Neustrukturieren von Windows Server 2003-Domänen innerhalb einer Gesamtstruktur

Transkript

1 Neustrukturieren von Windows Server 2003-Domänen innerhalb einer Gesamtstruktur (Engl. Originaltitel: Restructuring Windows Server 2003 Domains Within a Forest) Neustrukturieren von Windows Server 2003-Domänen innerhalb einer Gesamtstruktur Durch das Neustrukturieren von Microsoft Windows Server 2003-Domänen innerhalb einer Windows Server 2003-Gesamtstruktur können Sie den Verwaltungsoverhead für Ihre Organisation durch Verringern des Replikationsverkehrs, Verringern des für die Verwaltung von Benutzern und Gruppen erforderlichen Aufwands und Vereinfachen der Verwaltung von Gruppenrichtlinien reduzieren. Der Vorgang des Neustrukturierens von Domänen innerhalb einer Windows Server 2003-Gesamtstruktur unterscheidet sich vom Vorgang des Neustrukturierens von Active Directory-Domänen zwischen Gesamtstrukturen und erfordert sorgfältige Planung und Tests. Verwandte Informationen in den Resource Kits Weitere Informationen zur logischen Struktur des Active Directory -Dienstes finden Sie unter "Entwerfen der logischen Struktur" in diesem Handbuch. Weitere Informationen zur Active Directory-Standorttopologie finden Sie unter "Entwerfen der Standorttopologie" in diesem Handbuch. Weitere Informationen zum Neustrukturieren von Microsoft Windows NT 4.0-Domänen zwischen Gesamtstrukturen finden Sie unter Upgrading Windows NT 4.0 Domains to a Windows Server 2003 Server in diesem Handbuch (englischsprachig). Neustrukturieren von Windows Server 2003-Domänen innerhalb einer Gesamtstruktur im Überblick Der effizienteste Active Directory-Entwurf enthält die kleinstmögliche Anzahl von Domänen. Indem Sie die Anzahl der Domänen minimieren, die mit den Betriebssystemen Microsoft Windows Server 2003 Standard Edition, Windows Server 2003 Enterprise Edition und Windows Server 2003 Datacenter Edition betrieben werden, können Sie die Verwaltungskosten verringern und die Effizienz Ihrer Organisation steigern. Sie müssen Domänen möglicherweise innerhalb der Windows Server 2003-Gesamtstruktur neu strukturieren, wenn die Organisation z. B. eine regionale Niederlassung schließt und die regionale Domäne, die für diesen Standort vorhanden ist, nicht mehr benötigt wird. Sie können Domänen innerhalb der Windows Server Gesamtstruktur auch dann neu strukturieren, wenn Sie die Netzwerkinfrastruktur aktualisieren und auf diese Weise die Bandbreiten- und Replikationskapazität erhöhen; in diesem Fall können Sie die Größe der logischen Active Directory-Struktur verringern. Der Vorgang der Neustrukturierung von Windows Server 2003-Domänen innerhalb einer Gesamtstruktur ähnelt dem Migrieren von Konten zwischen Domänen. Wenn Sie Konten und Ressourcen zwischen Domänen migrieren, migrieren Sie einfach Objekte aus der Quelldomäne in die Zieldomäne, ohne die Quelldomäne außer Betrieb zu nehmen. Wenn Sie Windows Server 2003-Domänen neu strukturieren, entfernen Sie die Quelldomäne aus der Gesamtstruktur, nachdem die Migration aller Domänenobjekte abgeschlossen wurde. Bevor Sie mit dem Neustrukturieren von Windows Server 2003-Domänen innerhalb einer Gesamtstruktur beginnen, müssen Sie sicherstellen, dass die Quell- und Zieldomänen auf der Funktionsebene Windows 2000-pur oder auf der Windows Server 2003-Domänenfunktionsebene betrieben werden. Das Neustrukturieren von Quelldomänen, die auf der Domänenfunktionsebene Windows 2000-gemischt betrieben werden (z. B. Quelldomänen mit Domänencontrollern, die Windows NT 4.0 ausführen), wird nicht empfohlen.

2 Nachdem Sie den Vorgang des Neustrukturierens von Windows Server 2003-Domänen innerhalb einer Gesamtstruktur abgeschlossen haben, können Sie den Overhead verringern und die Verwaltung Ihrer Organisation vereinfachen. Anmerkung Eine Liste der Aufgabenhilfen, die verfügbar sind, um Sie beim Neustrukturieren von Windows Server 2003-Domänen innerhalb einer Gesamtstruktur zu unterstützen, finden Sie weiter unten in diesem Kapitel unter "Weitere Ressourcen". Vorgehensweise beim Neustrukturieren von Windows Server Domänen innerhalb einer Gesamtstruktur Für das Neustrukturieren von Windows Server 2003-Domänen innerhalb einer Gesamtstruktur ist eine sorgfältige Planung und Vorbereitung erforderlich. Um den Benutzerzugriff auf Ressourcen während des Vorgangs der Neustrukturierung von Domänen zu ermöglichen, müssen die Migrationsschritte in einer bestimmten Reihenfolge durchgeführt werden. Abbildung 12.1 zeigt die Vorgehensweise beim Neustrukturieren von Windows Server 2003-Domänen innerhalb einer Gesamtstruktur. Abbildung 12.1 Neustrukturieren von Windows Server 2003-Domänen innerhalb einer Gesamtstruktur Hintergrundinformationen zum Neustrukturieren von Windows Server 2003-Domänen innerhalb einer Gesamtstruktur Das Neustrukturieren von Windows Server 2003-Domänen innerhalb einer Gesamtstruktur umfasst das Migrieren von Konten und Ressourcen aus den Quelldomänen in die Zieldomänen. Im Gegensatz zum Neustrukturieren von Windows Server 2003-Domänen zwischen Gesamtstrukturen sind die migrierten Objekte in der Quelldomäne nicht mehr vorhanden, wenn Sie Domänen innerhalb einer Gesamtstruktur neu strukturieren. Aus diesem Grund besteht die Herausforderung beim Neustrukturieren von Windows Server 2003-Domänen innerhalb einer Gesamtstruktur darin, dass gewährleistet werden muss, dass die Benutzer während des Migrationsvorgangs ständigen Zugriff auf die Ressourcen besitzen. ADMT-Tool Sie können das Active Directory-Migrationsprogramm (ADMT), Version 2, zum Migrieren von Konten verwenden, um Windows Server 2003-Domänen neu zu strukturieren. ADMT enthält Assistenten, die Sie zum Migrieren von Objekten wie z. B. Gruppen, Benutzern, Computern und Dienstkonten verwenden können. Diese Assistenten unterstützen Sie beim Durchführen der geeigneten Migration für jeden Objekttyp.

3 Sie können auch Tools von Drittanbietern zum Migrieren von Objekten verwenden. Wenn Sie ein Tool eines Drittanbieters verwenden, müssen Sie möglicherweise die zum Neustrukturieren von Windows Server Domänen erforderlichen Schritte anpassen. Geschlossene Sätze und offene Sätze Ein geschlossener Satz von Active Directory-Objekten enthält Benutzerkonten und alle Gruppen, zu denen die Benutzer gehören. Da globale Gruppen auf Mitglieder der Domäne beschränkt sind, in der die globale Gruppe erstellt wurde, ist ein Benutzer bei der Migration eines Benutzerkontos auf eine neue Domäne ohne gleichzeitige Migration der globalen Gruppen, zu denen der Benutzer gehört, kein gültiges Mitglied dieser globalen Gruppen und kann nicht auf Ressourcen basierend auf der Mitgliedschaft in diesen globalen Gruppen zugreifen. Wenn Sie Konten zwischen Domänen in einer Gesamtstruktur verschieben, ist es daher erforderlich, geschlossene Sätze zu verschieben, damit Benutzer weiterhin auf ihre Ressourcen zugreifen können. In kleinen Domänenumgebungen, die eine geringe Anzahl von globalen Gruppen aufweisen, können Sie möglicherweise geschlossene Sätze von Benutzern und Gruppen identifizieren. Wenn Sie geschlossene Sätze identifizieren können, können Sie Benutzer und Gruppen gleichzeitig migrieren. In einer großen Domänenumgebung kann ein Benutzer zu mehreren globalen Gruppen gehören, daher ist es schwierig, geschlossene Sätze zu identifizieren und nur geschlossene Sätze von Benutzern und Gruppen zu verschieben. Aus diesem Grund migrieren Sie am besten zuerst die Gruppen, bevor Sie Benutzerkonten migrieren. Benutzer_1 gehört z. B. zu den globalen Gruppen Global_A und Global_B und ist Mitglied von Domäne_1. Wenn ein Administrator Benutzer_1 und Global_A auf Domäne_2 verschiebt, sind diese Konten in Domäne_1 nicht mehr vorhanden, sondern nur noch in Domäne_2. Die Gruppe Global_B verbleibt in Domäne_1. Auf diese Weise wird ein offener Satz oder ein Satz erstellt, der Benutzer und Gruppen in mehreren Domänen enthält. Da globale Gruppen nur Mitglieder aus der Domäne enthalten können, in der die globale Gruppe vorhanden ist, ist die Mitgliedschaft von Benutzer_1 in Global_B nicht mehr gültig, und Benutzer_1 kann nicht mehr basierend auf der Mitgliedschaft in Global_B auf Ressourcen zugreifen. Wenn Sie geschlossene Sätze globaler Gruppen und Benutzer migrieren, entfernt ADMT alle Mitglieder aus der globalen Gruppe, migriert die globale Gruppe, migriert alle Benutzer und fügt dann die Benutzerkonten zur globalen Gruppe in der neuen Domäne hinzu. Wenn Sie einen offenen Satz von Objekten in eine Umgebung migrieren, in der die Funktionsebene für die Quell- und die Zieldomäne Windows 2000-pur ist, wandelt ADMT die globale Gruppe in eine universelle Gruppe um, damit sie Benutzer aus anderen Domänen enthalten und die Gruppenmitgliedschaft beibehalten kann. Wenn der Satz zu einem geschlossenen Satz wird, ändert ADMT die Gruppe erneut in eine globale Gruppe. Der Vorteil dieser Vorgehensweise besteht darin, dass ADMT alle Probleme im Zusammenhang mit geschlossenen Sätzen behandelt. Die Replikation des globalen Katalogs wird jedoch beeinträchtigt, während die Gruppen universelle Gruppen sind, da die Mitgliedschaft in den globalen Katalog kopiert wird. Anmerkung Wenn die Funktionsebene der Quelldomäne Windows 2000-gemischt ist, kann ADMT die globale Gruppe nicht in eine universelle Gruppe umwandeln, weil universelle Gruppen nicht auf dieser Funktionsebene vorhanden sein können. Aus diesem Grund erstellt ADMT eine Kopie der globalen Gruppe in der Zieldomäne und fügt alle migrierten Benutzer zur Kopie dieser Gruppe hinzu. Dieses Verfahren behält nur dann den Zugriff auf Ressourcen bei, wenn Sie den Sicherheitskonvertierungs-Assistenten von ADMT im Modus Hinzufügen zum Aktualisieren der Berechtigungen ausführen; dies verzögert und kompliziert den Migrationsvorgang. Aus diesem Grund wird nicht empfohlen, Domänen neu zu strukturieren, die auf der Funktionsebene Windows 2000-gemischt betrieben werden.

