A Microsoft Active Directory Migration Tool (ADMT) célja és működése
Az Active Directory a modern vállalati IT infrastruktúrák gerincét képezi, biztosítva a felhasználók, számítógépek és egyéb erőforrások központosított kezelését. Azonban az IT környezetek folyamatosan változnak: vállalatok egyesülnek, felvásárlások történnek, vagy egyszerűen csak elavult rendszereket kell modernizálni. Ezekben az esetekben gyakran válik szükségessé az Active Directory objektumok egyik tartományból vagy erdőből a másikba történő migrációja. A Microsoft Active Directory Migration Tool (ADMT) pontosan erre a célra lett kifejlesztve. Ez az ingyenes segédprogram lehetővé teszi a felhasználók, csoportok, számítógépek és egyéb objektumok biztonságos és hatékony átvitelét, minimalizálva a szolgáltatáskiesést és fenntartva a felhasználói élményt.
Miért van szükség Active Directory migrációra?
Az Active Directory migráció számos üzleti és technikai forgatókönyvben elengedhetetlen. A leggyakoribb okok közé tartoznak a következők:
* Vállalati fúziók és felvásárlások: Két vagy több vállalat egyesülésekor gyakran szükségessé válik a különálló Active Directory tartományok vagy erdők konszolidációja egy egységes irányítási rendszerbe. Ez magában foglalja a felhasználók, csoportok és számítógépek átvitelét az egyik régi környezetből az új, egyesített környezetbe.
* Erdő konszolidáció: Sok régebbi, növekedésben lévő vállalatnál az idő múlásával több Active Directory erdő alakulhat ki. Ezek kezelése bonyolulttá és költségessé válhat. Az erdők konszolidációja egyetlen, jól strukturált erdőbe jelentős egyszerűsítést és költségmegtakarítást eredményezhet.
* Domain átnevezés vagy újrastrukturálás: Bár az Active Directory támogatja a tartományok átnevezését, ez egy összetett és kockázatos művelet lehet, különösen nagy környezetekben. Bizonyos esetekben egyszerűbb és biztonságosabb lehet egy teljesen új tartományt létrehozni, és az objektumokat oda migrálni.
* Elavult infrastruktúra cseréje: Régi, elavult szervereken futó Active Directory tartományvezérlők cseréje modern hardverre és operációs rendszerekre gyakran jár együtt egy új tartomány létrehozásával és a régi objektumok migrációjával.
* Biztonsági vagy megfelelőségi okok: Bizonyos esetekben a migrációra biztonsági rések orvoslása vagy új megfelelőségi követelmények teljesítése miatt lehet szükség, amelyek egy új, tiszta Active Directory környezetet igényelnek.
Ezek a forgatókönyvek mind megkövetelik a felhasználói azonosítók, jelszavak, csoporttagságok és egyéb biztonsági attribútumok pontos és biztonságos átvitelét, miközben a felhasználók hozzáférése az erőforrásokhoz zavartalan marad. Az ADMT célja, hogy ezt a komplex feladatot megkönnyítse és automatizálja.
Az ADMT főbb funkciói és képességei
Az ADMT egy robusztus eszköz, amely számos funkciót kínál az Active Directory migrációk támogatására. Ezek a képességek kulcsfontosságúak a sikeres és zökkenőmentes átálláshoz.
Felhasználók és csoportok migrációja
Az ADMT egyik legfontosabb funkciója a felhasználói és csoportobjektumok átvitele a forrás tartományból a cél tartományba. Ez magában foglalja a felhasználói attribútumok (például név, e-mail cím, telefon) és a csoporttagságok megőrzését.
* SID History (Biztonsági azonosító előzmény): Ez az egyik legkritikusabb funkció. Amikor egy felhasználó vagy csoport átkerül egy új tartományba, az ADMT létrehoz egy új biztonsági azonosítót (SID) a cél tartományban. A SID History funkció lehetővé teszi, hogy a forrás tartomány régi SID-je bekerüljön az objektum SID History attribútumába a cél tartományban. Ez biztosítja, hogy a felhasználók továbbra is hozzáférjenek a régi tartományban lévő erőforrásokhoz (fájlmegosztások, SharePoint, stb.), amelyek engedélyei a régi SID-re hivatkoznak. Enélkül a funkció nélkül a felhasználók elveszítenék hozzáférésüket az erőforrásokhoz a migráció után, ami jelentős fennakadást okozna.
* Jelszó migráció: Az ADMT képes a felhasználói jelszavak átvitelére is a forrás tartományból a cél tartományba. Ez kiküszöböli annak szükségességét, hogy a felhasználóknak új jelszót kelljen beállítaniuk, vagy meg kelljen változtatniuk a meglévőt a migráció után. A jelszó migrációhoz egy speciális komponensre, a Password Export Serverre (PES) van szükség, amely a forrás tartományvezérlőn fut. A PES titkosítva exportálja a jelszavakat, amelyeket az ADMT biztonságosan importál a cél tartományba.
* Csoporttagok frissítése: Amikor csoportokat migrálnak, az ADMT gondoskodik arról, hogy a csoporttagságok is frissüljenek. Ha egy felhasználó már átkerült a cél tartományba, és tagja egy migrált csoportnak, az ADMT automatikusan beállítja a felhasználó új SID-jét a csoporttagok között.
Számítógép objektumok migrációja
A számítógép objektumok migrációja egy komplexebb feladat, mivel magában foglalja a gépek tényleges áthelyezését az egyik tartományból a másikba, miközben a felhasználói profilokat és az alkalmazásbeállításokat meg kell őrizni.
* Számítógép fiókok átvitele: Az ADMT képes a számítógép fiókokat átvinni a forrás tartományból a cél tartományba.
