Hola de nuevo,
No sé si es muy normal lo que os voy a contar pero, oye, pasar os puede pasar. Y como no he encontrado nada por Internet ni medio decente sobre el tema… pues me he liado yo solo.
Por necesidades de un cliente, he tenido que migrar un servidor AD FS 3.0 (ya sabéis, sobre Windows Server 2012 R2 Update) de un CPD a otro CPD, que está a unos 100 Kms.
Como un vMotion (o Live Migration) no era posible, se decidió tirar por el camino del medio, esto es, instalar otro servidor en el CPD destino y mover la federación.
Bien, los pasos son sencillos pero… han tenido algunos efectos, llamémosles, imprevistos.
Pasos seguidos
- Montar el nuevo servidor de AD FS 3.0, junto con su Windows Update y demás
- Exportar el certificado de la federación desde el servidor viejo al nuevo
- Modificar el fichero host del AD FS Proxy (Web Application Proxy o WAP, para ser exactos) para que apunte al nuevo AD FS
- Ejecutar un Update-MSOLFederatedDomain y…
- Revisar que en el Visor de sucesos esté todo bien (aparentemente), tal como se ve a continuación
Los errores
El caso es que todo ha ido bien hasta pasadas unas 12 horas… de tal modo que tanto en el nuevo AD FS como en el WAP, el Visor de sucesos se ha llenado de errores como los que siguen
AD FS
WAP
Y la solución
Recuerdo que en la versión 2.0/2.1 de AD FS Proxy, re-ejecutando el Wizard de configuración, estas cosas se arreglaban. Pero claro, en la era de Powershell hay que tirar de comandos de teletexto así que… la cosa se arregla de esta manera
- Primero, buscar el thumbprint del certificado de la federación, dentro de la MMC de Certificados.
- Seguidamente, ejecutar estos cmdlet con los valores adecuados:
$federationServiceCreds = Get-Credential
Install-WebApplicationProxy -FederationServiceTrustCredential $federationServiceCreds -CertificateThumbprint ‘Thumbprint‘ –FederationServiceName ‘nombreDeLaFederacion’
Si todo va bien, veremos un mensaje como el que sigue.
Y ya está arreglado? No, sólo hemos hecho el 50% del trabajo.
El último paso, volver a publicar la federación en nuesto WAP.
Revisamos el visor de sucesos de ambos equipos y hemos de encontrarnos con mensajes del estilo
AD FS
WAP
Ahora sí hemos acabado.
Saludos,
Marc