4 sidhistory Das Attribut sidhistory ermöglicht das Beibehalten des Benutzerzugriffs auf Ressourcen während der Neustrukturierung von Windows Server 2003-Domänen. Wenn Sie ein Objekt in eine andere Domäne migrieren, wird dem Objekt eine neue SID zugewiesen. Da Berechtigungen für Objekte basierend auf SIDs zugewiesen werden, verliert der Benutzer den Zugriff auf die betreffende Ressource, wenn sich die SID ändert, bis Sie die Berechtigungen erneut zuweisen. Wenn Sie das ADMT-Tool zum Migrieren von Objekten zwischen Domänen verwenden, können Sie wahlweise den SID-Verlauf beibehalten. Auf diese Weise verbleibt die SID aus der Quelldomäne als Attribut des Objekts, nachdem das Objekt in die Zieldomäne migriert wurde. Eine Organisation, die ihre Windows Server 2003-Domänen neu strukturiert, verschiebt z. B. universelle und globale Gruppen aus einer Quelldomäne auf die Zieldomäne, bevor die Benutzerkonten verschoben werden. Da es sich hierbei um eine Migration zwischen Gesamtstrukturen handelt und die Funktionsebene der Quelldomäne Windows 2000-pur ist, sind diese Gruppen in der Quelldomäne nicht mehr vorhanden und existieren nur noch in der Zieldomäne. Das sidhistory-attribut ermöglicht dem Benutzer auch weiterhin den Zugriff auf Ressourcen in der Quelldomäne basierend auf seiner Mitgliedschaft in einer Gruppe, die in der Zieldomäne vorhanden ist. Begriffe und Definitionen Migration Der Vorgang des Verschiebens eines Objekts aus einer Quell- in eine Zieldomäne, bei dem Merkmale des Objekts beibehalten oder geändert werden, um den Zugriff darauf in der neuen Domäne zu ermöglichen. Domänenneustrukturierung Ein Migrationsvorgang, der das Ändern der Domänenstruktur einer Gesamtstruktur umfasst. Eine Domänenneustrukturierung kann entweder aus dem Zusammenführen oder aus dem Hinzufügen von Domänen bestehen und zwischen Gesamtstrukturen oder innerhalb einer Gesamtstruktur vorgenommen werden. Domänenzusammenführung Ein Neustrukturierungsvorgang, der das Entfernen von Windows NT 4.0- oder Active Directory-Domänen durch Zusammenführen ihrer Inhalte mit den Inhalten anderer Domänen umfasst. Vorbereiten der Neustrukturierung von Windows Server Domänen innerhalb einer Gesamtstruktur Die sorgfältige Planung ist ein wichtiger Bestandteil des Vorgangs der Neustrukturierung von Windows Server 2003-Domänen. Das Durchführen der erforderlichen Vorbereitungen vor dem Neustrukturieren von Windows Server 2003-Domänen verringert die Auswirkungen, die das Migrieren von Objekten aus den Quell- in die Zieldomänen für Benutzer besitzt. Als Vorbereitung auf den Neustrukturierungsvorgang muss das Active Directory-Bereitstellungsteam sicherstellen, dass es die erforderlichen Entwurfsinformationen vom Active Directory-Entwurfsteam erhält. Abbildung 12.2 zeigt die Schritte, die für das Vorbereiten der Neustrukturierung von Windows Server Domänen innerhalb einer Gesamtstruktur erforderlich sind.

5 Abbildung 12.2 Vorbereiten der Neustrukturierung von Windows Server 2003-Domänen innerhalb einer Gesamtstruktur Entwerfen der neuen Struktur der Windows Server 2003-Gesamtstruktur Werten Sie die Domänenstruktur der vorhandenen Windows Server 2003-Gesamtstruktur aus, und identifizieren Sie die Domänen, die durch Zusammenführen mit anderen Domänen neu strukturiert werden sollen. Um die neue Struktur der Windows Server 2003-Gesamtstruktur zu entwerfen, müssen Sie die Quelldomäne identifizieren, aus der Objekte migriert werden sollen, sowie die Zieldomänen, in denen diese Objekte platziert werden sollen. Außerdem müssen Sie die Struktur der Zieldomäne auswerten. Identifizieren der Quell- und Zieldomänen Quelldomänen sind die Domänen, von denen Objekte migriert werden sollen und die außer Betrieb genommen werden sollen. Beim Neustrukturieren von Windows Server 2003-Domänen migrieren Sie am besten die kleinstmögliche Anzahl von Objekten. Ermitteln Sie daher beim Auswählen von Quelldomänen die Domänen, von denen die geringste Anzahl von Objekten migriert werden muss.

6 Bewerten der Organisationseinheitsstruktur der Zieldomäne Ermitteln Sie die Organisationseinheiten der Quelldomäne, die in der Zieldomäne benötigt werden, und stellen Sie außerdem fest, ob neue Organisationseinheiten in der Zieldomäne erstellt werden müssen. Sie können die ADMT-Assistenten nicht zum Migrieren von Organisationseinheiten verwenden. Wenn Sie die ADMT-Assistenten zum Migrieren von Objekten aus den Quell- in die Zieldomänen verwenden, müssen Sie die vorhandenen Organisationseinheiten in der Zieldomäne verwenden oder einen neuen Satz von Organisationseinheiten in der Zieldomäne erstellen, bevor Sie mit dem Migrationsvorgang beginnen. Die Skriptingschnittstelle für ADMT ermöglicht jedoch das Migrieren von Organisationseinheiten und Unterstrukturen von Organisationseinheiten. Weitere Informationen zum Verwenden von Skripts zum Migrieren von Organisationseinheiten finden Sie weiter unten in diesem Kapitel unter "Migrieren von Objekten zwischen Windows Server 2003-Domänen". Weitere Informationen zum Erstellen einer Organisationseinheitsstruktur finden Sie in diesem Handbuch unter "Entwerfen der logischen Active Directory-Struktur". Zuweisen von Domänenobjektrollen und -speicherorten Verwenden Sie eine Domänenobjekt-Zuweisungstabelle, um die Objektrollen und -speicherorte zu dokumentieren. Führen Sie in der Domänenobjekt-Zuweisungstabelle die Domänenobjekte auf, die in der Quelldomäne vorhanden sind, sowie ihre geplante Funktion und ihren Speicherort in der Zieldomäne. Ein Arbeitsblatt, das Sie beim Erstellen einer Domänenobjekt-Zuweisungstabelle unterstützt, finden Sie unter "Domain Object Assignment Table" (DSSRERA_1.doc) auf der Begleit-CD zum Microsoft Windows Server 2003 Deployment Kit, oder lesen Sie "Domain Object Assignment Table" im Web unter der Adresse (englischsprachig). Contoso plant z. B. die Migration der Domänenobjekte der Domäne Africa auf die Domäne EMEA. Das Entwurfsteam erstellt eine Domänenobjekt-Zuweisungstabelle, die alle Gruppen, Benutzer und Computer enthält, die aus der Domäne Africa in die Domäne EMEA migriert werden müssen. Die ausgefüllte Tabelle ermöglicht der Organisation das Einschätzen des Arbeitsaufwands und der benötigten Zeit für die Migration der Domäne Africa. Abbildung 12.3 zeigt die Domänenobjekt-Zuweisungstabelle, die Contoso erstellt hat.