* Helyi profilok frissítése: Amikor egy számítógép átkerül egy új tartományba, a helyi felhasználói profilok SID-jei is frissítésre szorulnak, hogy az új tartománybeli felhasználói SID-ekhez illeszkedjenek. Az ADMT Security Translation Wizard (STW) képes elvégezni ezt a feladatot a számítógépeken. Ez biztosítja, hogy a felhasználók hozzáférjenek a régi profiladataikhoz, beállításaikhoz és dokumentumaikhoz a migráció után is.
* Helyi csoportok és felhasználók kezelése: Az ADMT képes kezelni a helyi felhasználókat és csoportokat is a migrált gépeken, biztosítva a megfelelő hozzáférést a helyi erőforrásokhoz.
Exchange objektumok migrációja
Bár az ADMT nem egy teljes értékű Exchange migrációs eszköz, képes kezelni az Exchange-specifikus attribútumokat a felhasználói objektumok migrációja során.
* Mailbox attribútumok átvitele: Az ADMT képes átvinni a felhasználói mailbox attribútumokat (pl. proxy címek, Exchange biztonsági csoporttagságok) a migrált felhasználói objektumokkal együtt. Ez kritikus fontosságú az Exchange környezetekben, mivel biztosítja, hogy a felhasználók mailboxai megfelelően konfigurálva legyenek az új tartományban. Fontos megjegyezni, hogy az ADMT önmagában nem migráltatja a mailboxokat vagy a publikus mappákat; ehhez más eszközökre vagy Exchange-specifikus migrációs eljárásokra van szükség.
Biztonsági fordítás (Security Translation Wizard)
A Security Translation Wizard (STW) az ADMT egyik legerősebb és legfontosabb funkciója. Ez a varázsló lehetővé teszi a biztonsági azonosítók (SID-ek) frissítését a migrált objektumokhoz kapcsolódó erőforrásokon.
* Fájlrendszer engedélyek: Az STW képes átvizsgálni a fájlszervereket, és frissíteni a fájlok és mappák NTFS engedélyeit, hogy azok az új tartománybeli SID-ekre hivatkozzanak. Ez elengedhetetlen ahhoz, hogy a migrált felhasználók továbbra is hozzáférjenek a fájlmegosztásokhoz.
* Helyi csoportok: Frissítheti a helyi csoportok tagságát a migrált számítógépeken.
* Registry engedélyek: Képes a registry engedélyek frissítésére is, ha szükséges.
* SQL Server engedélyek: Bizonyos esetekben segíthet az SQL Server biztonsági beállításainak frissítésében is.
* IIS metaadatok: Az STW képes frissíteni az IIS metaadatokban található SID-eket is.
Az STW használata minimalizálja a manuális beavatkozás szükségességét, és csökkenti a hibák kockázatát a migráció után.
Rollback opciók és Reporting
Az ADMT biztosít rollback (visszaállítási) lehetőségeket, amelyek kritikusak a kockázatkezelés szempontjából.
* Rollback: Ha egy migráció során probléma merül fel, az ADMT lehetővé teszi a migrált objektumok visszaállítását a forrás tartományba, vagy a cél tartományban létrehozott objektumok törlését. Ez egy rendkívül fontos biztonsági háló.
* Reporting: Az ADMT részletes naplókat és jelentéseket generál a migrációs folyamatról. Ezek a jelentések tartalmazzák a sikeresen migrált objektumok listáját, a hibákat és figyelmeztetéseket, valamint a migrációval kapcsolatos egyéb releváns információkat. A jelentések elengedhetetlenek a hibaelhárításhoz és a migráció ellenőrzéséhez.
Az ADMT ingyenes volta ellenére rendkívül hatékony és elengedhetetlen eszköz a komplex Active Directory migrációs forgatókönyvek biztonságos és hatékony kezelésében, különösen a SID History funkción keresztül biztosított zavartalan erőforrás-hozzáférés miatt.
Az ADMT komponensei és előfeltételei
Az ADMT sikeres működéséhez több komponensre és számos előfeltételre van szükség. Ezek megértése kulcsfontosságú a telepítés és a konfiguráció szempontjából.
ADMT konzol
Ez az a felhasználói felület, ahol a migrációs műveleteket kezdeményezzük és felügyeljük. Az ADMT konzol egy Microsoft Management Console (MMC) beépülő modulként fut. Telepíthető bármely tartományhoz csatlakoztatott Windows Serverre, amely megfelel az előfeltételeknek.
ADMT adatbázis (SQL Server)
Az ADMT minden migrációs információt, objektumlistát és naplóbejegyzést egy SQL Server adatbázisban tárol.
* SQL Server verziók: Támogatja az SQL Server Express kiadást kisebb környezetekben, de nagyobb migrációkhoz egy teljes SQL Server telepítés (Standard vagy Enterprise) ajánlott.
* Adatbázis elhelyezkedése: Az SQL Server lehet a konzolt futtató gépen, vagy egy dedikált SQL Serveren. Egy dedikált szerver jobb teljesítményt és skálázhatóságot biztosít.
* Adatbázis jogosultságok: Az ADMT szolgáltatási fióknak megfelelő jogosultságokkal kell rendelkeznie az SQL adatbázishoz.
Password Export Server (PES)
A PES egy különálló komponens, amelyet a forrás tartományban lévő tartományvezérlőre kell telepíteni, ha jelszó migrációra van szükség.
* Cél: A PES felelős a felhasználói jelszavak biztonságos exportálásáért a forrás Active Directoryból. A jelszavak titkosítva kerülnek exportálásra egy titkosítási kulcs segítségével, amelyet az ADMT konzol generál.
* Telepítés: A PES egy külön telepítőcsomag, amelyet a forrás tartomány egyik tartományvezérlőjére kell telepíteni. Fontos, hogy a telepítés előtt generáljuk le a jelszó titkosítási kulcsot az ADMT konzolon.
