Strategie di migrazione da Windows NT4 a Windows Server 2003 Fabrizio grossi © 2002 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Agenda Strategia di Migrazione Preparazione della Migrazione Scelta del percorso di Migrazione Upgrade Ristrutturazione

Identificare l’ambiente presente Modello di domini attuale Relazioni di trust esistenti Numero e disposizione dei domain controller Utenti, gruppi, e computer account Come vengono gestiti i profili utente Amministrazione del Dominio Standard di Sicurezza e procedure

Agenda Strategia di Migrazione Preparazione della Migrazione Scelta del percorso di Migrazione Upgrade Ristrutturazione

Upgrade o Ristrutturazione ? Domain Migration Windows NT 4 Windows 2000 Windows 2000 Domain Upgrade Domain Restructure 1 Kerberos Kerberos OU OU 2 3 2 3 Upgrade Ristrutturazione Mantiene il modello di dominioattuale Mantiene la maggior parte delle impostazioni, preferenze e applicazioni installate Riduce il numero dei domini Può ridurre l’overhead amministrativo

Determinare un percorso di Migrazione Domain Upgrade Valutare Percorsi di Migrazione possibili Valutare Domain Restructure Valutare Upgrade e Restructure © 2002 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Ragioni per scegliere un percorso Upgrade La struttura del dominio è adatta alle necessità dell’organizzazione Offre minori rischi, tempi ridotti, minori risorse da utilizzare e non necessita di nuovi server ( … ) Ristrutturazione La struttura del dominio non è adatta alle necessità dell’organizzazione L’organizzazione non può tollerare il downtime E necessaria una struttura di domini ottimizzata © 2002 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Agenda Strategia di Migrazione Preparazione della Migrazione Scelta del percorso di Migrazione Upgrade Ristrutturazione

Recovery Plan 1. Aggiungete un BDC se il dominio contiene un solo domain controller 2. Documentate la configurazione dei servizi e delle applicazioni attive sui PDC e sui BDC 3. Eseguite un Back up dei servizi e delle applicazioni 4. Sincronizzate tutti i BDCs con il PDC 5. Mettete un BDC offline 6. Tenete questo BDC offline e disponibile fino alla fine della migrazione Domain Controller Backup Applicazioni Backup Dati Backup

Determinare l’ordine con cui fare l’upgrade dei Domini Usare un dominio dedicato come Forest Root Fare l’upgrade di un dominio esistente comeForest Root Contoso.com Windows NT 4.0 Domain Windows NT 4.0 Domain Windows NT 4.0 Domain europe asia europe.contoso.com asia.contoso.com nwtraders nwtraders.com Fare l’upgrade dell’Account Domain Fare l’upgrade del Resource Domains Dominio dove avete l’accesso più facile ai DC Per primo il dominio più piccolo Domini che conterranno gli oggetti provenienti dai domini ristrutturati Domini dove le applicazioni richiedano le funzionalità di Windows 2003 Domini con molte workstation Domini che conterranno gli oggetti provenienti dai domini ristrutturati

Determinare quando passare in Native Mode o successivi Eseguito Upgrade del PDC non Eseguito Upgrade del PDC ma non di tutti i BDC Windows NT Domain Mixed Mode Domain Native Mode Domain Eseguito Upgrade del PDC e di tutti i BDC – native mode Eseguito Upgrade del PDC e di tutti i BDC – mixed mode

Mantenimento dei servizi di rete durante l’Upgrade Fornire servizi DNS affidabili Fornire un servizio di risoluzione NetBIOS affidabile Fornire servizi DHCP affidabili Supporto della LAN Manager Replication Supporto dei Servizi di Accesso Remoto Pianificare l’interazione tra le Group Policy e le System Policy Migrazione e applicazione dei Logon Scripts

Fornire servizi DHCP affidabili OU 3 1 DHCP 4 2 Pianificazione per l’upgrade del DHCP 1 Upgrade del DHCP Server 2 Il DHCP Server (Upgraded) non può assegnare indirizzi IP, fornite un backup dei servizi DHCP 3 Autorizzate il DHCP Server 4 L’assegnazione degli indirizzi IP è riabilitata DHCP Client © 2002 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Gestione dell’Accesso alle Risorse  S-15-48430FA4-18AC01D7-5301355C-3F3 Risorse SID: S-15-48430FA4-18AC01D7-5301355C-3F3 I SID sono mantenuti DACL e Permission sono mantenute Le Group Membership sono mantenute Le relazioni di Trust sono mantenute © 2002 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Pulizia del Database SAM Cancellate Account utente duplicati Utenti, Gruppi e Computer account non utilizzati Gruppi associati a risorse che non esistono Disabilitate Gli account non utilizzati a breve Per mantenere diritti, permission, e group membership Consolidate gli account che fanno le stesse cose © 2002 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Agenda Strategia di Migrazione Preparazione della Migrazione Scelta del percorso di Migrazione Upgrade Ristrutturazione