7 Abbildung 12.3 Beispiel für eine Domänenobjekt-Zuweisungstabelle Planen der Gruppenmigration Wenn Sie Windows Server 2003-Domänen innerhalb einer Gesamtstruktur neu strukturieren, müssen Sie Gruppen und Benutzer separat migrieren, um sicherzustellen, dass Benutzer auch weiterhin Zugriff auf benötigte Ressourcen haben. Tabelle 12.1 listet alle Gruppentypen sowie den physischen Speicherort der einzelnen Gruppen auf. Tabelle 12.1 Speicherort der einzelnen Gruppentypen Gruppentyp Universelle Gruppe Active Directory Speicherort Lokale Computergruppe Datenbank des lokalen Computers Domänenlokale Gruppe Active Directory Globale Gruppe Active Directory

8 Jeder Gruppentyp wird basierend auf dem physischen Speicherort der Gruppe und ihrer Regeln für Gruppenmitgliedschaft auf andere Weise migriert. Lokale Computergruppen sind z. B. in der lokalen Datenbank eines Clientcomputers gespeichert. Diese Gruppen werden bei der Migration des Computers automatisch migriert. Domänenlokale Gruppen hingegen werden in Active Directory erstellt, können jedoch auf Mitgliedsservern verwendet werden. Gruppen, die in Active Directory gespeichert sind, müssen separat migriert werden. Jeder Gruppentyp besitzt andere Regeln für die Mitgliedschaft und dient einem anderen Zweck. Dies wirkt sich auf die Reihenfolge aus, in der Gruppen aus der Quelldomäne in die Zieldomäne migriert werden. Universelle Gruppen Universelle Gruppen können Mitglieder aus beliebigen Domänen enthalten und werden in den globalen Katalog repliziert. Aus diesem Grund können sie als administrative Gruppen verwendet werden. Migrieren Sie beim Neustrukturieren von Domänen universelle Gruppen zuerst. Globale Gruppen Globale Gruppen können nur Mitglieder aus der Domäne enthalten, zu der sie gehören. ADMT ändert automatisch die globale Gruppe in der Quelldomäne in eine universelle Gruppe, wenn sie auf die Zieldomäne verschoben wird, sofern die Funktionsebene beider Domänen Windows 2000-pur ist. Da universelle Gruppen ihre Mitgliedschaft in den globalen Katalog replizieren, ändern Sie universelle Gruppen am besten wieder in globale Gruppen, nachdem die Migration abgeschlossen ist. ADMT ändert universelle Gruppen automatisch zurück in globale Gruppen, nachdem alle Mitglieder der Gruppe in die Zieldomäne migriert wurden. Domänenlokale Gruppen Domänenlokale Gruppen können Benutzer aus beliebigen Domänen enthalten. Sie werden zum Zuweisen von Berechtigungen zu Ressourcen verwendet. Beim Neustrukturieren von Domänen müssen Sie domänenlokale Gruppen migrieren, wenn Sie die Ressourcen migrieren, auf die sie den Zugriff erteilen. Auf diese Weise wird die Unterbrechung des Benutzerzugriffs auf Ressourcen minimiert. Planen der Dienstkontomigration Die meisten Anwendungen werden im Kontext des lokalen Systemkontos ausgeführt. Dieses Konto wird automatisch migriert, wenn Sie einen Server aus der Quell- auf die Zieldomäne verschieben; aus diesem Grund müssen Sie keine Änderungen an den Diensten vornehmen, die das lokale Systemkonto verwenden, damit die Dienste in der Zieldomäne funktionieren. Einige Dienste werden jedoch im Kontext eines Benutzerkontos statt des lokalen Systemkontos ausgeführt. Der Vorgang des Identifizierens, Migrierens und Aktualisierens von Diensten, die im Kontext von Benutzerkonten ausgeführt werden, umfasst drei Schritte. Starten Sie zuerst ADMT auf einem Windows Server 2003-Domänencontroller in der Zieldomäne, und führen Sie den Assistenten zum Migrieren von Dienstkonten aus. Der Assistent zum Migrieren von Dienstkonten sendet einen Agenten an einen Computer, den Sie im Assistenten angeben, und identifiziert alle Dienste auf dem Computer, die im Kontext eines Benutzerkontos ausgeführt werden. Der Assistent identifiziert nur Dienstkonten, die im Kontext eines Benutzerkontos ausgeführt werden; er migriert diese Konten nicht tatsächlich. Der nächste Schritt, der später im Migrationsvorgang erfolgen kann, besteht im Migrieren der Konten, wenn Sie andere Benutzerkonten migrieren, indem der Assistent zum Migrieren von Benutzerkonten verwendet wird. Der letzte Schritt besteht im Ausführen des Sicherheitskonvertierungs-Assistenten zum Aktualisieren des Dienstes. Weitere Informationen zum Installieren und Initialisieren von ADMT finden Sie weiter unten in diesem Kapitel unter "Installieren von ADMT". Der Assistent zum Migrieren von Dienstkonten überprüft jeden Dienst auf einem Computer, um Dienste zu identifizieren, die im Kontext eines Benutzerkontos ausgeführt werden. Das Ausführen des Assistenten zum Migrieren von Dienstkonten auf jedem Computer in der Domäne stellt jedoch keine effiziente Verwendung von Ressourcen dar. Ein geeigneteres Verfahren zum Identifizieren von Diensten in Ihrer Umgebung, die im Kontext

9 eines Benutzerkontos ausgeführt werden, besteht im Erstellen einer Liste von Computern in der Organisation, die Dienste ausführen können; auf diese Weise werden Computer wie z. B. Clientcomputer ausgeschlossen, die keine Dienste ausführen. Führen Sie anschließend den Assistenten zum Migrieren von Dienstkonten nur auf der geringeren Anzahl von Computern in der Domäne aus, die als mögliche Hosts für Dienste identifiziert wurden. Wenn die Konten, die der Assistent zum Migrieren von Dienstkonten in der ADMT-Datenbank als im Kontext eines Benutzerkontos ausgeführt erkannt hat, in die Zieldomäne migriert werden, konfiguriert ADMT diese Konten für die Ausführung als Dienst. So führen Sie den Assistenten zum Migrieren von Dienstkonten aus: 1. Öffnen Sie in ADMT den Assistenten zum Migrieren von Dienstkonten. 2. Führen Sie den Assistenten aus, indem Sie die Informationen in Tabelle 12.2 verwenden. Tabelle 12.2 Verwenden des Assistenten zum Migrieren von Dienstkonten Domänenauswahl Informationen aktualisieren Computer auswählen Dienstkontoauswahl Geben Sie den NetBIOS- oder DNS-Namen der Quelldomäne im Feld Quelldomäne ein, oder wählen Sie diesen aus. Geben Sie den NetBIOS- oder DNS-Namen der Zieldomäne im Feld Zieldomäne ein, oder wählen Sie diesen aus. Wählen Sie Ja, Informationen aktualisieren aus. Wählen Sie Servernamen (wobei Servernamen die Liste aller Server ist, die über Dienstkonten verfügen) im Listenfeld Computer auswählen aus. Klicken Sie auf Hinzufügen, und klicken Sie dann auf OK. Wählen Sie die Benutzerkonten aus, die nicht als Dienstkonten in der ADMT-Datenbank markiert werden müssen, und klicken Sie dann auf Überspringen/Einbeziehen, um sie für den Status Überspringen zu markieren. Der Assistent stellt eine Verbindung zu den ausgewählten Computern her und sendet einen Agenten, um alle Dienste auf den Remotecomputern zu überprüfen. Die Seite Dienstkontoinformationen listet die Dienste auf, die im Kontext eines Benutzerkontos ausgeführt werden, sowie den Namen des betreffenden Benutzerkontos. ADMT markiert diese Benutzerkonten in der ADMT-Datenbank für die Migration als Dienstkonten. Wenn Sie nicht wünschen, dass ein Benutzerkonto als Dienstkonto migriert wird, wählen Sie das Konto aus, und klicken Sie dann auf Überspringen/Einbeziehen, um den Status von Einbeziehen auf Überspringen zu ändern. Wenn Sie den Assistenten zum Migrieren von Dienstkonten erstmals ausführen, ist die Schaltfläche SCM aktualisieren nicht verfügbar. Die Schaltfläche SCM aktualisieren wird nur benötigt, wenn ein Agent beim ersten Ausführen des Assistenten keine Verbindung mit einem Computer herstellen kann. Wenn Sie den Assistenten zum Migrieren von Dienstkonten zuvor bereits ausgeführt haben und die Schaltfläche SCM aktualisieren trotzdem nicht verfügbar ist, untersuchen Sie die ADMT-Protokolldateien, um die Ursache des Problems zu ermitteln. Wenn Sie das Problem behoben haben und der Agent erfolgreich eine Verbindung herstellen kann, ist die Schaltfläche SCM aktualisieren verfügbar. Klicken Sie auf SCM aktualisieren, um den Dienststeuerungs-Manager mit den neuen Informationen zu aktualisieren. Bevor Sie auf der Seite Dienstkontoinformationen auf Weiter klicken, stellen Sie sicher, dass keines der aufgelisteten Konten ein UPN (User Principal Name oder Benutzerprinzipalname) ist z. B. Dieser Eintrag zeigt an, dass ein Dienst in einer Domäne im Kontext eines Benutzerkontos ausgeführt wird, das zu einer anderen Domäne gehört. Der Assistent zum Migrieren von Benutzerkonten kann keine Benutzerkonten migrieren, die als UPN aufgelistet werden. Notieren Sie sich das Konto und die Domäne, zu der das Konto gehört. Damit ADMT das Konto migrieren kann, müssen Sie den Assistenten zum Migrieren von Dienstkonten ausführen und die Domäne des Benutzerkontos als Quelldomäne angeben.