Agentek
Az ADMT agentek ideiglenesen települnek a migrált számítógépekre a migrációs folyamat során.
* Cél: Ezek az agentek felelősek a számítógépek tartományváltásának végrehajtásáért, a helyi profilok SID-jeinek frissítéséért, és egyéb számítógép-specifikus feladatok elvégzéséért.
* Működés: Az ADMT konzolról futtatva az agentek automatikusan települnek a célgépekre, elvégzik a szükséges műveleteket, majd eltávolítják magukat.
Előfeltételek (Prerequisites)
Az ADMT telepítése és sikeres működése számos előfeltételt igényel mind a forrás, mind a cél tartományban, valamint azon a szerveren, ahol az ADMT konzol fut.
* Operációs rendszer: Az ADMT konzol telepíthető Windows Server 2008 R2-től egészen a legújabb Windows Server verziókig (pl. 2019, 2022), attól függően, melyik ADMT verziót használjuk. Fontos ellenőrizni a kompatibilitási mátrixot.
* .NET Framework: A megfelelő .NET Framework verzió telepítése elengedhetetlen.
* SQL Server: Egy működő SQL Server példány szükséges az ADMT adatbázis számára.
* Adminisztrátori jogosultságok:
* Forrás tartomány: Az ADMT futtatásához használt fióknak a forrás tartományban is rendelkeznie kell Domain Admin jogosultságokkal, vagy legalábbis a szükséges delegált jogosultságokkal az objektumok olvasásához és a SID History írásához.
* Cél tartomány: A fióknak a cél tartományban is rendelkeznie kell Domain Admin jogosultságokkal az objektumok létrehozásához és a jelszavak beállításához.
* Helyi adminisztrátor: A migrált számítógépeken helyi adminisztrátori jogosultságokkal kell rendelkeznie az ADMT agentnek.
* Trust kapcsolatok: Kétirányú, tranzitív trust kapcsolatnak kell fennállnia a forrás és a cél tartomány között. Ez az egyik legfontosabb előfeltétel, mivel az ADMT ezen keresztül kommunikál a két tartomány között.
* Tűzfal kivételek: Megfelelő tűzfal kivételeket kell beállítani a tartományvezérlők és az ADMT szerver között a szükséges portok (pl. RPC, SMB, LDAP, Kerberos) engedélyezéséhez.
* DNS feloldás: Megfelelő DNS konfiguráció szükséges, hogy mind a forrás, mind a cél tartományvezérlők feloldhassák egymás tartományait és szolgáltatásrekordjait.
Ezen előfeltételek gondos ellenőrzése és beállítása alapvető a sikeres migrációhoz. A hiányosságok vagy hibás konfigurációk a migrációs folyamat során súlyos problémákat okozhatnak.
A migrációs folyamat lépésről lépésre az ADMT-vel
Az Active Directory migráció egy összetett folyamat, amely alapos tervezést és lépésről lépésre történő végrehajtást igényel. Az ADMT segít ezen lépések automatizálásában, de a stratégiai döntések és az előkészületek továbbra is a migrációs csapat feladatai.
1. Tervezés és felmérés
Mielőtt bármilyen technikai lépést megtennénk, elengedhetetlen egy átfogó tervezési fázis.
* Célok meghatározása: Pontosan meg kell határozni, hogy mit akarunk elérni a migrációval (pl. erdő konszolidáció, tartomány átnevezés).
* Forrás és cél környezet felmérése: Részletes felmérést kell végezni a meglévő Active Directory környezetekről. Ez magában foglalja a felhasználók, csoportok, számítógépek számát, a GPO-kat, a logon scripteket, az Exchange infrastruktúrát, a fájlszervereket, a SharePointot és minden olyan alkalmazást, amely Active Directory hitelesítést használ.
* Függőségek azonosítása: Azonosítani kell az összes alkalmazást és szolgáltatást, amely az Active Directoryra támaszkodik, és fel kell mérni a migrációjuk hatását.
* Ütemterv és kommunikáció: Létre kell hozni egy részletes ütemtervet, beleértve a tesztelési fázisokat és a tényleges migrációs ablakokat. Elengedhetetlen a felhasználók és az érintettek folyamatos tájékoztatása.
* Rollback terv: Mindig legyen egy részletes terv arra az esetre, ha valami rosszul sül el, és vissza kell állítani az eredeti állapotot.
2. Előfeltételek ellenőrzése és beállítása
A tervezési fázis után következik a technikai előkészület.
* Hálózati kapcsolat és DNS: Győződjön meg róla, hogy a forrás és a cél tartományok között teljes hálózati kapcsolat van, és a DNS feloldás mindkét irányban megfelelően működik.
* Kétirányú Trust kapcsolat: Hozzon létre egy kétirányú, tranzitív trust kapcsolatot a forrás és a cél tartomány között. Ez a kapcsolat alapvető az ADMT működéséhez.
* Tűzfal konfiguráció: Nyissa meg a szükséges portokat a tartományvezérlők és az ADMT szerver között (pl. RPC portok, LDAP, Kerberos, SMB).
* Adminisztrátori jogosultságok: Ellenőrizze és állítsa be a megfelelő adminisztrátori jogosultságokat az ADMT futtatásához használt fiók számára mindkét tartományban.
* ADMT szerver előkészítése: Telepítse a Windows Servert, a .NET Frameworköt és az SQL Servert (vagy SQL Express-t) arra a szerverre, amelyen az ADMT konzol futni fog.
3. ADMT telepítése
* Telepítse az ADMT-t a kiválasztott szerverre.
