Active Directory.pdf - Gattner

246 Kapitel 7: Migrieren auf die Active Directory-Domänendienste
Zum anderen können Sie neue Windows Server 2008-Domänencontroller (DCs) in einer Windows
2000 Server- oder Windows 2003 Server-Quelldomänenumgebung installieren. Die Verzeichnisdienstobjekte
werden auf die Windows Server 2008-Domänencontroller repliziert, und Sie können
unmittelbar oder im Laufe der Zeit die DCs mit dem älteren Betriebssystem außer Betrieb setzen.
Bei einer Aktualisierung auf Windows Server 2008 sind vor der Migration zwei Schritte auszuführen.
Bevor Sie die Domäne für Windows Server 2008 vorbereiten, ist eine Vorbereitung der Gesamtstruktur
erforderlich. Diese beiden Aufgaben werden mithilfe des Tools Adprep.exe durchgeführt. Die
Vorbereitung von Gesamtstruktur und Domäne vor dem Durchführen der Aktualisierung wird an späterer
Stelle in diesem Kapitel im Abschnitt „Aktualisieren der Domäne“ erläutert.
Domänenumstrukturierung
Bei einer Domänenumstrukturierung wird eine neue Windows Server 2008-Domäne erstellt, und
AD DS-Objekte werden in diese neue Umgebung migriert. Ein Vorteil dieser Migrationsoption
besteht darin, dass die ursprüngliche Active Directory-Umgebung während der Erstellung der Zielumgebung
nicht verändert wird. Ein weiterer Vorteil liegt darin, dass es sich bei der Domänenumstrukturierung
um ein selektives Verfahren handelt. Im Gegensatz zu einer Domänenaktualisierung können
Sie auswählen, welche Objekte Sie auf die neue Domäne migrieren möchten. Bei einer Domänenaktualisierung
haben Sie nur zwei Möglichkeiten: alles oder nichts – alle Objekte in der Domäne werden
auf Windows Server 2008 und die AD DS aktualisiert. Eine Domänenumstrukturierung ist eine gute
Gelegenheit, alle doppelten, inaktiven, zum Testen verwendeten oder anderweitig außer Kraft gesetzten
Benutzer-, Gruppen-, Dienst- und Computerkonten zu entfernen. Diese sind nach der Migration
auf das neue Domänenmodell nicht mehr vorhanden. Die alten Domänencontroller übernehmen entweder
weniger Funktionen oder eine neue Rolle, oder sie werden außer Betrieb genommen.
Benutzer-, Gruppen-, Dienst- und Computerkonten, auch als Sicherheitsprinzipale bezeichnet, werden
von der NTDS-Datenbank auf die neue AD DS-Datenbank migriert. Zum Durchführen dieser
Migration bestehen zwei Möglichkeiten: Konten können entweder verschoben oder kopiert werden.
Beim Verschieben eines Objekts wird der ursprüngliche Sicherheitsprinzipal während des Migrationsverfahrens
aus der Quelldomäne entfernt. Das Verschieben ist ein zerstörerisches Verfahren, dabei
werden die Objekte der Quelldomäne nicht für ein Rollback (Notfallwiederherstellung) gesichert.
Beim Kopieren wird auf Grundlage des Objekts in der Quelldomäne ein neuer, identischer Sicherheitsprinzipal
in der Zieldomäne erstellt. Das Kopieren stellt das bevorzugte Verfahren zum Übertragen
von Sicherheitsprinzipalen in die neue Windows Server 2008-Gesamtstruktur dar. Das Verschieben
von Sicherheitsprinzipalen wird häufiger beim Durchführen einer Migration zwischen zwei
Windows Server 2008-Domänen innerhalb einer Gesamtstruktur oder zwischen einer Windows 2000/
Windows Server 2003-Gesamtstruktur und einer Windows Server 2008-Domäne genutzt, denn bei
diesen Vorgängen besteht nicht die Möglichkeit zum Kopieren von Sicherheitsprinzipalen.
So funktioniert es: Verwenden des SID-Verlaufs, um den Ressourcenzugriff beizubehalten
Wie wird bei der Migration von Benutzerkonten von einem Domänencontroller auf einen anderen
der Zugriff der Benutzerkonten auf Ressourcen wie beispielsweise Drucker und freigegebene Ordner
beibehalten?