10 Planen von Testmigrationen Da das Migrieren von Konten zwischen Domänen innerhalb einer Gesamtstruktur ein irreversibler Vorgang ist und kein Pilotprojekt für das Neustrukturieren von Windows Server 2003-Domänen erstellt werden kann, testen und überprüfen Sie die Verfahren, bevor Sie beginnen. Verwenden Sie ein Testlabor, das die Produktionsumgebung simuliert, um den Migrationsvorgang zu testen und Probleme zu erkennen, bevor Sie mit der Neustrukturierung von Windows Server 2003-Domänen beginnen. Fahren Sie mit dem Testen des Migrationsvorgangs fort, bis Sie so viele Fehler wie möglich behoben haben. Testen Sie nach jedem Migrationsschritt unbedingt den Benutzerzugriff auf Ressourcen. Wenn Benutzer während des Migrationsprozesses keinen Zugriff auf Ressourcen haben, ist die Migration nicht erfolgreich. Weitere Informationen zum Einrichten einer Testmigration finden Sie in diesem Handbuch unter Upgrading Windows NT 4.0 Domains to a Windows Server 2003 Server (englischsprachig). Erstellen eines Fallbackplans Nachdem Sie mit dem Migrationsvorgang begonnen haben, können Sie kein Rollback der Änderungen durchführen, die Sie an den Domänen in der Windows Server 2003-Gesamtstruktur vornehmen. Da die Konten migriert und nicht aus einer Domäne in eine andere Domäne kopiert werden, wenn Sie Domänen neu strukturieren, sind die Änderungen irreversibel. Wenn Sie Ihre Pläne ändern, nachdem Sie den Migrationsvorgang begonnen haben, besteht die einzige Möglichkeit der Wiederherstellung des ursprünglichen Zustands der Quelldomänen im erneuten Migrieren der Konten. Erstellen Sie einen Fallbackplan für den Fall, dass Sie Konten erneut migrieren müssen, nachdem Sie bereits mit der Neustrukturierung der Domänen begonnen haben. Um einen Fallbackplan zu erstellen, wählen Sie die Methode aus, die Sie zum erneuten Migrieren von Konten verwenden. Sie können die ADMT-Assistenten zum erneuten Migrieren von Konten aus der Zieldomäne in die Quelldomäne verwenden. In diesem Fall wird die ursprüngliche Zieldomäne die neue Quelldomäne, und die ursprüngliche Quelldomäne wird zur neuen Zieldomäne. Führen Sie im Assistenten die gleichen Schritte durch, die Sie zuvor zum Migrieren der Konten verwendet haben. Eine weitere Option zum erneuten Migrieren von Konten ist die Verwendung des Assistenten zum Rückgängigmachen der Migration in ADMT. Der Assistent zum Rückgängigmachen der Migration verwendet weniger Schritte als die anderen ADMT-Assistenten, um Konten erneut in ihre ursprüngliche Domäne zu migrieren. Der Assistent zum Rückgängigmachen der Migration migriert jedoch nur Konten erneut, die ursprünglich von den Assistenten zum Migrieren von Benutzerkonten, Gruppenkonten und Dienstkonten migriert wurden. Er macht keine Änderungen rückgängig, die vom Sicherheitskonvertierungs-Assistenten vorgenommen wurden. Wenn Sie Skripts zum Durchführen der ursprünglichen Migration verwenden, ist das Verwenden von Skripts für die erneute Migration von Konten die schnellste Methode, um die Änderungen rückgängig zu machen. Vertauschen Sie die Objekte im Skript einfach, die für die Quell- und Zieldomänen verwendet werden, um die Objekte erneut zu migrieren. Anmerkung Wenn die Funktionsebene der ursprünglichen Quelldomäne Windows 2000-gemischt ist, können Sie keine Rollbackmethode zum Rückgängigmachen der Änderungen und erneuten Migrieren der Konten in die Quelldomäne verwenden. Für eine erneute Migration ist es erforderlich, dass die ursprüngliche Quelldomäne zur Zieldomäne wird, und die Funktionsebene der Zieldomäne muss Windows 2000-pur oder Windows Server 2003 sein. Nachdem Sie den Fallbackplan erstellt haben, müssen Sie diesen testen und Probleme erkennen und beheben, bevor Sie mit der Neustrukturierung von Windows Server 2003-Domänen beginnen.

11 Erstellen eines Benutzerkontos Sie müssen über bestimmte Rechte verfügen, um mithilfe von ADMT Migrationen durchführen zu können. Sie können ein bereits vorhandenes Administratorkonto zum Durchführen der Migration verwenden; es ist jedoch sicherer, ein Konto zu erstellen, das eigens für die Migration verwendet wird. Wenn Sie ein separates Benutzerkonto zum Durchführen der Migration erstellen, weisen Sie dem Konto nur die Rechte zu, die zum Durchführen der Migration erforderlich sind. Wenn verschiedene Ressourcen Benutzer und Computer migrieren, erstellen Sie mindestens zwei verschiedene Benutzerkonten für die Migrationen. Wenn Sie z. B. Benutzer an einem zentralen Standort, Arbeitsstationen und Mitgliedsserver jedoch in einer Zweigstelle oder an einem Remotestandort migrieren, müssen dem Verwaltungspersonal der Zweigstelle oder des Remotestandorts nur die lokalen Rechte zugewiesen werden, die für das Migrieren der Arbeitsstationen und Mitgliedsserver erforderlich sind; dieses Personal benötigt keine Domänenrechte. Dem Benutzerkonto, das Sie zum Durchführen der Migration verwenden, müssen die folgenden Rechte zugewiesen werden: Administratorrechte in der Quelldomäne. Das delegierte Recht zum Erstellen von Benutzerkonten in der Zieldomäne. Lokale Administratorrechte auf allen Computern, die migriert werden sollen. Lokale Administratorrechte auf allen Computern, deren Sicherheit konvertiert wird. Installieren von ADMT Wenn Sie ADMT in Ihrer Umgebung noch nicht installiert und initialisiert haben, müssen Sie ADMT auf einem Domänencontroller in der Zieldomäne installieren und ausführen. So installieren Sie ADMT in der Zieldomäne: 1. Melden Sie sich unter Verwendung des ADMT-Migrationskontos bei einem Domänencontroller in der Zieldomäne an. 2. Legen Sie die Windows Server 2003-Betriebssystem-CD in das CD-ROM-Laufwerk ein, und wechseln Sie dann zum Ordner \i386\admt. 3. Führen Sie admt.exe aus. Initialisieren Sie ADMT, indem Sie eine Testmigration der globalen Gruppen durchführen. Wenn Sie ADMT erstmals ausführen, erstellt ADMT automatisch für die interne Überwachung eine neue lokale Gruppe Quelldomäne$$$ in der Quelldomäne. Versuchen Sie nicht, dieser Gruppe Mitglieder hinzuzufügen. ADMT konfiguriert das System außerdem während der Initialisierung für die Überwachung, wenn dies nicht bereits geschehen ist. ADMT legt automatisch den folgenden Registrierungswert fest, wenn dieser nicht bereits festgelegt wurde: HKEY_LOCAL_MACHINE System CurrentControlSet Control Lsa TcpipClientSupport:REG_DWORD:0X1 Das Festlegen dieses Wertes ermöglicht RPCs (Remote Procedure Calls) über den TCP-Transport bei gleichzeitiger Wahrung der Sicherheit des Systems. So initialisieren Sie ADMT, indem Sie eine Testmigration der globalen Gruppen durchführen: 1. Wählen Sie in der Konsole Active Directory-Migrationsprogramm im Menü Extras die Option Assistent zum Migrieren von Gruppenkonten aus. 2. Führen Sie den Assistenten zum Migrieren von Gruppenkonten aus, indem Sie die Informationen verwenden, die in Tabelle 12.3 zur Verfügung gestellt werden. Übernehmen Sie die Standardeinstellungen, wenn keine Informationen angegeben werden.