* Ha jelszó migrációra van szükség, generálja le a jelszó titkosítási kulcsot az ADMT konzolon, és telepítse a Password Export Servert (PES) a forrás tartomány egyik tartományvezérlőjére. A PES telepítésekor adja meg a generált kulcsot.
4. Forrás és cél domainek előkészítése
* Cél OU struktúra: Hozzon létre egy megfelelő szervezeti egység (OU) struktúrát a cél tartományban a migrált objektumok számára.
* Forrás Active Directory tisztítása: Ajánlott a migráció előtt megtisztítani a forrás Active Directoryt az elavult vagy nem használt objektumoktól.
* Auditing beállítása: Engedélyezze a szükséges auditálási beállításokat mindkét tartományban a migráció nyomon követéséhez és a hibaelhárításhoz.
5. Teszt migráció
Mielőtt éles migrációt végeznénk, elengedhetetlen egy alapos tesztelés.
* Kisméretű tesztcsoportok: Migráljon egy kis számú felhasználót és csoportot, akiknek van tesztgépük és hozzáférésük teszterőforrásokhoz.
* Teljeskörű tesztelés: Ellenőrizze a jelszó migrációt, a SID History működését, a fájlmegosztásokhoz való hozzáférést, az Exchange mailboxok működését (ha releváns), és minden olyan alkalmazást, amelyet a migrált felhasználók használnak.
* Számítógép migráció tesztelése: Ha számítógépeket is migrálni fog, teszteljen le néhányat, beleértve a helyi profilok frissítését.
* Hibaelhárítás: Dokumentálja az összes felmerülő problémát, és dolgozzon ki megoldásokat. Ismételje meg a tesztelést a hibák kijavítása után.
6. Éles migráció (felhasználók, csoportok, számítógépek)
Az éles migrációt általában lépcsőzetesen, kisebb „hullámokban” hajtják végre, hogy minimalizálják a kockázatot.
* Csoportok migrációja: Kezdje a globális és tartományi helyi csoportok migrációjával. Ügyeljen arra, hogy a SID History be legyen kapcsolva.
* Felhasználók migrációja: Migrálja a felhasználókat. Használja a Password Migration Wizardot, ha jelszavakat is átvisz. Győződjön meg róla, hogy a SID History engedélyezve van.
* Számítógépek migrációja: Migrálja a számítógép objektumokat. Ezt követően futtassa a Security Translation Wizardot a migrált gépeken a helyi profilok és engedélyek frissítéséhez.
* Security Translation Wizard (STW) futtatása erőforrásokon: Futtassa az STW-t a fájlszervereken, SharePoint szervereken és egyéb erőforrásokon, hogy frissítse az engedélyeket az új SID-ekre.
7. Utómunkálatok és ellenőrzés
A migráció befejezése után számos utómunkálatra van szükség.
* Jelentések ellenőrzése: Tekintse át az ADMT által generált jelentéseket a sikeres migrációk és a felmerült hibák ellenőrzéséhez.
* Forrás objektumok letiltása/törlése: Miután meggyőződött arról, hogy a migrált objektumok megfelelően működnek a cél tartományban, letilthatja vagy törölheti a forrás tartományban lévő eredeti objektumokat. Ezt óvatosan és fokozatosan tegye.
* GPO-k kezelése: Az ADMT nem migráltatja a Csoportházirend objektumokat (GPO-kat). Ezeket újra kell építeni vagy linkelni a cél tartományban. Fontos, hogy a GPO-k hatását tesztelje a migrált felhasználókon és számítógépeken.
* DNS frissítése: Győződjön meg róla, hogy minden DNS rekord megfelelően mutat az új környezetre.
* Alkalmazások és szolgáltatások tesztelése: Alaposan tesztelje az összes függő alkalmazást és szolgáltatást a migráció után.
* Dokumentáció: Részletesen dokumentálja a teljes migrációs folyamatot, a felmerült problémákat és a megoldásokat.
Ez a lépésről lépésre történő útmutató egy általános áttekintést nyújt, de minden migráció egyedi, és további specifikus lépéseket igényelhet a környezettől függően.
Részletes migrációs forgatókönyvek és kihívások
Az ADMT használata során számos specifikus forgatókönyv és kihívás merülhet fel, amelyek különös figyelmet igényelnek.
Felhasználók és csoportok migrációja: A SID History jelentősége
Amint már említettük, a SID History az ADMT egyik legfontosabb funkciója. Enélkül a migrált felhasználók elveszítenék a hozzáférésüket a régi tartományban lévő erőforrásokhoz.
* Működés: Amikor egy felhasználót vagy csoportot migrálnak, az ADMT létrehoz egy új SID-et a cél tartományban az objektum számára. A forrás tartomány régi SID-je hozzáadódik az objektum `sIDHistory` attribútumához a cél tartományban. Amikor a felhasználó hozzáfér egy erőforráshoz, a Kerberos jegy tartalmazni fogja mind az új SID-et, mind a SID Historyban lévő régi SID-eket, így a felhasználó továbbra is hozzáférhet a régi engedélyekkel védett erőforrásokhoz.
* Előfeltételek a SID History-hoz: A SID History használatához a forrás tartományvezérlőn engedélyezni kell a `SeSecurityPrivilege` jogosultságot az ADMT fiók számára. Ezenkívül a forrás és cél tartományok közötti trust kapcsolatnak SID filtering kikapcsolással kell rendelkeznie, ami alapértelmezés szerint le van tiltva erdők közötti trust esetén.
* Kihívások: A SID History megőrzi a hozzáférést, de nem változtatja meg az engedélyeket. A hosszú távú cél az, hogy a Security Translation Wizard (STW) segítségével frissítsük az engedélyeket az új SID-ekre, majd eltávolítsuk a SID Historyt a migrált objektumokról, ha már nincs rá szükség.
