Como Configurar o Backup do Banco de Dados da CA de Emissão

Crie um diretório para armazenar os arquivos temporários de backup — C:\CABackup, por padrão —. e proteja o diretório por meio da execução do comando a seguir:

cacls c:\CABackup /G system:F administrators:F "Backup Operators":C"CA Backup Operators":C 

Observação: esse é um comando de linha única, mostrado em linhas separadas para facilitar a leitura.

Se você escolher uma pasta diferente para armazenar o arquivo de backup, será preciso atualizar a configuração relacionada no script pkiparams.vbs. Altere o caminho mostrado na linha a seguir, quando necessário.

CONST SYSSTATE_BACKUP_PATH = "C:\CABackup"   ' path used by NTBackup

Observação: a mesma função de script é usada para fazer backup de CAs offline e online. Isso significa que devem ser feitas cópias separadas dos scripts, caso sejam usados caminhos diferentes para CAs diferentes.

Agende o trabalho de backup para ser executado à noite por meio da execução do comando a seguir. Esse comando define o trabalho para ser executado às 2h toda noite.

SCHTASKS /Create /RU system /SC Daily /TN "CA Backup" /TR "cscript.exe  
// job:BackupCADatabase \"C:\MSSScripts\ca_operations.wsf\"" /ST 02:00 

Observação: esse comando é mostrado em várias linhas na impressão. Digite–o em uma única linha.

Além disso, as barras invertidas mostradas nos dois lados do nome do script C:\MSSScripts\ca_operations.wsf, são necessárias somente quando há espaços no nome do caminho. Elas podem ser omitidas quando não há espaços no nome do caminho.

Configure seu sistema de backup do servidor corporativo para fazer backup do conteúdo da pasta temporária de backup (C:\CABackup) toda noite em uma mídia removível. Se possível, defina um script de pré–requisito para verificar o arquivo de bloqueio (BackupRunning.lck, armazenado na pasta temporária de backup) que é criado pelo arquivo de script de backup enquanto ele é executado. Se esse arquivo existir, isso significa que o backup anterior falhou ou ainda está sendo executado. Uma outra opção é fazer com que o sistema de backup corporativo execute o script de backup da CA como um trabalho de pré–execução.

Observação: o script de backup, BackupCADatabase, verifica o arquivo de bloqueio e, se ele existir, o script grava um evento de erro no log do aplicativo:

Source: CA Operations 
Event ID: 30 
Event Type: Error 

O backup da CA não pôde ser iniciado porque o arquivo de bloqueio C:\CABackup\BackupRunning.lck de um trabalho anterior ainda está presente. Isso pode significar que o backup anterior ainda está sendo executado.

Se o sistema de backup do servidor corporativo não tiver a capacidade de executar verificações de pré–requisito ou de executar os scripts, agende o servidor de backup para começar em um horário adequado depois que o backup do estado do sistema tiver sido iniciado. Para estimar o tempo necessário, execute um backup do estado do sistema (com verificação ativada) no servidor com o serviço Serviços de certificado desligado. (Ao fechar a CA, você evitará que os logs da CA fiquem truncados para a execução do backup desse teste.) Ele fará backup de cerca de 500 MB (Megabytes) de dados do estado do sistema. Cronometre esse backup e use o resultado para calcular o tempo aproximado para um backup do banco de dados da CA e do estado do sistema:

Ttotal = TSomenteDoEstadoDoSistema x (500 + NUsuários) / 500

Se o tempo para fazer backup somente do estado do sistema for de 10 minutos, reserve 70 minutos para uma CA com 3.000 usuários (pressupondo que existam cinco certificados por usuário e computador, por ano, armazenados por cinco anos). Isso é apenas um guia preliminar. Adicione a ele uma quantidade para o banco de dados de certificados — 1 GB (Gigabyte) para cada 50.000 certificados.

Armazene a mídia de backup adequadamente.

Cuidado: esses dados de backup são altamente confidenciais porque contêm o material da chave particular da própria CA. É preciso transportá–los e armazená–los com a mesma atenção e segurança dada à CA. Armazene os dados de backup em um local físico diferente do da CA. Isso permitirá que você recupere a CA caso todos os equipamentos de computação do local sejam destruídos ou fiquem inacessíveis.