Win2K3 DC ersetzen & ADS Benutzer zusammensammeln

[Daim 12]

So, umgekehrt habe ich hetzt genau das gegenteilig logische Problem:

 

Ne. nicht "logisch". Das hätte funktionieren können und abgesehen davon, was ist in der IT schon logisch ;) .

 

 

Der Server der Zieldomäne und der entsprechende DC ist erreichbar, ebenso die Quelldomäne, aber nicht der dazugehörige DC. Ich sehe mich schon die Rechner wieder einzeln einbinden ...

 

Welche Fehlermeldung erhälst du denn, wenn du als Ziel dann nicht einen DC auswählst, sondern <Any domain controller> auswählst ?

Du nutzt die Version 3 von ADMT ?

 

 

Gibt es irgendwelche Dienste, die zwingend gestartet werden müssen?

 

Keine besonderen als die Standard-Dienste die auf einem DC ohnehin automatisch laufen.

 

 

Hast Du noch Ideen?

 

Hast du sicherheitshalber mal das Whitepaper zu ADMT durchforstet bezgl. x64Bit ?

Das würde ich einmal tun.

[Volker Racho 10]

Hallo!

 

Die Fehlermeldung, wenn ich <beliebiger DC> stehen lasse ist: "ADMT konnte keine Verbindung zum DC \\server.netzwerk in der Domäne NETZWERK herstellen. Der Netzwerkpfad wurde nicht gefunden (0x80070035)." Diese Fehlermeldung deutet lt. Google auf eine Firewall-, Netzwerbindungsproblem hin. Aber, wie gesagt, da ist alles schüssig.

 

ADMT 3 - nochmals runtergeladen. x64er Systeme werden ausdrücklich als Systemvorraussetzung mit genannt. Spezielle Anmerkunge gibt es dazu im WP nicht.

 

Auf Deinen Blog-Eintrag kann ich momentan nicht zugreifen (Fehlermeldung beim Aufruf der Seite)

[Daim 12]

Der Netzwerkpfad wurde nicht gefunden (0x80070035)."[/i] Diese Fehlermeldung deutet lt. Google auf eine Firewall-, Netzwerbindungsproblem hin. Aber, wie gesagt, da ist alles schüssig.

 

Genau darauf deutet es hin.

Da der DC namentlich im ADMT nicht angezeigt wird, kommt diese Fehlermeldung auch hin. Das kuriose ist, der physikalische Zugriff besteht, lediglich das ADMT ist im glauben, dass es keine Verbindung hätte. Ich hätte adhoc auf DNS sowie Verbindungsprobleme getippt bzw. das die Vertrauensstellung nicht 100% korrekt funktioniert.

 

Überprüfe sicherheitshalber den TRUST, z.B. mit NETDOM.

 

 

Auf Deinen Blog-Eintrag kann ich momentan nicht zugreifen (Fehlermeldung beim Aufruf der Seite)

 

Das ist auch das schärfste. Meine Seite liegt auf dem Web-Server des Veranstalters der ICE. Der Webspace ist wieder voll und muss erweitert werden. Ich habe bereits eine Mail geschickt und hoffe, dass das heute Abend behoben wird. Also nur Geduld haben bitte ;) .

[Volker Racho 10]

Ich habe nun die bidirektionale Vertrauensstellungen für die vertrauende und vertraute Domäne am Quellserver neu erfolgreich (lt. Hinweis) eingerichtet.

 

NETDOM TRUST das SID-Filtering wieder ausgeschaltet (falls das ein Hinderungsgrund wäre).

 

NETDOM VERIFY sagt aber wieder das der Netzwerkpfad nicht gefunden werden kann. ADMT weigert sich standhaft. Nach welchen Netzwerkpfd sucht es denn in der Zieldomäne?

:confused:

[Daim 12]

NETDOM VERIFY sagt aber wieder das der Netzwerkpfad nicht gefunden werden kann. ADMT weigert sich standhaft. Nach welchen Netzwerkpfd sucht es denn in der Zieldomäne?

 

Aha, also doch noch etwas im Trust-Busch.

Lösche die Vertrauensstellung nochmals und erstelle diesmal den Trust mit NETDOM.

Was spricht ein Verify dann ?

 

 

P.S. Meine Seite läuft wieder.

[Volker Racho 10]

Hallo!