Jelszó migráció: A PES szerepe és a titkosítás
A jelszó migráció elengedhetetlen a felhasználói élmény szempontjából, de biztonsági szempontból is kritikus.
* PES (Password Export Server): A PES telepítése a forrás tartományvezérlőre szükséges. Ez egy COM-objektum, amely a helyi biztonsági hatóság (LSA) folyamatában fut, és hozzáfér a jelszó hash-ekhez.
* Titkosítás: Az ADMT konzolon generált „Password Export Server Key” (egy bináris fájl) használatos a jelszavak titkosítására a forrásról a célba történő átvitel során. Ez a kulcs rendkívül érzékeny információ, amelyet biztonságosan kell tárolni és kezelni.
* Korlátozások: A jelszó migráció csak akkor működik, ha a forrás tartományvezérlőn engedélyezve van a visszafordítható jelszó titkosítás, vagy ha a jelszó hash-ek megfelelő formátumban vannak tárolva (pl. LM hash-ek letiltása). Gyakori hiba, hogy a PES nem tudja exportálni a jelszavakat a rossz konfiguráció miatt.
Számítógép migráció: Lokális profilok és alkalmazások
A számítógépek migrációja nem csak a gép Active Directory objektumának áthelyezését jelenti, hanem a gépen lévő helyi erőforrások és felhasználói profilok frissítését is.
* Offline migráció: Az ADMT képes offline gépeket is migrálni, de a helyi profilok frissítéséhez a gépnek online kell lennie.
* Security Translation Wizard (STW) a gépeken: A számítógép migrációja után az STW-t kell futtatni a migrált gépeken. Ez frissíti a helyi felhasználói profilok SID-jeit, a helyi csoporttagságokat és a helyi fájlrendszer engedélyeit. Ennek elmulasztása azt eredményezheti, hogy a felhasználók új profilokat kapnak, és elveszítik a hozzáférést a régi adataikhoz.
* Alkalmazások: Egyes alkalmazások, amelyek a számítógép SID-jéhez vagy a régi tartományhoz kötődnek, problémát okozhatnak. Alapos tesztelés szükséges.
Exchange migrációs szempontok
Bár az ADMT kezeli az Exchange attribútumokat, nem egy teljes Exchange migrációs eszköz.
* Mailbox attribútumok: Az ADMT képes átvinni az Exchange-specifikus attribútumokat (pl. proxy címek, Exchange GUID, örökölt Exchange DN) a felhasználói objektumokkal együtt. Ez biztosítja, hogy a mailboxok felismerhetők legyenek az új Exchange környezetben.
* Mailbox áthelyezés: A tényleges mailbox áthelyezéshez az Exchange saját eszközeit (pl. Move-Mailbox, New-MoveRequest) kell használni. A migráció stratégiája (pl. cross-forest mailbox move) az Exchange verziójától és a topológiától függ.
* Delegálások: A delegált hozzáférések (pl. „Send As”, „Full Access”) frissítése külön feladatot jelenthet, amelyet az Exchange Management Shell segítségével kell elvégezni.
Fájlszerverek és SharePoint engedélyek kezelése
A fájlrendszer és a SharePoint engedélyek frissítése az STW segítségével kulcsfontosságú.
* Fájlszerverek: Az STW képes átvizsgálni a fájlmegosztásokat és az NTFS engedélyeket, majd frissíteni azokat az új SID-ekre. Ez egy időigényes folyamat lehet nagy fájlszerverek esetén.
* SharePoint: Hasonlóan, az STW képes frissíteni a SharePoint site-ok és dokumentumtárak engedélyeit is.
* SQL Server: Ha az alkalmazások SQL Serverre támaszkodnak, és a Windows hitelesítést használják, akkor az SQL Server loginok és adatbázis-szerepkörök frissítése is szükséges lehet.
GPO-k kezelése
Az ADMT nem migráltatja a Csoportházirend objektumokat (GPO-kat). Ez egy jelentős korlátozás.
* Újraépítés vagy GPO linkelés: A GPO-kat manuálisan kell újraépíteni a cél tartományban, vagy a GPMC (Group Policy Management Console) segítségével kell importálni és linkelni őket az új OU struktúrához.
* Tesztelés: Rendkívül fontos a GPO-k hatásának alapos tesztelése a migrált felhasználókon és számítógépeken, mivel a GPO-k alapvetően befolyásolják a felhasználói környezetet és a rendszerkonfigurációt.
DNS és hálózati szempontok
A migráció során a DNS és a hálózati beállítások kritikusak.
* DNS feloldás: Győződjön meg róla, hogy a forrás és cél tartományvezérlők és kliensek megfelelően feloldják egymás tartományait és szolgáltatásrekordjait.
* Site-ok és alhálózatok: Ha több Active Directory site van, győződjön meg róla, hogy a site-ok és alhálózatok konfigurációja megfelelően tükrözi az új topológiát.
Ezen kihívások megfelelő kezelése alapvető a sikeres és zavartalan Active Directory migrációhoz.
ADMT hibaelhárítás és gyakori problémák
Az Active Directory migráció komplex feladat, és szinte garantáltan találkozunk valamilyen problémával a folyamat során. Az ADMT használatakor a gyakori hibák és azok elhárítása kulcsfontosságú a projekt sikeréhez.
Engedélyekkel kapcsolatos problémák
Az ADMT működéséhez kiterjedt jogosultságokra van szükség mind a forrás, mind a cél tartományban.
* Hibaüzenet: „Access Denied” vagy „The specified account does not exist.”