12 Tabelle 12.3 Migrieren globaler Gruppen mit dem Assistenten zum Migrieren von Gruppenkonten Testen oder Änderungen vornehmen Domänenauswahl Gruppenauswahl Auswahl der Organisationseinheit Gruppenoptionen Benutzerkonto Namenskonflikte Wählen Sie Die Migrationseinstellungen testen und später migrieren aus. Geben Sie den Namen der Quelldomäne im Feld Quelldomäne ein. Geben Sie den Namen der Zieldomäne im Feld Zieldomäne ein. Klicken Sie auf Hinzufügen. Wählen Sie im Dialogfeld Gruppen auswählen alle Gruppen (mit Ausnahme integrierter Gruppen) aus. Klicken Sie auf Durchsuchen. Navigieren Sie im Dialogfeld Container suchen zur Organisationseinheit Benutzer. Aktivieren Sie das Kontrollkästchen Gruppen-SIDs zur Zieldomäne migrieren. Klicken Sie auf Konten nicht umbenennen. Geben Sie den Namen und das Kennwort des Migrationskontos ein, das Sie zum Migrieren von Konten erstellt haben. Geben Sie den NetBIOS-Namen der Zieldomäne im Feld Domäne ein. Klicken Sie auf In Konflikt stehende Konten ignorieren und nicht migrieren. 3. Nachdem der Assistent auf allen Computern ausgeführt wurde, klicken Sie auf Protokoll anzeigen, und überprüfen Sie das Migrationsprotokoll dann auf Fehler. 4. Vergewissern Sie sich, dass die Testmigration ADMT einwandfrei konfiguriert hat, indem Sie Folgendes sicherstellen: Eine neue lokale Gruppe Kontodomäne$$$ ist in der Quelldomäne vorhanden. Dieses Konto unterstützt interne ADMT-Überwachung. Der folgende Registrierungsschlüssel wurde auf dem PDC der Quelldomäne erstellt: HKLM\System\CCS\Control\Lsa\TcpipClientSupport:REG_DWORD = 0x01 Die Überwachungsrichtlinie für Kontenverwaltung wurde auf der Zieldomäne aktiviert.

13 Beispiel: Vorbereiten der Neustrukturierung von Windows Server Domänen Contoso Corporation hat die Hardware aktualisiert, um die Netzwerkbandbreite zu vergrößern und ein größeres Volumen an Replikationsverkehr unterstützen zu können. Als Ergebnis führt das Unternehmen die Domäne Africa mit der Domäne EMEA zusammen. Die Domäne Africa ist die Quelldomäne, die Domäne EMEA die Zieldomäne für die Migration. Die Organisation muss insgesamt 1800 Benutzer aus der Domäne Africa in die Domäne EMEA migrieren. Neben den Benutzerkonten müssen auch Ressourcen wie z. B. Arbeitsstationen, Server und Gruppen migriert werden. Da Contoso Corporation eine große Organisation mit vielen globalen Gruppen ist, sind geschlossene Sätze schwer zu identifizieren; das Unternehmen hat sich daher entschieden, globale Gruppen als universelle Gruppen zu migrieren. Diese Vorgehensweise ist möglich, da die Infrastruktur des Unternehmens die erhöhte Replikation der universellen Gruppen verarbeiten kann und die Domänen Africa und EMEA auf der Funktionsebene Windows 2000-pur betrieben werden. Das Unternehmen hat identische Organisationseinheitsstrukturen in den Domänen Africa und EMEA erstellt; das Erstellen einer neuen Organisationseinheitsstruktur oder das Verschieben von Organisationseinheiten ist daher nicht erforderlich. Contoso Corporation hat eine Liste der Computer erstellt, die Dienstkonten ausführen, damit der Assistent zum Migrieren von Dienstkonten zum Identifizieren der Dienste verwendet werden kann, die im Kontext von Benutzerkonten ausgeführt werden. Das Unternehmen hat die meisten Bedenken hinsichtlich einer Gruppe von Konten, die für eine firmeneigene SQL-Datenbank eingerichtet wurden. Der Zugriff auf diese Datenbank ist geschäftskritisch. Das Unternehmen hat sich entschieden, ADMT als Migrationstool zu verwenden und die Assistenten einzusetzen. Der Fallbackplan sieht die Verwendung des Assistenten zum Rückgängigmachen der Migration vor, da Konten nur von den Assistenten zum Migrieren von Benutzerkonten, Gruppenkonten und Dienstkonten migriert werden. Das Unternehmen installiert ADMT und erstellt zwei Benutzerkonten, die für den Migrationsvorgang verwendet werden. Dem ersten Benutzerkonto werden Berechtigungen auf hoher Ebene zugewiesen; das zentralisierte Bereitstellungsteam verwendet dieses Konto zum Migrieren von Benutzern. Dem zweiten Konto werden Berechtigungen für Arbeitsstationen und lokale Ressourcen zugewiesen; das Bereitstellungsteam wird dieses Konto zum Migrieren von Ressourcen an den Remotestandorten verwenden.

14 Migrieren von Objekten zwischen Windows Server Domänen Das Neustrukturieren von Windows Server 2003-Domänen innerhalb einer Gesamtstruktur umfasst das Migrieren von Domänenobjekten in einer bestimmten Reihenfolge, damit sichergestellt ist, dass der Zugriff auf Ressourcen für Benutzer erhalten bleibt. Abbildung 12.4 zeigt die Vorgehensweise beim Neustrukturieren von Windows Server 2003-Domänen innerhalb einer Gesamtstruktur. Abbildung 12.4 Neustrukturieren von Windows Server 2003-Domänen innerhalb einer Gesamtstruktur Migrieren von Gruppen Beim Neustrukturieren von Domänen innerhalb einer Windows Server 2003-Gesamtstruktur migrieren Sie Gruppen, bevor Sie die Benutzerkonten migrieren, die Mitglieder dieser Gruppen sind, um das System vor dem Problem offener Sätze zu schützen. Migrieren Sie universelle Gruppen zuerst, gefolgt von globalen Gruppen. Migrieren Sie lokale Gruppen der Domäne, wenn Sie die Ressourcen (Domänencontroller und Mitgliedsserver) migrieren, für die sie verwendet werden, um Berechtigungen zu erteilen. Lokale Computergruppen werden bei der Migration des Computers automatisch migriert. Migrieren universeller Gruppen Migrieren Sie universelle Gruppen ohne ihre Mitglieder aus der Quelldomäne in die Zieldomäne. Das Migrieren universeller Gruppen ohne Mitglieder schützt vor dem Problem offener Sätze. Durch das Attribut sidhistory besitzen Gruppenmitglieder auch weiterhin Zugriff auf Ressourcen basierend auf der Mitgliedschaft in der universellen Gruppe. Wenn Sie universelle Gruppen in die Zieldomäne migrieren, sind sie in der Quelldomäne nicht mehr vorhanden. So migrieren Sie universelle Gruppen ohne Mitglieder: 1. Führen Sie den Assistenten zum Migrieren von Gruppenkonten aus, indem Sie die Informationen verwenden, die in Tabelle 12.4 zur Verfügung gestellt werden.

15 Tabelle 12.4 Verwenden des Assistenten zum Migrieren von Gruppenkonten für die Migration universeller Gruppen Testen oder Änderungen vornehmen Domänenauswahl Wählen Sie Jetzt migrieren aus. Geben Sie den NetBIOS- oder DNS-Namen der Quelldomäne im Feld Quelldomäne ein, oder wählen Sie den Namen aus der Liste aus. Geben Sie den NetBIOS- oder DNS-Namen der Zieldomäne im Feld Zieldomäne ein. Gruppenauswahl Wenn ADMT die Namen der Quell- und Zieldomänen enthält, stellen Sie sicher, dass diese richtig sind. Klicken Sie auf Hinzufügen. Auswahl der Organisationseinheit Wählen Sie im Dialogfeld Gruppen auswählen alle universellen Gruppen aus, die migriert werden sollen, und klicken Sie auf Hinzufügen und dann auf OK. Geben Sie den Namen der Organisationseinheit ein, oder klicken Sie auf Durchsuchen. Benutzerkonto Gruppenoptionen Suchen Sie im Dialogfeld Container suchen den Container in der Zieldomäne, in den die universelle Gruppe verschoben werden soll, und klicken Sie dann auf OK. Geben Sie Informationen für Benutzername, Kennwort und Domäne eines Kontos ein, das über Administratorrechte in der Quelldomäne verfügt. Die Kontrollkästchen Gruppen-SIDs zur Zieldomäne migrieren und Gruppenmitgliedschaften der Benutzer korrigieren sind aktiviert und werden grau angezeigt. Wählen Sie Konten nicht umbenennen aus. Namenskonflikte Stellen Sie sicher, dass aller anderen Optionen deaktiviert sind. Wählen Sie In Konflikt stehende Konten ignorieren und nicht migrieren aus. Anmerkung Wenn Sie eine kleine Anzahl universeller Gruppen migrieren, können Sie universelle Gruppen gleichzeitig mit globalen Gruppen migrieren. Migrieren globaler Gruppen Migrieren Sie globale Gruppen ohne ihre Mitglieder aus der Quelldomäne in die Zieldomäne, um das Problem offener Sätze zu umgehen. Globale Gruppen in einer Quelldomäne, die die Funktionsebene Windows 2000-pur besitzt, sind in der Quelldomäne nicht mehr vorhanden, nachdem sie in die Zieldomäne migriert wurden. Da globale Gruppen nur Mitglieder aus ihrer eigenen Domäne enthalten, können sie nicht von einer Domäne auf eine andere migriert werden. ADMT ändert globale Gruppen bei der Migration in universelle Gruppen. Die universelle Gruppe in der Zieldomäne behält das sidhistory-attribut der globalen Gruppe in der Quelldomäne bei, wodurch Benutzer auch weiterhin auf Ressourcen in der Quelldomäne zugreifen können, nachdem die globalen Gruppen migriert wurden. ADMT ändert universelle Gruppen erneut in globale Gruppen, nachdem alle Mitglieder der globalen Gruppe aus der Quelldomäne in die Zieldomäne migriert wurden. Sie können keine integrierten Gruppen in die Migration einschließen. Integrierte Gruppen sind in der Zieldomäne bereits vorhanden. Wenn eine integrierte globale Gruppe für die Migration ausgewählt wird, migriert ADMT diese nicht. ADMT fügt stattdessen eine Anmerkung in das Protokoll ein und fährt mit der Migration anderer globaler Gruppen fort.

