我可以从作为企业 CA 的 W2k8 服务器中删除 DC 角色吗？

Question

是否可以在非域控制器的服务器上运行 W2k8 Enterprise（AD 集成）证书颁发机构 - 我的服务器当前是 DC，我不记得这是否是必需的？如果可以，我可以运行 dcpromo 来降级当前是 DC 并运行 CA 的服务器而不使该 CA 无效吗？我认为我的第一个问题的答案应该是“是”，因为服务器只是 RODC，但我需要确保不会意外破坏 CA。

Answer 1

是的，可以在非 DC 服务器上运行 CA。这就是我们的域设置方式。CA 条目发布到 Active Directory 的一个特殊区域，不需要在同一台服务器上安装 DC 角色。

你应该能够将服务器 dcpromo 回非 DC 角色，不会出现任何问题；DC 和 CA 角色彼此不同。当然，我建议先备份您的 CA（请参阅http://technet.microsoft.com/en-us/library/cc725565.aspx）。这样，如果您遇到任何问题，您都可以在新的服务器实例上恢复您的 CA。