* Ok: Az ADMT futtatására használt fiók nem rendelkezik megfelelő jogosultságokkal az objektumok olvasásához a forrás tartományban, az objektumok létrehozásához a cél tartományban, vagy a SID History írásához.
i* Megoldás: Ellenőrizze, hogy az ADMT fiók tagja-e mindkét tartományban a Domain Admins csoportnak, vagy rendelkezik-e a szükséges delegált jogosultságokkal (pl. „Migrate objects” engedély). Különösen a SID History írásához van szükség a `SeSecurityPrivilege` engedélyre a forrás tartományvezérlőn.
Hálózati kapcsolat és DNS problémák
Az ADMT erősen támaszkodik a hálózati kommunikációra és a DNS feloldásra a két tartomány között.
* Hibaüzenet: „A network error occurred”, „The RPC server is unavailable”, „The target domain could not be contacted.”
* Ok: Tűzfal blokkolja a szükséges portokat (RPC, LDAP, Kerberos, SMB), helytelen DNS konfiguráció, ami miatt a tartományvezérlők nem tudják feloldani egymást, vagy hálózati kapcsolati problémák.
* Megoldás:
* Ellenőrizze a tűzfalakat mindkét tartományvezérlőn és az ADMT szerveren.
* Futtasson `ping`, `nslookup`, `dcdiag` parancsokat a DNS feloldás és a tartományvezérlők elérhetőségének ellenőrzésére.
* Győződjön meg róla, hogy a kétirányú trust kapcsolat megfelelően működik.
SQL adatbázis problémák
Az ADMT adatbázisa az SQL Serveren tárolódik, és a hibák itt is előfordulhatnak.
* Hibaüzenet: „Could not connect to the ADMT database”, „SQL Server connection error.”
* Ok: Az SQL Server szolgáltatás nem fut, helytelen kapcsolati adatok az ADMT konfigurációban, vagy az ADMT fiók nem rendelkezik megfelelő jogosultságokkal az SQL adatbázishoz.
* Megoldás:
* Ellenőrizze, hogy az SQL Server szolgáltatás fut-e.
* Ellenőrizze az ADMT telepítése során megadott SQL Server példány nevét és hitelesítési adatait.
* Győződjön meg róla, hogy az ADMT fiók rendelkezik `db_owner` vagy legalább `db_datareader` és `db_datawriter` jogosultságokkal az ADMT adatbázishoz.
PES (Password Export Server) hibák
A jelszó migráció gyakran okoz fejfájást, ha a PES nincs megfelelően beállítva.
* Hibaüzenet: „Failed to obtain password export server key”, „The Password Export Server is not installed or configured correctly.”
* Ok: A PES nincs telepítve a forrás tartományvezérlőn, a titkosítási kulcs nem egyezik, vagy a visszafordítható jelszó titkosítás nincs engedélyezve a forrás tartományban.
* Megoldás:
* Ellenőrizze, hogy a PES telepítve van-e a forrás tartományvezérlőn.
* Győződjön meg róla, hogy a PES telepítésekor ugyanazt a titkosítási kulcsot használta, amelyet az ADMT konzolon generált.
* Ellenőrizze a forrás tartomány GPO-jában, hogy a „Store passwords using reversible encryption for all users in the domain” beállítás engedélyezve van-e (általában nem ajánlott biztonsági okokból, de szükséges lehet a PES-hez bizonyos forgatókönyvekben, vagy ellenőrizze, hogy a jelszavak milyen formában tárolódnak). Fontos megjegyezni, hogy a modern Active Directory környezetekben a jelszavak hash-elése alapértelmezett, és a PES a hash-eket exportálja. A visszafordítható titkosítás csak specifikus, ritka esetekben szükséges.
* Indítsa újra a forrás tartományvezérlőt a PES telepítése után.
SID History problémák
Ha a SID History nem működik megfelelően, a felhasználók elveszíthetik hozzáférésüket.
* Hibaüzenet: A felhasználók nem férnek hozzá a régi erőforrásokhoz a migráció után.
* Ok: A SID filtering engedélyezve van a trust kapcsolaton, vagy az ADMT fiók nem rendelkezik a szükséges `SeSecurityPrivilege` engedéllyel a forrás tartományvezérlőn.
* Megoldás:
* Ellenőrizze a trust kapcsolat beállításait, és győződjön meg róla, hogy a SID filtering ki van kapcsolva.
* Ellenőrizze, hogy az ADMT fiók hozzá van-e adva a „Manage auditing and security log” (`SeSecurityPrivilege`) felhasználói joghoz a forrás tartományvezérlő alapértelmezett tartományvezérlő házirendjében (Default Domain Controllers Policy). Frissítse a GPO-t (`gpupdate /force`).
Rollback és tisztítási problémák
A migráció utáni tisztítás vagy a visszaállítás is okozhat problémákat.
* Hibaüzenet: Nem lehet törölni a migrált objektumokat, vagy a rollback sikertelen.
* Ok: Objektumok zárolva vannak, jogosultsági problémák, vagy konzisztencia hibák az ADMT adatbázis és az Active Directory között.
* Megoldás: Győződjön meg róla, hogy az ADMT fiók továbbra is rendelkezik megfelelő jogosultságokkal a cél tartományban az objektumok törléséhez. Ellenőrizze az ADMT naplóit a pontos hibaüzenetért.
Naplók és jelentések elemzése
Az ADMT részletes naplókat generál minden műveletről. Ezek a naplók a hibaelhárítás legfontosabb forrásai.
* Elhelyezkedés: A naplók az ADMT konzolban érhetők el, és általában az ADMT telepítési mappájában találhatók (pl. `C:\Program Files\Active Directory Migration Tool\Logs`).
* Részletesség: A naplók részletességi szintje konfigurálható. Magasabb részletesség (Verbose) segít a pontosabb hibaelhárításban, de nagyobb naplófájlokat eredményez.
* Keresés: Használjon kulcsszavakat (pl. „Error”, „Failed”, „Access Denied”) a naplókban a problémák gyors azonosításához.
