证书迁移准备工作:
站在用户的角度思考问题，与客户深入沟通，找到宁陕网站设计与宁陕网站推广的解决方案，凭借多年的经验，让设计与互联网技术结合，创造个性化、用户体验好的作品，建站类型包括：
成都做网站、成都网站设计、企业官网、英文网站、手机端网站、网站推广、
域名注册、网络空间、企业邮箱。业务覆盖宁陕地区。
1,备份CA模板列表:
Certutil -catemplates >c:\cabackup\catemplates.txt
2,记录CA的签名算法和CSP:
Certutil -getreg ca\csp\* >c:\cabackup\csp.txt
3,吊销的证书发布有效期延长
4,备份CA数据库和私钥:
4.1,用PowerShell:
Backup-CARoleService –path
注:BackupDirectory指定创建备份文件的目录。指定的值可以是相对路径或绝对路径。如果指定的目录不存在，则创建该目录。备份文件在名为Database的子目录中创建。
4.2,用Certutil.exe
Net stop certsrv
Certutil -backupDB c:\cabackup\db //注:导入所指定的文件夹必须是空文件夹
Certutil -backupkey c:\cabackup //注:输入之后会要求输入一个密码以确保安全
5,备份CA注册表设置
5.1,用regedit.exe
单击“开始”、指向“运行”，然后键入 regedit 以打开注册表编辑器。在 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CertSvc 右键单击“配置”，然后单击“导出”。指定位置和文件名，然后单击“保存”。这将创建包含源 CA 的 CA配置数据的注册表文件。
5.2,使用Reg.exe备份CA注册表设置
打开命令提示符窗口
键入reg export HKLM\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration
6,备份CAPolicy.inf
在C:\windows文件夹下 (一般情况下没有)
7,停止源CA服务器
8,在目标服务器上还原数据
8.1,在新CA服务器上安装CA证书颁机构--->AD CS配置时必须导入源CA的私钥.
8.2,还原数据库
8.2.1,用PowerShell
Stop-service certsvc
Restore-CARoleService -path c:\cabackup\ -databaseonly -force
Start-service certsvc
8.2.2,用Certutil
Net stop certsrv
Certutil.exe -f -restoredb c:\cabackup
Net start certsrv
8.3,还原CA注册表设置
8.3.1,用reg.exe
在目标CA上导入源CA注册表备份
1. 以本地Administrators组成员的身份登录到目标服务器。
打开命令提示符窗口。
键入net stop certsvc并按Enter。
键入reg import ，然后按Enter。 //注:Registry Settings Backup.reg为备份的注册表文件位置
编辑CA注册表设置
DBDirectory
DBLogDirectory
DBSystemDirectory
DBTempDirectory
单击“ 开始”，在“ 搜索程序和文件”框中键入regedit.exe，然后按Enter以打开注册表编辑器。
在控制台树中，找到密钥HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ services \ CertSvc \ Configuration，然后单击“ 配置”。
在详细信息窗格中，双击DBSessionCount。
单击十六进制。在“ 数值数据”中，键入64，然后单击“ 确定”。
验证以下设置中指定的位置是否适用于目标服务器，并根据需要进行更改以指示CA数据库和日志文件的位置。
8.3.2,修改 CAServerName
将源CAServerName修改为新CA的CAServerName
8.4,还原证书模板列表
使用管理凭据登录到目标CA.
打开命令提示符窗口。
键入certutil -setcatemplates + ，然后按Enter。 // 注:templatelist 为源CA导出的模板列表文件 catemlates.txt里面的文件名称
certutil -setcatemplates + Administrator，User，DomainController
8.5, 授予AIA和CDP容器权限(在DC上完成)
如果目标服务器的名称与源服务器不同，则必须为目标服务器授予AD DS中源服务器的CDP和AIA容器的权限
8.5.1,以Enterprise Admins组成员的身份登录到安装
ActiveDirectory站点和服务管理单元的计算机。打开Active Directory站点和服务（dssite.msc）
8.5.2,对这两个容器添加新CA计算机完全控制权限
(ps:如果在CDP扩展中使用文件// \ computer \ share语法将CRL发布到共享文件夹位置，则可能需要调整该共享文件夹的权限，以便目标CA能够写入该文件夹地点。如果您在目标服务器上托管CDP并使用包含别名的AIA或CDP路径（例如，pki.contoso.com）作为目标，则可能需要调整DNS记录以使其指向正确的目标IP地址。)
另外有需要云服务器可以了解下创新互联scvps.cn，海内外云服务器15元起步，三天无理由+7*72小时售后在线，公司持有idc许可证，提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案，具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势，专为企业上云打造定制，能够满足用户丰富、多元化的应用场景需求。
分享题目：CA证书的迁移-创新互联
链接分享：
http://cdkjz.cn/article/gghjc.html