16 Das Verfahren zum Verwenden des Assistenten zum Migrieren von Gruppenkonten für das Migrieren globaler Gruppen ist das gleiche wie für das Migrieren universeller Gruppen. Weitere Informationen zum Verfahren zum Migrieren globaler und universeller Gruppen finden Sie weiter oben in diesem Kapitel unter "Migrieren universeller Gruppen". Nachdem Sie den Migrationsvorgang für globale Gruppen abgeschlossen haben, verwenden Sie Active Directory-Benutzer und -Computer, um zu überprüfen, ob die globalen Gruppen erfolgreich migriert wurden. Vergewissern Sie sich, dass die globalen Gruppen in der Quelldomäne nicht mehr vorhanden sind und dass die Gruppen in der Zieldomäne in der Organisationseinheit angezeigt werden, die Sie während des Migrationsvorgangs angegeben haben. Die globalen Gruppen werden als universelle Gruppen in der Zieldomäne aufgelistet. Um eine Liste der Mitglieder der universellen Gruppe anzuzeigen, klicken Sie mit der rechten Maustaste auf die Gruppe, und klicken Sie auf Eigenschaften und dann auf die Registerkarte Mitglieder. Die ursprünglichen Mitglieder der globalen Gruppe werden aufgelistet. Beachten Sie jedoch, dass die Benutzerkonten noch nicht migriert wurden. Anmerkung Da universelle Gruppen in den globalen Katalog repliziert werden, kann sich das Umwandeln globaler Gruppen in universelle Gruppen negativ auf den Replikationsverkehr auswirken. Wenn die Domäne auf der Funktionsebene Windows Server 2003 betrieben wird, sind diese Auswirkungen geringer, da nur Änderungen der Mitgliedschaft in der universellen Gruppe repliziert werden. Wenn die Domäne jedoch nicht auf der Funktionsebene Windows Server 2003 betrieben wird, wird die gesamte Gruppenmitgliedschaft bei jeder Änderung der Mitgliedschaft repliziert. Migrieren von Dienstkonten Das Migrieren von Dienstkonten umfasst die folgenden beiden Schritte: Migrieren der Dienstkonten mit dem Assistenten zum Migrieren von Benutzerkonten in die Zieldomäne. Aktualisieren der Dienste mit dem Sicherheitskonvertierungs-Assistenten in ADMT. Migrieren von Dienstkonten in die Zieldomäne Dienstkonten werden während der Planungsphase einer Migration innerhalb einer Gesamtstruktur durch Verwenden des Assistenten zum Migrieren von Dienstkonten identifiziert. Dieser Assistent markiert die Konten in der ADMT-Datenbank als Dienstkonten. Verwenden Sie den Assistenten zum Migrieren von Benutzerkonten zum Migrieren dieser Dienstkonten. So migrieren Sie Dienstkonten in die Zieldomäne: 1. Führen Sie den Assistenten zum Migrieren von Benutzerkonten aus, indem Sie die Informationen verwenden, die in Tabelle 12.5 zur Verfügung gestellt werden. Tabelle 12.5 Verwenden des Assistenten zum Migrieren von Benutzerkonten, um Dienstkonten zu verschieben Testen oder Änderungen vornehmen Domänenauswahl Klicken Sie auf Jetzt migrieren. Geben Sie den Namen der Quelldomäne im Feld Quelldomäne ein, oder wählen Sie den Namen aus. Geben Sie den Namen der Zieldomäne im Feld Zieldomäne ein, oder wählen Sie den Namen aus.

17 Benutzerauswahl Klicken Sie auf Hinzufügen. Wählen Sie im Dialogfeld Benutzer auswählen alle Dienstkonten aus, die vom Assistenten zum Migrieren von Dienstkonten identifiziert wurden, und klicken Sie dann auf Hinzufügen. Standardmäßig fügt der Assistent die Dienstkonten zur Organisationseinheit Benutzer hinzu. Wenn Sie die Organisationseinheit ändern müssen, klicken Sie auf die Schaltfläche für den Speicherort, und suchen Sie dann die Organisationseinheit, die die Dienstkonten enthält. Auswahl der Organisationseinheit Benutzerkonto Optionen für die Kontoaktualisierung Benutzeroptionen Klicken Sie auf OK. Klicken Sie auf Durchsuchen. Navigieren Sie im Dialogfeld Container suchen zur Quelldomäne, wählen Sie den Container für die Dienstkonten aus, und klicken Sie dann auf OK. Geben Sie den Benutzernamen, das Kennwort und die Domäne eines Benutzerkontos ein, das über Administratorrechte verfügt. Klicken Sie auf Quellkonten deaktivieren. Aktivieren Sie das Kontrollkästchen Benutzer-SIDs zur Zieldomäne migrieren. Aktivieren Sie das Kontrollkästchen Benutzerrechte aktualisieren. Stellen Sie sicher, dass Konten nicht umbenennen ausgewählt ist. Namenskonflikte Dienstkontoinformationen Stellen Sie sicher, dass keine weiteren Einstellungen ausgewählt sind, einschließlich der Option Zugeordnete Benutzergruppen migrieren. Es wird eine Warnmeldung angezeigt, die Sie informiert, dass Benutzer den Zugriff auf Ressourcen verlieren, wenn die globalen Gruppen, zu denen die Benutzerkonten gehören, nicht ebenfalls migriert werden. Klicken Sie auf OK, um mit der Migration fortzufahren. Wählen Sie In Konflikt stehende Konten ignorieren und nicht migrieren aus. Wählen Sie Alle Dienstkonten migrieren und SCM für einbezogene Elemente aktualisieren. Wenn Sie auch andere Benutzerkonten migrieren, die keine Dienstkonten sind, informiert Sie diese, dass Sie einige Konten ausgewählt haben, die in der ADMT-Datenbank als Dienstkonten markiert sind. Standardmäßig sind diese Konten für Einbeziehen markiert. Um den Status des Kontos zu ändern, wählen Sie das Konto aus und klicken dann auf die Schaltfläche Überspringen/Einbeziehen. Klicken Sie auf Weiter, um die Konten zu migrieren. Ein Dialogfeld Migrationsstatus informiert Sie über den aktuellen Status der Migration. Während dieser Zeit verschiebt ADMT die Konten in die Zieldomäne, generiert ein neues Kennwort für die Konten, weist den Konten das Recht Als Dienst anmelden zu und stellt diese neuen Informationen den Diensten zur Verfügung, die die Konten verwenden. Wenn der Status im Dialogfeld Migrationsstatus als abgeschlossen angezeigt wird, können Sie mit der restlichen Migration innerhalb der Gesamtstruktur fortfahren. Bevor die Migration der Dienstkonten abgeschlossen ist, müssen Benutzer möglicherweise mit Unterbrechungen rechnen, wenn sie diese Dienste verwenden.

