CA Recovery în Active Directory

Cred că înțeleg, dar vreau să fiu sigur.

Executăm două controlere de domeniu Windows 2016 (VM), dintre care unul îndeplinește rolul de server de certificate. Efectuăm zilnic backup-uri ale stării sistemului și le descarcăm într-o locație la distanță. Dacă, din orice motiv, controlerul de domeniu cu CA trebuie reconstruit complet, presupun că pot face o restaurare neautoritară folosind cea mai recentă copie de rezervă a stării sistemului pentru a recupera CA, iar controlerul de domeniu existent va actualiza serverul reconstruit cu toate celelalte informații AD. Este aceasta o presupunere corectă sau ar trebui să implementez un plan de recuperare specific CA?

Informatii suplimentare: Lucrez la o bază de referință pentru un sistem implementat în peste 50 de medii deconectate. Adăugarea unui alt server la fiecare site nu este o opțiune pentru mine în acest moment. Intenționez să implementez atât starea sistemului, cât și un plan de backup specific CA pentru a ajuta la recuperare, iată câteva scripturi pe care le-am eliminat împreună pentru a ajuta la verificările manuale și procesele zilnice automatizate.

#CA Inițial / Actualizare Script de backup
$filedate = (Get-Date -format d).ToString().Replace(â/â,â-â)

#Backup / verificare backup
IF ((Calea de testare D:\CAbackup) -eq $False)
    {
    mkdir D:\CABackup
    mkdir D:\CABackup\InitialBackup
    Backup-CARoleService -KeyOnly D:\CABackup\InitialBackup -Parola (read-host -Prompt „Atribuiți o parolă pentru cheia privată CA” -AsSecureString)
    Backup-CARoleService -DatabaseOnly D:\CABackup\InitialBackup
    reg export HKLM\System\CurrentControlSet\Services\CertSvc\Configuration D:\CABackup\InitialBackUp\<nume fișier>.reg
    }
 ELSEIF ((Calea de testare D:\CABackup\InitialBackup) -eq $False)
    {
    mkdir D:\CABackup\InitialBackup
    Backup-CARoleService -KeyOnly D:\CABackup\InitialBackup -Parola (read-host -Prompt „Atribuiți o parolă pentru cheia privată CA” -AsSecureString)
    Backup-CARoleService -DatabaseOnly D:\CABackup\InitialBackup
    reg export HKLM\System\CurrentControlSet\Services\CertSvc\Configuration D:\CABackup\InitialBackUp\<nume fișier>.reg
    }
ELSE {
    IF ((Calea de testare D:\CABackup\InitialBackup\database\<nume fișier>.edb) -eq $false)
        {
        Backup-CARoleService -DatabaseOnly D:\CABackup\InitialBackup
        }
    ELSE {}
    IF ((Calea de testare D:\CABackup\InitialBackup\<nume fișier>.reg) -eq $false)
        {
        reg export HKLM\System\CurrentControlSet\Services\CertSvc\Configuration D:\CABackup\InitialBackUp\<nume fișier>.reg
        }
    ELSE {}
    IF ((Calea de testare D:\CABackup\InitialBackup\<nume fișier>.p12) -eq $false)
        {
        Backup-CARoleService -KeyOnly D:\CABackup\InitialBackup -Parola (read-host -Prompt „Atribuiți o parolă pentru cheia privată CA” -AsSecureString)
        }
    ALTE
        {
        #Comparați amprenta certificatului de rezervă cu amprenta certificatului CA, dacă nu se potrivesc, arhivați certificatul vechi și faceți o copie de rezervă a celui actual
        $catpret = certutil -adca | Select-String "Cert Hash"
        $catp = $certret.Line.Substring(17)
        $archtp = (Get-PfxData -FilePath d:\cabackup\Prikey\<nume fișier>.p12).EndEntityCertificates.Thumbprint
        IF ($catp -ne $archtp)
            {
            mv d:\cabackup\prikey\<nume fișier>.p12 d:\cabackup\prikey\<nume fișier>.p12.$date fișier
            Backup-CARoleService -DatabaseOnly D:\CABackup\InitialBackup
            }
        ELSE {}
        }
    }

#Lista certificatelor care vor expira în următoarele 120 de zile
$list=@()
$na =(get-date).addDays(120)
$listofexp = certutil -view -restrict "NotAfter<=$na" -out "RequestID,RequesterName,Request Common Name,NotAfter"
$total = ($listofexp.count -10)
$f=10
$e=13
În timp ce ($e -lt $total)
    {
    $listof += ($listofexp[$f] + $listofexp[$f+1] + $listofexp[$f+2] + $listofexp[$e])
    $f = $f+6
    $e = $e+6
    } 


#Copie de rezervă zilnică
$filedate = (Get-Date -format d).ToString().Replace(â/â,â-â)
mkdir D:\CABackup\$filedate
Backup-CARoleService -DatabaseOnly D:\CABackup\$filedate
reg export HKLM\System\CurrentControlSet\Services\CertSvc\Configuration D:\CABackup\$fildate\<nume fișier>.reg

#Ștergeți cererile de certificare de 2 săptămâni și mai vechi
$list=@()
$setpurge = (get-date).AddDays(-14)
$purgedate = Get-date $setpurge -Format „LL/zz/aa”
$listofpend = certutil -view -restrict „Data trimiterii cererii<=$purgedate,Request Disposition=9” -out „ID cererii, data trimiterii cererii, nume comun al cererii”
$total = ($listofpend.count -9)
$f=9
$e=11
În timp ce ($e -lt $total)
{
$list += ($listofpend[$f] -inlocuire '.*\(' -inlocuire '\),*')
$f = $f+5
$e = $e+5
}
foreach ($articol din $listă)
{
certutil -deleterow $item
}

<#Procesul de purjare original înlocuit cu mai sus
$setpurge = (get-date).AddDays(-14)
    $purgedate = Get-date $setpurge -Format „LL/zz/aa”
    certutil -deleterow $purgedate cerere
#>

Am testat cele mai multe dintre acestea într-un laborator și las zilnic să ruleze un pic înainte de a șterge un server sau două și de a încerca restaurarea. Daca are cineva vreun sfat suplimentar ar fi foarte apreciat.