การกู้คืน CA ใน Active Directory

ฉันคิดว่าฉันเข้าใจ แต่ฉันอยากแน่ใจ

เรากำลังเรียกใช้ตัวควบคุมโดเมน (VMs) ของ Windows 2016 สองตัว ซึ่งหนึ่งในนั้นทำหน้าที่เป็นเซิร์ฟเวอร์ใบรับรอง เราทำการสำรองข้อมูลสถานะระบบทุกวันและถ่ายโอนไปยังสถานที่ห่างไกล ไม่ว่าด้วยเหตุผลใดก็ตาม หากจำเป็นต้องสร้างตัวควบคุมโดเมนที่มี CA ใหม่ทั้งหมด ฉันถือว่าฉันสามารถทำการกู้คืนที่ไม่ได้รับอนุญาตโดยใช้การสำรองข้อมูลสถานะระบบล่าสุดเพื่อกู้คืน CA และตัวควบคุมโดเมนที่มีอยู่จะอัปเดตเซิร์ฟเวอร์ที่สร้างใหม่ด้วย ข้อมูลโฆษณาอื่น ๆ ทั้งหมด นี่เป็นสมมติฐานที่ถูกต้องหรือฉันควรใช้แผนการกู้คืนเฉพาะของ CA

ข้อมูลเพิ่มเติม: ฉันกำลังทำงานบนพื้นฐานสำหรับระบบที่ใช้งานในสภาพแวดล้อมที่ขาดการเชื่อมต่อมากกว่า 50 แห่ง การเพิ่มเซิร์ฟเวอร์อื่นในแต่ละไซต์ไม่ใช่ตัวเลือกสำหรับฉันในตอนนี้ ฉันวางแผนที่จะใช้ทั้งสถานะระบบและแผนสำรองข้อมูลเฉพาะของ CA เพื่อช่วยในการกู้คืน ต่อไปนี้เป็นสคริปต์บางส่วนที่ฉันรวบรวมไว้เพื่อช่วยในการตรวจสอบด้วยตนเองและกระบวนการรายวันแบบอัตโนมัติ

#CA เริ่มต้น / อัปเดตสคริปต์สำรองข้อมูล
$filedate = (Get-Date -format d).ToString().Replace(â/â,â-â)

#สำรองข้อมูล / ตรวจสอบข้อมูลสำรอง
IF ((ทดสอบเส้นทาง D:\CAbackup) -eq $False)
    {
    mkdir D:\CAสำรองข้อมูล
    mkdir D:\CABackup\InitialBackup
    Backup-CARoleService -KeyOnly D:\CABackup\InitialBackup -Password (read-host -Prompt "กำหนดรหัสผ่านสำหรับ CA Private Key" -AsSecureString)
    Backup-CARoleService -DatabaseOnly D:\CABackup\InitialBackup
    reg ส่งออก HKLM\System\CurrentControlSet\Services\CertSvc\Configuration D:\CABackup\InitialBackUp\<ชื่อไฟล์>.reg
    }
 ELSEIF ((ทดสอบเส้นทาง D:\CABackup\InitialBackup) -eq $False)
    {
    mkdir D:\CABackup\InitialBackup
    Backup-CARoleService -KeyOnly D:\CABackup\InitialBackup -Password (read-host -Prompt "กำหนดรหัสผ่านสำหรับ CA Private Key" -AsSecureString)
    Backup-CARoleService -DatabaseOnly D:\CABackup\InitialBackup
    reg ส่งออก HKLM\System\CurrentControlSet\Services\CertSvc\Configuration D:\CABackup\InitialBackUp\<ชื่อไฟล์>.reg
    }
อื่น {
    IF ((ทดสอบเส้นทาง D:\CABackup\InitialBackup\database\<ชื่อไฟล์>.edb) -eq $false)
        {
        Backup-CARoleService -DatabaseOnly D:\CABackup\InitialBackup
        }
    อื่น {}
    IF ((ทดสอบเส้นทาง D:\CABackup\InitialBackup\<ชื่อไฟล์>.reg) -eq $false)
        {
        reg ส่งออก HKLM\System\CurrentControlSet\Services\CertSvc\Configuration D:\CABackup\InitialBackUp\<ชื่อไฟล์>.reg
        }
    อื่น {}
    IF ((ทดสอบเส้นทาง D:\CABackup\InitialBackup\<ชื่อไฟล์>.p12) -eq $false)
        {
        Backup-CARoleService -KeyOnly D:\CABackup\InitialBackup -Password (read-host -Prompt "กำหนดรหัสผ่านสำหรับ CA Private Key" -AsSecureString)
        }
    อื่น
        {
        #เปรียบเทียบรหัสประจำตัวของใบรับรองที่สำรองไว้กับรหัสประจำตัวของใบรับรอง CA หากไม่ตรงกัน ให้เก็บถาวรใบรับรองเก่าและสำรองข้อมูลปัจจุบัน
        $catpret = ใบรับรอง -adca | เลือกสตริง "Cert Hash"
        $catp = $certret.Line.Substring(17)
        $archtp = (รับ PfxData -FilePath d:\cabackup\Prikey\<ชื่อไฟล์>.p12).EndEntityCertificates.Thumbprint
        IF ($catp -ne $archtp)
            {
            mv d:\cabackup\prikey\<ชื่อไฟล์>.p12 d:\cabackup\prikey\<ชื่อไฟล์>.p12.$filedate
            Backup-CARoleService -DatabaseOnly D:\CABackup\InitialBackup
            }
        อื่น {}
        }
    }

