十二、从以前的EXCHANGE 2000 KMS到CA的迁移
说明：因本部分实验涉及的环境较多，我的虚拟机有一些问题，因此先把官方资料上的截图给大家看，以保持文章的完整性，很快会把实际的操作图贴上来。期待。。
我们知道，在EXCHANGE的部署里，最重要的也是最难的就是加密和签名电子邮件了，在以前版本（EXCHANGE5.5/2000）里，加密和签名电子邮件都是通过KMS（密钥管理服务）来完成的，当然，KMS也需要有CA的支持，因此它和CA是合作完成的。在EX2003里，由于WIN2003 CA的强大功能，使微软下决心把加密/签名邮件部分的证书也交给了CA来处理，因此从EXCHANGE组件里删除了KMS组件。因此如果你计划从早期版本的EXCHANGE升级到EX2003，就必须将原来的证书从KMS里迁移到WINDOWS CA里了。下面我们就来看看这一操作的步骤：
1、如果你仍在运行EX5.5的KMS，请你升级到EX2000
2、把你的WINDOWS 2003 CA配置成允许KRA（见前面的章节）
3、确保要迁移的证书是可用的
4、要配置CA允许导入外部证书（即非CA颁发的证书）
5、接下来最重要的是从KMS数据库里导出用户证书
6、最后一步，是将导出的数据导入CA数据库。
重要：如果原来的证书是由KMS发布的V1版本的，那么在KMS迁移到CA后，这些V1版本的证书将不能被吊销，因为原来的CRL是发布在GAL里的。所以推荐在V1版本证书都已到期时再迁移。如果原来的证书是由KMS通过WIN2000 CA颁发的，那么需要注意的是，原来的CA仍需要继续维护CRL直到所有的证书都已到期或失效。
建立迁移用的交换证书
将KMS迁移到CA的过程中，从KMS中导出证书的操作是需要有一个公钥来保护的，且要求由CA来解密导出文件。所以我们需要在CA上建立一个交换证书。
重要：该证书的密钥长度不要超过1024位
允许CA导入外部CA证书
如果你的KMS运行在EX5.5上，且不使用CA协助颁发证书，那么要允许你的CA可以接受CA的证书导入。
1）运行命令：certutil –setreg ca\KRAFlags +KRAF_ENABLEFOREIGN
2）使用-f参数导入外部CA：Certutil.exe –f –importKMS [name of import file]
从KMS里导出用户证书
有了上述的描述，我们具备了从KMS里导出用户证书的条件了。
警告：在导出用户证书之前，必须对KMS数据库进行完全备份并确保备份有效，导出操作是破坏性的，导出的密钥将被从KMS数据库里删除！！
重要：如果在导出过程中，KMS或CA在线，那么导出过程将试图吊销所有的V3证书，这样你必须立即在WIN2003 CA里对用户重新登记证书，如果你不希望这样，可以使CA离线。
导出过程
1、打开ESM
2、启动KMS（注意：启动KMS需要手工输入启动密码或从软盘读取），选择所人任务的导出用户。
3、输入KMS的管理密码，默认为password
4、导出向导开始工作，按NEXT
5、选择加密用的交换证书
6、这是加密用的交换证书
7、继续执行向导
8、使用资源管理器打开刚才选择的交换证书，确认证书有效性
9、打开证书的属性，记录下前八位指印。
10、在下一个确认页面中输入刚才记录的八位指印，确认证书有效性
11、输入导出的文件名，注意：只输入文件名，不输入路径，它的路径是默认的：
C:\program files\exchsrvr\KMSDATA
12、继续
13、选择导出证书的查看方式，可以以用户字母排序或管理组
14、继续执行，选择要导出的证书
15、准备导出操作
开始导出数据，平均每100条记录大约需要一分钟时间（取决你的硬件性能）
16、导出完成后按NEXT
17、导出的结果见图
所有的导出文件将位于下面的目录里
C:\program files\exchsrvr\KMSDATA
18、请将这些文件复制到目标CA的计算机上以便导入。
注意：当导出大量用户的时候，可能产生多个文件，这些文件都应该被导入到新的CA中。
导入用户证书到CA
导入过程
1、以CA管理员登录计算机
2、打开命令行（CMD）
3、更改目录到包含KMS导出文件的目录
4、执行：CertUtil.exe –f –importkms <name of export file>
这里的-f是必须的。
输出的结果告诉你导入的状态以及成功导入的用户数，这里显示的用户数应和KMS导出的一样，以下是输出的成功样本：
---------
Processing KMS exports from:
O=microsoft,C=US
KMS export file signature verifies
Lock box opened, symmetric key successfully decrypted
..................................
Users: 6
Ignored signature certificates: 25
Certificates with keys: 17
Foreign certificates imported: 17
Certificates imported: 17
Keys: 17
Keys archived: 17
CertUtil: -ImportKMS command completed successfully.,