Stichwort ein:

 

Zertifikat für EFS-Verschlüsselung bedenken!

 

Die müsste ich dann ja auch in der Übersicht der ausgestellten Zertifikate sehen. Und dort sind keine.

[Nobbyaushb 1.484]

In etwa 90% der Fälle, in denen ich einen SBS abgelöst habe war die CA eigentlich nur per default installiert.

 

Viele SBS-Admin wissen gar nicht, das die überhaupt da ist.

 

Und wenn du keine Zertifikate siehst - weg damit.

 

Ich würde die aber sauber deinstallieren, dann hast du das AD sauber, falls du mal wieder eine brauchen solltest.

 

Aber dazu wirst du bestimmt noch ein paar Meinungen bekommen.... ;)

[Mack 10]

In etwa 90% der Fälle, in denen ich einen SBS abgelöst habe war die CA eigentlich nur per default installiert.

 

 

Jo, soweit ich das kenne, kommt die, wie so vieles beim SBS, einfach mit.

 

 

 

Und wenn du keine Zertifikate siehst - weg damit.

 

Nun, halt das Zertifikat des neuen DCs.

 

Ich würde die aber sauber deinstallieren, dann hast du das AD sauber, falls du mal wieder eine brauchen solltest.

 

Das wäre ja möglich. Bin mir halt unsicher über die Konsequenzen, wenn schon ein DC Zertifikat in der Domäne besteht.

Ob der DC sich unabhängig davon gegenüber den Clients als vertrauenswürdig zeigt, bzw. die Clients das Zert prüfen wollen

und mangels AD ZertStelle dann meckern.