#รายชื่อใบรับรองที่จะหมดอายุในอีก 120 วันข้างหน้า
$list=@()
$na =(get-date).addDays(120)
$listofexp = certutil -view -restrict "NotAfter<=$na" -out "RequestID,RequesterName,Request Common Name,NotAfter"
$total = ($listofexp.count -10)
$f=10
$e=13
ในขณะที่ ($e -lt $total)
    {
    $list += ($listofexp[$f] + $listofexp[$f+1] + $listofexp[$f+2] + $listofexp[$e])
    $f = $f+6
    $e = $e+6
    } 


#สำรองข้อมูลรายวัน
$filedate = (Get-Date -format d).ToString().Replace(â/â,â-â)
mkdir D:\CABackup\$filedate
Backup-CARoleService -DatabaseOnly D:\CABackup\$filedate
reg ส่งออก HKLM\System\CurrentControlSet\Services\CertSvc\Configuration D:\CABackup\$fildate\<ชื่อไฟล์>.reg

#ล้างคำขอใบรับรอง 2 สัปดาห์ขึ้นไป
$list=@()
$setpurge = (รับวันที่) เพิ่มวัน (-14)
$purgedate = รับวันที่ $setpurge - รูปแบบ "ดด/ว/ปป"
$listofpend = certutil -view -restrict "วันที่ส่งคำขอ<=$purgedate,การจัดการคำขอ=9" -ออก "รหัสคำขอ วันที่ส่งคำขอ ชื่อสามัญของคำขอ"
$total = ($listofpend.count -9)
$f=9
$e=11
ในขณะที่ ($e -lt $total)
{
$list += ($listofpend[$f] -replace '.*\(' -replace '\),*')
$f = $f+5
$e = $e+5
}
foreach ($item ใน $list)
{
ใบรับรอง - ลบรายการ $
}

<#กระบวนการล้างเดิมถูกแทนที่ด้วยด้านบน
$setpurge = (รับวันที่) เพิ่มวัน (-14)
    $purgedate = รับวันที่ $setpurge - รูปแบบ "ดด/ว/ปป"
    certutil - คำขอลบ $purgedate
#>

ฉันได้ทดสอบสิ่งนี้ส่วนใหญ่ในห้องแล็บและกำลังปล่อยให้รายวันทำงานสักครู่ก่อนที่ฉันจะลบเซิร์ฟเวอร์หนึ่งหรือสองเซิร์ฟเวอร์และพยายามกู้คืน ถ้าใครมีคำแนะนำเพิ่มเติมก็ยินดีเป็นอย่างยิ่ง