Az alapos tesztelés és a naplók rendszeres ellenőrzése drámaian csökkentheti a migráció során felmerülő problémák hatását.
Az ADMT korlátai és alternatívák
Bár az ADMT egy rendkívül hasznos és ingyenes eszköz, fontos tisztában lenni a korlátaival, és tudni, mikor érdemes alternatív megoldások után nézni.
Az ADMT korlátai
* Nem migráltat GPO-kat: Amint már említettük, az ADMT nem képes Csoportházirend objektumokat (GPO-kat) migrálni. Ezeket manuálisan kell újraépíteni, vagy harmadik féltől származó eszközökkel kell kezelni. Ez jelentős munkát jelenthet komplex GPO környezetekben.
* Nem migráltat logon scripteket: Hasonlóan a GPO-khoz, a logon scripteket sem viszi át az ADMT.
* Nem teljeskörű Exchange migrációs eszköz: Bár kezeli az Exchange attribútumokat, nem végzi el a mailboxok tényleges áthelyezését, a publikus mappák migrációját, vagy a komplex Exchange konfigurációk átvitelét. Ehhez Exchange-specifikus eszközökre van szükség.
* Nincs kétirányú szinkronizáció: Az ADMT egy egyszeri migrációs eszköz. Nem biztosít folyamatos kétirányú szinkronizációt a forrás és a cél tartomány között. Ha erre van szükség, más eszközöket kell használni.
* Komplexebb forgatókönyvek korlátozása: Nagyon komplex környezetekben, ahol sok függőség van, vagy ahol a szolgáltatáskiesés nullához közeli kell, hogy legyen, az ADMT önmagában nem mindig elegendő.
* Jelentések egyszerűsége: Bár generál jelentéseket, azok nem feltétlenül olyan részletesek vagy testreszabhatóak, mint amit egy kereskedelmi eszköz kínál.
* Támogatás: Mivel az ADMT egy ingyenes eszköz, a Microsoft támogatása korlátozottabb lehet, mint a fizetős termékek esetében.
Alternatívák az ADMT-re
Amennyiben az ADMT korlátai akadályt jelentenek, vagy a migrációs projekt jellege megköveteli, számos kereskedelmi eszköz áll rendelkezésre, amelyek szélesebb funkcionalitást kínálnak:
* Quest Migration Manager for Active Directory: Ez az egyik legátfogóbb és legelterjedtebb kereskedelmi migrációs eszköz. Kétirányú szinkronizációt, GPO migrációt, Exchange migrációt és számos más funkciót kínál, amelyek jelentősen leegyszerűsítik a komplex migrációkat.
* Binary Tree Migration Suite: Egy másik erős szereplő a piacon, amely átfogó megoldásokat kínál az Active Directory és Exchange migrációkra, beleértve a koegzisztenciát és a szinkronizációt.
* Microsoft Azure AD Connect: Bár nem egy domain-to-domain migrációs eszköz, az Azure AD Connect kulcsfontosságú az Active Directory hibrid környezetekben történő szinkronizálásához az Azure Active Directoryval. Ha a cél a felhőbe való átállás, ez az eszköz elengedhetetlen.
* Manuális szkriptelés (PowerShell): Kisebb, kevésbé komplex migrációk esetén lehetséges a PowerShell szkriptek használata az objektumok exportálására és importálására. Ez azonban rendkívül időigényes, hibalehetőségeket rejt, és nem nyújt olyan funkciókat, mint a SID History vagy a jelszó migráció.
A megfelelő eszköz kiválasztása a migrációs projekt méretétől, komplexitásától, a rendelkezésre álló költségvetéstől és a kívánt szolgáltatáskiesési időtől függ. Kisebb, egyszerűbb migrációk esetén az ADMT kiválóan alkalmas lehet, míg a nagyobb, kritikusabb projektekhez érdemes megfontolni egy kereskedelmi megoldást.
Biztonsági szempontok a migráció során
Az Active Directory migráció magában foglalja a legérzékenyebb vállalati adatok (felhasználói fiókok, jelszavak, engedélyek) kezelését. Ezért a biztonsági szempontok kiemelt figyelmet igényelnek a teljes folyamat során.
* Minimális jogosultság elve: Bár az ADMT működéséhez magas jogosultságokra van szükség, törekedni kell arra, hogy a migrációs fiókok csak a szükséges ideig és csak a szükséges jogosultságokkal rendelkezzenek. Ideális esetben egy dedikált fiókot kell használni a migrációhoz, amelyet a projekt végén letiltanak vagy törölnek.
* Jelszó biztonság:
* PES kulcs védelme: A Password Export Server (PES) által generált titkosítási kulcs rendkívül érzékeny. Ezt a kulcsot biztonságosan kell tárolni, ideális esetben hardveres biztonsági modulban (HSM) vagy jelszókezelő rendszerben, és csak a migrációhoz szükséges ideig szabad hozzáférni. Soha ne tárolja egyszerű szöveges fájlban.
* Jelszó titkosítás: Az ADMT a jelszavakat titkosítva továbbítja a hálózaton. Győződjön meg róla, hogy a kommunikáció biztonságos csatornákon keresztül történik.
* LM hash-ek letiltása: Győződjön meg róla, hogy a forrás tartományban le van tiltva az LM hash-ek tárolása a jelszavakhoz, mivel ezek könnyen feltörhetők.
* Adat integritás: Győződjön meg arról, hogy a migrált objektumok attribútumai sértetlenül és pontosan kerülnek át a cél tartományba. Az ADMT naplói és jelentései segítenek ennek ellenőrzésében.