Scenari di ristrutturazione Inter-Forest Sorgente Ristrutturazione di un Account Domain Windows NT 4.0 Ristrutturazione di un Resource Domain Windows NT 4.0 Account Domain Target Target OU Sorgente Resource Domain OU OU OU OU OU OU OU

Benefici nell’uso dell’ Active Directory Migration Tool Perchè usare ADMT? Operazioni di migrazione supportati da ADMT Analizza l’impatto della migrazione sia prima che dopo il processo di migrazione Possibilità di test prima della migrazione Supporta la migrazione tra foreste diverse e tra domini della stessa foresta Fornisce un wizards per supportare i compiti di migrazione più comune Migrazione di utenti gruppi e computer account tra domini Security translation su gruppi locali, profili utente, e risorse (file e stampanti) Popolazione dell’attributo SID-History Security translation sui computer © 2002 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Opzioni per la migrazione degli utenti in ADMT Option Scopo Traduzione dei profili roaming Copia i profili roaming dal dominio sorgente al dominio target per gli utenti selezionati Modifica dei diritti utente Imposta i diritti utente assegnati ai nuovi account nel dominio destinazione in modo che siano uguali a quelli dell’utente originale Migrazione dei gruppi associati agli utenti Migra i gruppi dell’utente nello stesso momento in cui migra l’utente Modifica degli oggetti precedentemente migrati Modifica i gruppi di cui sono membri gli utenti migrati Non rinomina gli account Cerca di assegnare aglli account migrati lo stesso nome che avevano nel dominio sorgente Rinomina con prefisso Aggiunge un prefisso specifico al nome di ogni utente migrato nel dominio target Rinomina con suffisso Aggiunge un suffisso specifico al nome di ogni utente migrato nel dominio target © 2002 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Migrazione delle Password con ADMT E’ possibile utilizzare il Password Encryption Service per migrare le password utilizzando lo User Account Migration Wizard Opzioni Scopo Password complesse Genera automaticamente una password complessa per ogni account migrato Uguali al nome utente Imposta la password per ogni utente migrato alle prime 14 lettere dell’account utente Migrazione delle password Mantiene le password utente durante la migrazione Posizione del file delle password Specifica un file per le password dove vengono scritte le password assegnate o generate I password filter non riescono a verificare la complessità o la lunghezza delle password perchè nel dominio sorgente esiste solo un a hash della password © 2002 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Sequenza per Collassare i Domini Target OU Account Domain 1 Migrazione dell’ account domain OU Resource Domain OU OU Sorgente OU OU OU OU Resource Domain Target OU 2 Migrazione del resource domain © 2002 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Concetti di sicurezza Access Token User: S-1-5-21-397955417-626881126-188441444-2812048 Groups: S-1-5-21-645522239-1957994488-725345543-1108 S-1-5-21-397955417-626881126-188441444-101018 S-1-5-21-645522239-1957994488-725345543-1109 . . . . SID primary dell’utente sIDHistory dell’utente SID dei gruppi di cui l’utente fa parte SIDhistory garantisce l’accesso per gli utenti spostati ACL su una cartella condivisa Allow R W S-1-5-21-645522239-1957994488-725345543-1108

Clonazione dei Security Principals in uno Scenario Inter-Forest Clonazione degli utenti Clonazione dei gruppi Universali Spostamento dei Computer Account Clonazione dei gruppi Globali Clonazione dei gruppi Domain Local Clonazione dei gruppi Locali