18 Aktualisieren von Dienstkonten Nachdem Sie Dienstkonten in die Zieldomäne migriert haben, führen Sie den Sicherheitskonvertierungs- Assistenten aus, um das Konto zu aktualisieren und das Kennwort des Kontos zu ändern. So aktualisieren Sie Dienstkonten: 1. Führen Sie den Sicherheitskonvertierungs-Assistenten aus, indem Sie die Informationen verwenden, die in Tabelle 12.6 zur Verfügung gestellt werden. Tabelle 12.6 Verwenden des Sicherheitskonvertierungs-Assistenten zum Aktualisieren von Dienstkonten Testen oder Änderungen vornehmen Wählen Sie Jetzt migrieren aus. Optionen für die Sicherheitskonvertierung Domänenauswahl Wählen Sie Zuvor migrierte Objekte aus. Geben Sie den Namen der Quelldomäne im Feld Quelldomäne ein, oder wählen Sie den Namen aus. Objekte konvertieren Optionen für die Sicherheitskonvertierung Geben Sie den Namen der Zieldomäne im Feld Zieldomäne ein, oder wählen Sie den Namen aus. Wählen Sie Benutzerprofile aus. Wählen Sie Ersetzen aus. 2. Wählen Sie den Namen der Quelldomäne im Dialogfeld Zusätzliche vertrauende Domäne aus. Klicken Sie auf die Schaltfläche Hinzufügen, um die Namen der Computer einzugeben oder zu suchen, die Dienste im Kontext des lokalen Systemkontos ausführen. 3. Wenn Sie den Namen der Quelldomäne nicht auswählen, wird auf der Seite Computerauswahl des Assistenten die Zieldomäne im Dialogfeld Computer auswählen aufgelistet. Sie haben jedoch noch keine Computer migriert. Sie konvertieren die Sicherheit nur auf den Computern, die Dienste im Kontext der lokalen Systemkonten ausführen, die Sie bereits migriert haben. 4. ADMT sendet Agenten an die Server, die auf der Seite Computerauswahl des Assistenten genannt werden. Das Dialogfeld Active Directory-Migrationsprogramm - Agentenüberwachung wird angezeigt. Während die Agenten ihre Tasks durchführen, wird der Status jedes Agenten auf der Registerkarte Zusammenfassung angezeigt. Nachdem die Agenten ihre Aufgaben durchgeführt haben, ändert sich ihr Status in Abgeschlossen. Sie können die Schaltfläche Protokoll anzeigen auswählen, um das Protokoll anzuzeigen und nach Fehlern zu suchen. Migrieren von Benutzerkonten Domänen können eine große Anzahl von Benutzerkonten enthalten. Um die Migration von Benutzerkonten überschaubar zu gestalten, verwenden Sie eine Methode, die als "phasenweiser Übergang" bezeichnet wird; dabei stellen Sie Benutzerkonten zu kleinen Gruppen zusammen und migrieren jede dieser Gruppen einzeln. Sie können die Benutzer auf jede beliebige Art und Weise gruppieren. Wenn das Kennwort aus der Quell- in die Zieldomäne kopiert wird, kann der Kennwortfilter das migrierte Kennwort nicht untersuchen, um zu überprüfen, ob es die Komplexitäts- oder Längenanforderungen erfüllt, da das Kennwort im Hashformat kopiert wird. Der Kennwortverlauf wird jedoch überprüft, wenn die Kennwortverlaufsprüfung den Hashwert mit vorherigen Hashwerten vergleicht. Wenn Sie Gruppenrichtlinienobjekte zum Verwalten der Softwareinstallation verwenden, müssen Sie berücksichtigen, dass einige Softwareinstallationspakete (MSI-Pakete) Zugriff auf die ursprüngliche Quelle für Operationen wie z. B. Reparatur und Deinstallation benötigen. Der Administrator muss dem

19 Softwareverteilungspunkt erneut Berechtigungen zuweisen, um den Zugriff auf die Konten zur Verfügung zu stellen, die ohne das Attributr sidhistory migriert wurden. Führen Sie die folgenden Schritte durch, um den Softwareverteilungszugriff beizubehalten: Verschieben von Benutzern mit ADMT. Ausführen des Sicherheitskonvertierungs-Assistenten für den Softwareverteilungspunkt. So migrieren Sie Organisationseinheiten und Unterstrukturen von Organisationseinheiten: Verwenden Sie den Assistenten zum Migrieren von Benutzerkonten, um die einzelnen Benutzerkontengruppen zu migrieren. So migrieren Sie Benutzerkonten: 1. Führen Sie den Assistenten zum Migrieren von Benutzerkonten aus, indem Sie die Informationen verwenden, die in Tabelle 12.7 zur Verfügung gestellt werden. Tabelle 12.7 Verwenden des Assistenten zum Migrieren von Benutzerkonten für das Verschieben von Benutzerkonten Testen oder Änderungen vornehmen Domänenauswahl Benutzerauswahl Klicken Sie auf Jetzt migrieren. Geben Sie den Namen der Quelldomäne im Feld Quelldomäne ein, oder wählen Sie den Namen aus. Geben Sie den Namen der Zieldomäne im Feld Zieldomäne ein, oder wählen Sie den Namen aus. Klicken Sie auf Hinzufügen. Wählen Sie im Dialogfeld Benutzer auswählen alle Dienstkonten aus, die vom Assistenten zum Migrieren von Dienstkonten identifiziert wurden, und klicken Sie dann auf Hinzufügen. Standardmäßig fügt der Assistent die Dienstkonten der Organisationseinheit Benutzer hinzu. Wenn Sie die Organisationseinheit ändern müssen, klicken Sie auf die Schaltfläche für den Speicherort, und suchen Sie dann die Organisationseinheit, die die Dienstkonten enthält. Auswahl der Organisationseinheit Klicken Sie auf OK. Stellen Sie sicher, dass ADMT die richtige Zielorganisationseinheit auflistet. Wenn die angegebene Organisationseinheit falsch ist, geben Sie die richtige Organisationseinheit ein, oder klicken Sie auf Durchsuchen. Navigieren Sie im Dialogfeld Container suchen zu Quelldomäne \Benutzer (wobei Quelldomäne der Domänenname der Windows Server Quelldomäne ist), und klicken Sie dann auf OK.

20 Optionen für die Kontoaktualisierung Wählen Sie Zielkonten aktivieren aus. Stellen Sie sicher, dass Optionen zum Deaktivieren des Quellkontos deaktiviert ist. Benutzerkonto Benutzeroptionen Aktivieren Sie das Kontrollkästchen Benutzer-SIDs zur Zieldomäne migrieren. Geben Sie den Benutzernamen, das Kennwort und die Domäne eines Benutzerkontos ein, das über Administratorrechte verfügt. Aktivieren Sie das Kontrollkästchen Servergespeicherte Profile konvertieren. Aktivieren Sie das Kontrollkästchen Benutzerrechte aktualisieren. Namenskonflikte Deaktivieren Sie das Kontrollkästchen Zugeordnete Benutzergruppen migrieren. Es wird eine Warnmeldung angezeigt, die Sie informiert, dass Benutzer den Zugriff auf Ressourcen verlieren, wenn die globalen Gruppen, zu denen die Benutzerkonten gehören, nicht ebenfalls migriert werden. Klicken Sie auf OK, um mit der Migration fortzufahren. Klicken Sie auf In Konflikt stehende Konten ersetzen. Sie können auf den Seiten Computerauswahl, Benutzerauswahl und Domänenauswahl mehrere Konten auswählen. Wenn Sie mehrere Konten auswählen, trennen Sie die einzelnen Konten durch ein Semikolon. Wenn Sie im Assistenten zum Migrieren von Dienstkonten auf Fertig stellen klicken, wird das Dialogfeld Migrationsstatus angezeigt. Wenn sich der Status in Abgeschlossen ändert, zeigen Sie das Migrationsprotokoll an, und prüfen Sie, ob im Migrationsvorgang Fehler aufgetreten sind. Klicken Sie auf die Schaltfläche Schließen, um das Dialogfeld Migrationsstatus zu schließen. Migrieren von lokalen Benutzerprofilen eines Clientcomputers mit Betriebssystem ohne Active Directory Migrieren Sie lokale Benutzerprofile, nachdem Sie die Benutzerkonten migriert haben. Sie müssen nur lokale Benutzerprofile für Clientcomputer migrieren, die frühere Versionen des Windows-Betriebssystems als Windows 2000 ausführen und damit nicht über Active Directory verfügen. Um die Unterbrechung für Benutzer so gering wie möglich zu halten, migrieren Sie die Benutzerprofile sofort, nachdem Sie eine Benutzergruppe migriert haben. Wenn die Quelldomäne nur eine geringe Anzahl dieser Clients ohne Active Directory enthält, migrieren Sie diese als Gruppe und migrieren dann ihre Benutzerprofile, bevor Sie die nächste Benutzergruppe migrieren. Es sind keine en erforderlich, um das lokale Profil eines Active Directory-Clients zwischen Domänen in der gleichen Gesamtstruktur zu migrieren, weil die GUID (Globally Unique Identifier) des Benutzers gleich bleibt. Das lokale Profil kann die SID-zu-GUID-Zuordnung verwenden, die in der Registrierung gespeichert wird, um dem Benutzer das Profil erneut zuzuweisen und es der neuen SID zuzuordnen. Bei Profilmigrationen auf einem Windows XP SP1-Client, der in einer Windows Server 2003-Umgebung ausgeführt wird, überprüft ADMT den Besitz der Profilordner, wenn der Pfad für das lokale Profil gleich ist. Zwar ändert sich die SID des Benutzers, die Besitzerinformationen ändern sich jedoch nicht, und der Benutzer besitzt aus diesem Grund nur dann Zugriff auf den Ordner, wenn der Sicherheitskonvertierungs-Assistent für den Profilordner ausgeführt wird. Wenn Sie das Benutzerkonto in eine Domäne innerhalb der Gesamtstruktur verschieben und der Pfad für das lokale Profil unterschiedlich ist, wird das Benutzerprofil geändert, und ein neuer Profilordner wird auf dem Server mit den richtigen Zugriffssteuerungslisten (Access Control Lists oder ACLs) erstellt. Es sind selbst dann keine en erforderlich, wenn das Benutzerkonto ohne sidhistory migriert wird.