* Auditálás és naplózás: Engedélyezze a részletes auditálást mind a forrás, mind a cél tartományban a migrációs folyamat során. Ez magában foglalja a fiókkezelési eseményeket, a bejelentkezési eseményeket és a jogosultságok változásait. A naplók rendszeres ellenőrzése segíthet a biztonsági incidensek vagy a jogosulatlan hozzáférések azonosításában.
* Fizikai biztonság: Győződjön meg arról, hogy az ADMT szerver és az SQL Server, amely az adatbázist tárolja, fizikailag is biztonságos környezetben van.
* Tűzfalak és hálózati szegmentáció: A migráció során nyitott portokat a lehető legszigorúbban kell korlátozni a szükséges IP-címekre és időtartamra. A migrációs forgalmat érdemes elkülöníteni a normál üzemi forgalomtól.
* Tesztelés: A biztonsági tesztelésnek a migrációs terv szerves részét kell képeznie. Tesztelje a hozzáférést a migrált erőforrásokhoz, és győződjön meg róla, hogy a jogosultságok pontosan a kívántak.
A biztonsági protokollok szigorú betartása elengedhetetlen a migrációs folyamat során, hogy elkerüljük az adatvesztést, a jogosulatlan hozzáférést vagy a rendszerintegritás sérülését.
Tippek és bevált gyakorlatok sikeres ADMT migrációhoz
A sikeres Active Directory migráció nem csak a megfelelő eszközök használatáról szól, hanem alapos tervezésről, gondos végrehajtásról és hatékony kommunikációról is. Az alábbiakban néhány bevált gyakorlatot sorolunk fel, amelyek segíthetnek a zökkenőmentes átmenet biztosításában.
* Alapos tervezés a kulcs:
* Részletes felmérés: Soha ne becsülje alá a felmérés fontosságát. Ismerje meg alaposan a forrás és cél környezetet, az összes alkalmazást, szolgáltatást és függőséget.
* Kockázatelemzés: Azonosítsa a potenciális kockázatokat és dolgozzon ki enyhítési stratégiákat. Készítsen részletes rollback tervet.
* Ütemterv és felelősségi körök: Hozzon létre egy reális ütemtervet, és egyértelműen ossza ki a feladatokat és a felelősségi köröket a csapaton belül.
* Tesztelés, tesztelés, tesztelés:
* Dedikált tesztkörnyezet: Ha lehetséges, hozzon létre egy replikált tesztkörnyezetet, amely a lehető legjobban tükrözi az éles rendszert.
* Lépcsőzetes tesztelés: Kezdje kis, jól kontrollált tesztcsoportokkal, majd fokozatosan növelje a komplexitást.
* Minden forgatókönyv tesztelése: Ne csak a sikeres migrációt tesztelje, hanem a hibákat és a visszaállítást is.
* Felhasználói tesztelés: Vonjon be végfelhasználókat a tesztelésbe, hogy ellenőrizzék a hozzáférést a fájlokhoz, alkalmazásokhoz és egyéb erőforrásokhoz.
* Kommunikáció:
* Folyamatos tájékoztatás: Tartsa naprakészen az érintetteket (felhasználók, menedzsment, IT csapat) a migráció előrehaladásáról, a várható szolgáltatáskiesésekről és a teendőkről.
* Előzetes értesítés: Adjon elegendő időt a felhasználóknak a felkészülésre, ha valamilyen beavatkozásra van szükség a részükről (pl. jelszóváltoztatás, ha nincs PES).
* Támogatási csatornák: Biztosítson egyértelmű támogatási csatornákat a migráció utáni kérdések és problémák kezelésére.
* Lépcsőzetes bevezetés (Wave Migration):
* Ne próbálja meg az összes objektumot egyszerre migrálni. Ossza fel a migrációt kisebb, kezelhető „hullámokra” vagy fázisokra.
* Kezdje a kevésbé kritikus felhasználókkal vagy részlegekkel, és fokozatosan haladjon a kritikusabbak felé. Ez lehetővé teszi a problémák korai felismerését és a folyamat finomhangolását.
* Tisztítás és előkészítés:
* Forrás AD tisztítása: A migráció előtt távolítsa el az elavult, duplikált vagy nem használt objektumokat a forrás Active Directoryból. Ez csökkenti a migrációs időt és a hibák kockázatát.
* Cél OU struktúra: Tervezzen meg egy logikus és jól szervezett OU struktúrát a cél tartományban.
* Dokumentáció:
* Minden lépés dokumentálása: Részletesen dokumentálja a teljes migrációs folyamatot, beleértve a konfigurációs beállításokat, a futtatott parancsokat, a felmerült problémákat és a megoldásokat.
* Képernyőképek és naplók: Készítsen képernyőképeket a fontos beállításokról és mentse el az ADMT naplóit. Ez felbecsülhetetlen értékű lehet a jövőbeni hibaelhárításhoz vagy hasonló projektekhez.
* Teljesítmény és erőforrások:
* Győződjön meg róla, hogy az ADMT szerver és az SQL Server megfelelő erőforrásokkal (CPU, memória, lemez I/O) rendelkezik a migráció sebességének és stabilitásának biztosításához.
* Nagy migrációk esetén fontolja meg egy dedikált SQL Server használatát.
* Utólagos ellenőrzés:
* A migráció befejezése után végezzen alapos ellenőrzést, hogy minden objektum sikeresen átkerült-e, és az erőforrás-hozzáférések megfelelően működnek-e.
* Monitorozza a rendszereket a migráció utáni napokban és hetekben, hogy azonosítsa a rejtett problémákat.
Ezen tippek és bevált gyakorlatok követése jelentősen hozzájárulhat ahhoz, hogy a Microsoft Active Directory Migration Tool (ADMT) segítségével végrehajtott migrációs projekt sikeres és zökkenőmentes legyen, minimalizálva az üzleti fennakadásokat és biztosítva a felhasználói elégedettséget.