CA 备份和还原 Windows PowerShell cmdlet
适用范围：Windows Server 2022、Windows Server 2019、Windows Server 2016、Windows Server 2012 R2、Windows Server 2012
作者：Justin Turner，Windows 组的高级支持升级工程师
注意
本内容由 Microsoft 客户支持工程师编写，适用于正在查找比 TechNet 主题通常提供的内容更深入的有关 Windows Server 2012 R2 中的功能和解决方案的技术说明的有经验管理员和系统架构师。 但是，它未经过相同的编辑审批，因此某些语言可能看起来不如通常在 TechNet 上找到的内容那么精练。
概述
Windows Server 2012 中引入了 ADCSAdministration Windows PowerShell 模块。 在 Windows Server 2012 R2 中向此模块添加了两个新的 cmdlet，以支持 CA 的备份和还原。
Backup-CARoleService
Restore-CARoleService
Backup-CARoleService
ADCSAdministration Cmdlet：Backup-CARoleService
| 参数 - 粗体参数是必需的 | 说明 |
|---|---|
| -Path | - 字符串，用于保存备份的位置 - 这是唯一未命名的参数 - 位置参数 示例： Backup-CARoleService.-Path c:\adcsbackup1 Backup-CARoleService c:\adcsbackup2 |
| -KeyOnly | - 备份不包含数据库的 CA 证书 示例： Backup-CARoleService c:\adcsbackup3 -KeyOnly |
| -Password | - 指定用于保护 CA 证书和私钥的密码 - 必须是安全字符串 - 对 -DatabaseOnly 参数无效 例如： Backup-CARoleService c:\adcsbackup4 -Password (Read-Host -prompt "Password:" -AsSecureString) Backup-CARoleService c:\adcsbackup5 -Password (ConvertTo-SecureString "Pa55w0rd!" -AsPlainText -Force) |
| -DatabaseOnly | - 备份没有 CA 证书的数据库 Backup-CARoleService c:\adcsbackup6 -DatabaseOnly |
| -Force | 1. 允许你覆盖先前存在于 -Path 参数中指定的位置的备份 Backup-CARoleService c:\adcsbackup1 -Force |
| -Incremental | - 执行增量备份 Backup-CARoleService c:\adcsbackup7 -Incremental |
| -KeepLog | 1. 指示命令保留日志文件。 如果未指定开关，默认情况下将截断日志文件，增量方案除外 Backup-CARoleService c:\adcsbackup7 -KeepLog |
-Password <安全字符串>
如果使用 -Password 参数，则提供的密码必须是安全字符串。 使用 Read-Host cmdlet 启动交互式提示来要求用户输入安全密码，或使用 ConvertTo-SecureString cmdlet 指定内联密码。
查看以下示例
使用 Read-Host 为 Password 参数指定安全字符串
Backup-CARoleService c:\adcsbackup4 -Password (Read-Host -prompt "Password:" -AsSecureString)
使用 ConvertTo-SecureString 为 Password 参数指定安全字符串
Backup-CARoleService c:\adcsbackup5 -Password (ConvertTo-SecureString "Pa55w0rd!" -AsPlainText -Force)
Restore-CARoleService
ADCSAdministration Cmdlet：Restore-CARoleService
| 参数 - 粗体参数是必需的 | 说明 |
|---|---|
| -Path | - 字符串，从中还原备份的位置 - 这是唯一未命名的参数 - 位置参数 示例： Restore-CARoleService.-Path c:\adcsbackup1 -Force Restore-CARoleService c:\adcsbackup2 -Force |
| -KeyOnly | - 还原不包含数据库的 CA 证书 - 如果备份已使用 -KeyOnly 选项进行，则必须指定此项 示例： Restore-CARoleService c:\adcsbackup3 -KeyOnly -Force |
| -Password | - 指定 CA 证书和私钥的密码 - 必须是安全字符串 示例： Restore-CARoleService c:\adcsbackup4 -Password (read-host -prompt "Password:" -AsSecureString) -Force Restore-CARoleService c:\adcsbackup5 -Password (ConvertTo-SecureString "Pa55w0rd!" -AsPlainText -Force) -Force |
| -DatabaseOnly | - 还原没有 CA 证书的数据库 Restore-CARoleService c:\adcsbackup6 -DatabaseOnly |
| -Force | - 允许覆盖预先存在的密钥 - 是一个可选参数，但在就地还原时，你可能需要它 Restore-CARoleService c:\adcsbackup1 -Force |
问题
如果在使用带 -Password 参数的 Backup-CARoleService 时 ConvertTo-SecureString 函数失败，则会进行非密码保护备份。
常见错误
| 操作 | 错误 | 注释 |
|---|---|---|
| Restore-CARoleService C:\ADCSBackup | Restore-CARoleService：进程无法访问文件，因为它正在被另一个进程使用。 （异常来自 HRESULT： 0x80070020） |
在运行 Restore-CARoleService cmdlet 之前停止 Active Directory 证书服务服务 |
| Restore-CARoleService C:\ADCSBackup | Restore-CARoleService：目录不为空。 （HRESULT 中的异常：0x80070091） | 使用 -Force 参数覆盖预先存在的密钥 |
| Backup-CARoleService C:\ADCSBackup -Password (Read-Host -Prompt "Password:" -AsSecureString) -DatabaseOnly | Backup-CARoleService：无法使用指定的命名参数解析参数集。 | -Password 参数仅用于对私钥进行密码保护，因此在未备份私钥时无效 |
| Restore-CARoleService C:\ADCSBack15 -Password (Read-Host -Prompt "Password:" -AsSecureString) -DatabaseOnly | Restore-CARoleService：无法使用指定的命名参数解析参数集。 | -Password 参数仅用于对私钥进行密码保护，因此在未还原私钥时无效 |
| Restore-CARoleService C:\ADCSBack14 -Password (Read-Host -Prompt "Password:" -AsSecureString) | Restore-CARoleService：系统找不到指定的文件。 （HRESULT 中的异常：0x80070002） | 指定的路径不包含有效的数据库备份。 可能是路径无效，或者备份已使用 -KeysOnly 选项进行过？ |
其他资源
请尝试以下操作：使用 Windows PowerShell 在实验室中备份 CA
通过本课中的命令备份使用密码保护的 CA 数据库和私钥。
此时请推迟还原 CA。