21 So migrieren Sie lokale Profile: 1. Führen Sie den Sicherheitskonvertierungs-Assistenten aus, indem Sie die Informationen verwenden, die in Tabelle 12.8 zur Verfügung gestellt werden. Tabelle 12.8 Verwenden des Sicherheitskonvertierungs-Assistenten zum Migrieren lokaler Profile Testen oder Änderungen vornehmen Optionen für die Sicherheitskonvertierung Domänenauswahl Objekte konvertieren Optionen für die Sicherheitskonvertierung Wählen Sie Jetzt migrieren aus. Wählen Sie Zuvor migrierte Objekte aus. Geben Sie den Namen der Quelldomäne im Feld Quelldomäne ein, oder wählen Sie den Namen aus. Geben Sie den Namen der Zieldomäne im Feld Zieldomäne ein, oder wählen Sie den Namen aus. Wählen Sie Benutzerprofile aus. Wählen Sie Ersetzen aus. Anmerkung Da servergespeicherte Profile auf einem Server gespeichert werden, müssen Sie diese nicht migrieren. Migrieren von Arbeitsstationen und Mitgliedsservern Migrieren Sie Arbeitsstationen und Mitgliedsserver aus der Quelldomäne in die Zieldomäne. Wenn Sie Computer migrieren, werden die Änderungen erst nach dem Neustart des Computers wirksam. Starten Sie die Computer, die Sie migrieren, so schnell wie möglich neu, um den Migrationsvorgang abzuschließen. So migrieren Sie Arbeitsstationen und Mitgliedsserver: 1. Führen Sie den Computermigrations-Assistenten aus, indem Sie die Informationen verwenden, die in Tabelle 12.9 zur Verfügung gestellt werden. Tabelle 12.9 Verwenden des Computermigrations-Assistenten zum Migrieren von Arbeitsstationen und Mitgliedsservern Testen oder Änderungen vornehmen Domänenauswahl Computerauswahl Wählen Sie Jetzt migrieren aus. Geben Sie den Namen der Quelldomäne im Feld Quelldomäne ein, oder wählen Sie den Namen aus. Geben Sie den Namen der Zieldomäne im Feld Zieldomäne ein, oder wählen Sie den Namen aus. Klicken Sie auf Hinzufügen. Wählen Sie Computernamen im Dialogfeld Computer auswählen aus (wobei Computernamen die Namen aller Arbeitsstationen und Mitgliedsserver in der Quelldomäne sind), und klicken Sie auf Hinzufügen und dann auf OK.

22 Auswahl der Organisationseinheit Dienstkontoauswahl Klicken Sie auf Durchsuchen. Navigieren Sie im Dialogfeld Container suchen zu Quelldomäne \Computer (wobei Quelldomäne der Domänenname der Windows Server Quelldomäne ist), und klicken Sie dann auf OK. Aktivieren Sie das Kontrollkästchen Lokale Gruppen. Übertragbare Objekte Benutzerkonto Aktivieren Sie das Kontrollkästchen Benutzerrechte. Wählen Sie Hinzufügen aus. Geben Sie den Namen des ADMT-Ressourcenmigrationskontos im Feld Benutzername ein. Geben Sie im Feld Kennwort das dem Konto entsprechende Kenwort ein. Computeroptionen Namenskonflikte Geben Sie Quelldomäne im Feld Domäne ein (wobei Quelldomäne der Name der Quelldomäne ist). Geben Sie im Feld Minuten, bevor der Computer nach Beenden des Assistenten neu gestartet wird den Wert 1 ein. Wählen Sie In Konflikt stehende Konten ignorieren und nicht migrieren aus. Migrieren domänenlokaler Gruppen Migrieren Sie die lokalen Domänengruppen, die in Active Directory vorhanden sind. Verwenden Sie den Assistenten zum Migrieren von Gruppenkonten in ADMT zum Migrieren der lokalen Domänengruppen. So migrieren Sie die domänenlokalen Gruppen: 1. Führen Sie den Assistenten zum Migrieren von Gruppenkonten aus, indem Sie die Informationen verwenden, die in Tabelle zur Verfügung gestellt werden. Tabelle Verwenden des Assistenten zum Migrieren von Gruppenkonten zum Migrieren domänenlokaler Gruppen Testen oder Änderungen vornehmen Domänenauswahl Wählen Sie Jetzt migrieren aus. Geben Sie den NetBIOS- oder DNS-Namen der Quelldomäne im Feld Quelldomäne ein, oder wählen Sie diesen aus der Liste aus. Gruppenauswahl Geben Sie den NetBIOS- oder DNS-Namen der Zieldomäne im Feld Zieldomäne ein. Klicken Sie auf Hinzufügen. Auswahl der Organisationseinheit Wählen Sie im Dialogfeld Gruppen auswählen alle domänenlokalen Gruppen (mit Ausnahme integrierter Gruppen) aus, die migriert werden sollen, und klicken Sie auf Hinzufügen und dann auf OK. Geben Sie den Namen der Organisationseinheit ein, oder klicken Sie auf Durchsuchen. Suchen Sie im Dialogfeld Container suchen den Container in der Zieldomäne, in den die lokalen Domänengruppen migriert werden sollen, und klicken Sie dann auf OK.

23 Benutzerkonto Gruppenoptionen Geben Sie Informationen für Benutzername, Kennwort und Domäne eines Kontos ein, das über Administratorrechte in der Quelldomäne verfügt. Die Kontrollkästchen Gruppen-SIDs zur Zieldomäne migrieren und Gruppenmitgliedschaften der Benutzer korrigieren sind aktiviert und werden grau angezeigt. Wählen Sie Konten nicht umbenennen aus. Namenskonflikte Stellen Sie sicher, dass aller anderen Optionen deaktiviert sind. Wählen Sie In Konflikt stehende Konten ignorieren und nicht migrieren aus. Beispiel: Neustrukturieren von Windows Server 2003-Domänen Contoso Corporation möchte die Domänenobjekte der Domäne Africa in die Domäne EMEA migrieren und dabei die Migration der Domänenobjekte in der kürzestmöglichen Zeit abschließen, um die Auswirkungen auf Benutzer zu minimieren und die Zeitspanne zu verringern, in der der Netzwerkverkehr betroffen ist. Während der Migration werden alle globalen Gruppen, die migriert werden, zu universellen Gruppen, bis jeder Benutzer, der zu der Gruppe gehört, in die Zieldomäne migriert wurde. Da die Gesamtstruktur Windows Server Domänen im einheitlichen Modus enthält, werden nur inkrementelle Änderungen der Mitgliedschaft in den universellen Gruppen in den globalen Katalog repliziert. Die Contoso-Administratoren richten ein umfangreiches Testlabor ein, um den Migrationsvorgang zu testen, bevor die Migration eingeleitet wird. Durch Testen der Verfahren ermitteln sie, dass der Migrationsvorgang in zwei Wochen abgeschlossen werden kann. Globale und universelle Gruppen werden am Montag und Dienstag in der ersten Woche verschoben. Am Mittwoch werden Dienstkonten verschoben und Dienste aktualisiert. Donnerstag, Freitag und Samstag sind für das Verschieben von Benutzerkonten reserviert. Server werden am Sonntag der ersten Woche verschoben. Die zweite Woche ist für das Verschieben von Arbeitsstationen reserviert. Domänenlokale Gruppen werden am Ende der zweiten Woche verschoben.

24 Durchführen der Tasks nach der Migration Nachdem alle Migrationsaufgaben abgeschlossen wurden, die für das Neustrukturieren der Windows Server 2003-Domänen innerhalb einer Gesamtstruktur erforderlich sind, müssen Sie überprüfen, ob die Migration wie geplant durchgeführt wurde und einige nach der Migration erforderliche Tasks durchführen. Abbildung 12.5 zeigt das Durchführen von Tasks nach der Migration. Abbildung 12.5 Durchführen von Tasks nach der Migration. Untersuchen des Migrationsprotokolls auf Fehler ADMT verwaltet ein ausführliches Protokoll aller en, die Sie beim Migrieren von Ressourcen zwischen Windows Server 2003-Domänen durchführen. Fehler, die während des Migrationsvorgangs auftreten, werden auch dann im Protokoll aufgezeichnet, wenn sie kein Warndialogfeld in ADMT generieren. Das Untersuchen der Protokolle nach der Migration ist eine gute Methode, um sicherzustellen, dass alle Tasks erfolgreich durchgeführt wurden. Da es wichtig ist, die Migrationsschritte in einer bestimmten Reihenfolge durchzuführen, sollten Sie die Migrationsprotokolle am besten nach jedem Schritt überprüfen, damit Sie Fehler rechtzeitig erkennen und beheben können. Überprüfen der Gruppentypen ADMT ändert globale Gruppen bei der Migration aus der Quell- in die Zieldomäne in universelle Gruppen. Diese Änderung erfolgt automatisch, da globale Gruppen nur Mitglieder ihrer eigenen Domäne enthalten können; aus diesem Grund können sie nicht weiterhin globale Gruppen sein, wenn sie in eine andere Domäne migriert werden, bis alle Gruppenmitglieder migriert wurden. ADMT ändert universelle Gruppen erneut in globale Gruppen, nachdem das letzte Mitglied der Gruppe in die Zieldomäne migriert wurde. Da universelle Gruppen ihre Mitgliedschaft in den globalen Katalog replizieren, müssen Sie unbedingt überprüfen, dass die universellen Gruppen einwandfrei wieder in globale Gruppen geändert wurden. Verwenden Sie Active Directory-Benutzer und -Computer zum Überprüfen, ob universelle Gruppen erfolgreich migriert wurden. Vergewissern Sie sich, dass die universellen Gruppen in der Quelldomäne nicht mehr vorhanden sind und dass sie in der Zieldomäne in der Organisationseinheit angezeigt werden, die Sie während des Migrationsvorgangs angegeben haben.