 

Die Vertrauensstellung läßt sich nicht mit (NETDOM TRUST NETDOM TRUST intranet.kirche-ort.de /d:Diakonie /Add /Twoway) einrichten.

Ich habe jetzt problemlos eine Zonendeligierung in beiden DNS eingerichtet und erlaubt, die auch wunderbar funktioniert.

 

Die Vertrauensstellung über ADS einzurichten klappt fehlerfrei. UND: ADMT erkennt vom Quell-Server aus jetzt immerhin auch die Ziel-Domäne und den -DC, jedoch kommt dann wieder die Fehlermeldung: "ADMT konnte keine Verbindung mit dem DC in Domäne INTRANET (= intranet.kirche-ort.de) herstellen. Zugriff verweigert (0x80070005)".

 

Anders herum, ADMT vom Ziel-Server aufzurufen, hakt immer noch an der Erkennung des DCs der Quelldomäne.

 

--- break ---

 

So,

und da ist mir dann noch etwas eingefallen:

Wir behalten nie die vorgegebenen Accounts für die Admins, sondern benennen diese um, samt Login. Das habe ich zwar auf beiden Servern genau gleich gemacht, auch samt Passwort, aber vielleicht hakt es ja an soetwas Simplem wie dem Admin-Benutzerkonto.

 

Also flugs ein neues Admin-Konto auf beiden Servern gleich erstellt und auf beiden Servern damit eingeloggt.

Und siehe da: ADMT macht anstandslos auf der Quell-Domäne mit dem Tet einer Benutzerkontomigration weiter!

 

Zwar scheitert die Migration der Passwörter, weil "keine Sitzung mit dem Kennwortexportserver(dienst)" aufgrund fehlender Installation (?) vorhanden ist, aber ich kann ja notfalls welche generieren lassen.

 

Letztlich aber ist die Migration erfolglos:

[Objektmigrationsabschnitt]
2007-12-05 10:26:41 Kontoreplikation wird gestartet.
2007-12-05 10:26:41 ERR2:7816 Es konnte nicht ermittelt werden, ob das Quellobjekt "LDAP://Netzwerk/CN=Halloween-Test HP.,CN=Users,DC=Netzwerk" einem Objekt in der Zielgesamtstruktur oder Zieldomäne entspricht.  Das Handle ist ungültig.
2007-12-05 10:26:41 ERR2:7301 Fehler beim Migrieren von Quellobjekt "CN=Halloween-Test HP." zu Domäne "intranet.kirche-ort.de". Das Zielobjekt konnte nicht erstellt werden. hr=0x80070006  Das Handle ist ungültig.
2007-12-05 10:26:41 Vorgang abgeschlossen.

 

?

[Daim 12]

Auch wenn der folgende Artikel eine Migration von NT zu 2003 beschreibt, wende diesen mal an.

Es gibt keinen ADMT-Artikel der eine Migration von Windows Server 2003 zu Windows Server 2003 beschreibt. Daher ist es einen Versuch wert.

 

Stichwort: TcpipClientSupport

 

How to configure the Active Directory Migration Tool to migrate user passwords from a Windows NT 4.0 domain to a Windows Server 2003 domain

[Volker Racho 10]

Ich glaube, ich geb's dran und werde es Benutzer für Benutzer machen.

Bei der Quelldomain kriege ich mit dem kryptischen ADMT-Befehl nicht mal die *.pes Datei erzeugt, die die Kennwortmigrations-DLL als Vorgae haben möchte ...

 

Aber ist das auch das Problem? Ich kann ja einfach mittels ADMT ein neues PW generieren lassen, was nicht schlimm wäre, aber danach kommt ja auch die Fehlermeldung (s.o.), dass der Account nicht erstellt werden konnte.

 

...

[Daim 12]

Aber ist das auch das Problem?

 

Nein, dass Kennwort ist nicht das Problem.

Ich persönlich würde die Kennwörter auch nicht mitnehmen, sondern neue vergeben lassen. ADMT stellt ohnehin dann die Option "Benutzer muss Kennwort bei der nächsten Anmeldung ändern" ein.

 

Aber der Registry-Key hat, sofern ich das auf die schnelle sehen konnte, nichts mit dem Kennwort zu tun.

Setze diesen mal und starte danach den DC neu und versuche es erneut.

[Volker Racho 10]

Hat leider auch nix gebracht.

Latein Ende.