Migrazione dei gruppi Globali Windows Server 2003 Domain New Object New SID Domain1 Gruppi Globali SID-History Domain2 Windows NT 4.0 Domain3 Group Account Migration Wizard Legge i gruppi globali nel dominio sorgente Crea un nuovo oggetto nel dominio target (con un nuovo SID) Aggiunge il SID originale all’attributo SID-History del nuovo oggetto Registra un evento nel dominio sorgente e target © 2002 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Opzione della Migrazione dei gruppi Scopo Modifica i diritti utente Copia i diritti utente dal dominio sorgente al dominio destinazione Copia i membri dei gruppi Copia i membri dei gruppi che avete selezionate per essere migrati Modifica gli oggetti precedentemente migrati Modifica i membri dei gruppi che avete selezionate per essere migrati Migra il SID del gruppo sul dominio target Aggiunge il SID degli account migrati all’attributo SID-History del nuovo account nel dominio destinazione Non rinominare gli account Cerca di assegnare al gruppo migrato lo stesso nome che aveva nel dominio sorgente Rinomina con un prefisso Aggiunge un prefisso specificato al nome di ogni gruppo migrato nel dominio target Rinomina con un suffisso Aggiunge un suffisso specificato al nome di ogni gruppo migrato nel dominio target © 2002 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Naming Conflicts Options Opzioni Scopo Ignora gli account in conflitto e non migrare Non modifica l’account nel dominio di destinazione Rimpiazza gli account in conflitto Cambia le proprietà dell’account esistente nel dominio destinazione perchè abbia le stesse proprietà dell’account nel dominio sorgente Rimuove i diritti utente esistenti Garantisce che l’account nel dominio destinazione non abbia più diritti utente dell’account con lo stesso nome nel dominio sorgente Rimuove i membri dei gruppi che vengono rimpiazzati Garantisce che i membri dei gruppi migrati nel dominio destinazione siano gli stessi dei membri dei gruppi associati nel dominio sorgente Rinomina gli account in conflitto aggiungendo Aggiunge un suffisso o un prefisso specificati al nome dell’account migrato nel dominio destinazione © 2002 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Opzioni di transizioni dell’Account Scopo Disabilita gli account sorgente Disabilita l’account utente originale nel dominio sorgente Disabilita gli account destinazione Disabilita il nuovo account utente nel dominio destinazione Lascia entrambi gli account attivi Lascia attivi entrambi gli account (nel dominio sorgente e destinazione) Giorni dopo i quali l’account sorgente scade Imposta il numero di giorni dopo i quali l’account sorgente non è più disponibile Migra il SID utente nel dominio destinazione Aggiunge il SID dell’utente migrato all’attributo SID-History del nuovo account nel dominio destinazione © 2002 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Migrazione dei Service Account Domain1 service1 service2 service3 Domain2 Windows NT 4.0 Domain3 service1 service2 service3 Service Accounts Windows Server 2003 Domain Identificate i service accounts Migrate i service accounts Modificate i servizi perchè si validino utilizzando gli account migrati © 2002 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Migrazione dei Computer Account Domain1 Domain2 SAM DBs Windows NT 4.0 Domain3 Computer Accounts Windows Server 2003 Domain I Computer account includono workstation e member server Workstation e member server hanno il loro database SAM locale Gli account locali vengono spostati automaticamente con il computer account © 2002 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Migrazione dei profili degli Utenti Locali Domain1 Domain2 Profili utente Windows NT 4.0 Domain3 Per le workstations Windows NT 4.0 Windows 2000 Windows XP Profili utente Windows Server 2003 Domain © 2002 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Opzione di migrazione dei profili Opzioni Scopo Traduci gli oggetti Specifica il tipo di oggetti per cui vuoi che ADMT traduca la security Opzioni di Security Translation (1) Selezionate Previously migrated objects per attivare la security translation sugli oggetti precedentemente migrati, selezionate Other objects specified in a file per gestire atri oggetti che siano specificati in un file Opzioni di Security Translation(2) Selezionate Replace per cambiare il SID per l’account nel dominio sorgente con il SID per l’account nel dominio destinazione Selezionate Add per includere sia il vecchio SID che il nuovo SID nella chiave di registry della lista dei profili sul client computer Windows NT 4.0 Selezionate Remove per cancellare il SID per l’account nel dominio sorgente © 2002 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Riconfigurare i permessi per le risorse condivise L’ attributo SID-History mantiene l’accesso alle risorse Riconfigurare le permission per usare i nuovi security identifier, al fine di: Decrementare le dimensioni del token di accesso Diminuire il tempo di logon Cancellare l’attributo SID-History Incrementare le performance © 2002 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Migrazione delle System Policy Effetti di un upgrade di dominio Effetti di una ristrutturazione Le Group Policy sono applicate se il domain controller del dominio Windows Server 2003 autentica i computer client Windows Server 2003 Le System policy sono applicate se il domain controller Windows NT 4.0 autentica computers client Windows Server 2003 Le System policy sono applicate se un account utente o un computer account sono in un dominio Windows NT 4.0 Le Group Policy sono applicate se un utente o un computer account sono in un dominio Windows Server 2003 Le System policy da un dominio sorgente non sono automaticamente applicate ai computer client migrati Le System policy sono applicate se un account utente o un computer account sono in un dominio NT4 Le Group Policy sono applicate se un utente o un computer account sono in un dominio Windows Server 2003 © 2002 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

© 2003 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary. © 2002 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.