Computerkonten umziehen ...

[Sarek 11]

Hallo zusammen,

 

wir haben zur Zeit eine Domäne mit einem DomainController unter Windows 2000 Server. In der kommenden Woche müssen wir auf Server 2008 R2 x64 umstellen. Dabei tauschen wir auch die Hardware aus, starten also unsere Domäne komplett neu.

 

Unser Klassenraum-Kontrollprogramm (INIS) kann glücklicherweise alle Benutzer hinterher wieder anlegen und die entsprechenden Freigaben auf dem Server einrichten. Was mir aber Kopfzerbrechen bereitet, sind die Computerkonten. Ich habe keine Lust, 120 Computer manuell aus der Domäne rauszuwerfen und hinterher wieder aufzunehmen - jedesmal verbunden mit einem Neustart.

 

Gibt es da eine bessere Möglichkeit? Kann ich die Computerkonten irgendwie exportieren und hinterher in das neue AD importieren (mit den entsprechenden SIDs natürlich)? Mir wurde bisher nur eine Lösung vorgeschlagen, in der ich den neuen DomainController zuerst als zweiten DC einbinde, dann replizieren lasse und dann die Rollen übertrage und den alten DC abschalte. Das möchte ich aus verschiedenen Gründen nicht. Ich suche wirklich eher eine Scriptlösung, und ich möchte auch ausschließlich die COMPUTERkonten umziehen!

 

 

Danke für Eure Hilfe!

Sarek

[Daim 12]

Servus,

 

Ich suche wirklich eher eine Scriptlösung, und ich möchte auch ausschließlich die COMPUTERkonten umziehen!

 

du suchst ADMT, mit dem du die Computerkonten in die neue Domäne migrieren kannst.

[NilsK 2.930]

Moin,

 

wir haben zur Zeit eine Domäne mit einem DomainController unter Windows 2000 Server. In der kommenden Woche müssen wir auf Server 2008 R2 x64 umstellen. Dabei tauschen wir auch die Hardware aus, starten also unsere Domäne komplett neu.

 

wo ist da der Zusammenhang? Du kannst selbstverständlich die Domäne beibehalten und trotzdem die DC-Hardware erneuern. Ist viel einfacher und vermeidet viel Stress.

 

Mir wurde bisher nur eine Lösung vorgeschlagen, in der ich den neuen DomainController zuerst als zweiten DC einbinde, dann replizieren lasse und dann die Rollen übertrage und den alten DC abschalte. Das möchte ich aus verschiedenen Gründen nicht.

 

Die Methode wurde zu Recht empfohlen. Was sind deine "verschiedenen Gründe", die dagegen sprechen?

 

Gruß, Nils

[Sarek 11]

Hallo Nils,

 

wo ist da der Zusammenhang? Du kannst selbstverständlich die Domäne beibehalten und trotzdem die DC-Hardware erneuern. Ist viel einfacher und vermeidet viel Stress.

 

Gilt das auch, wenn sowohl die DC-Hardware als auch das DC-Betriebssystem ausgewechselt wird?

 

 

Die Methode wurde zu Recht empfohlen. Was sind deine "verschiedenen Gründe", die dagegen sprechen?

 

Vor allem ein Grund spricht dafür. Der neue DC muß hinterher den gleichen Namen und die gleiche IP-Adresse haben wie der alte DC. Meines Wissens kann ich aber zumindest den Namen eines DC (auch die IP-Adresse?) nicht nachträglich verändern.

 

Ansonsten spräche noch dafür, daß wir das AD bei der Gelegenheit gleich mal entrümpelt hätten. Viele Strukturen sind im Laufe der Jahre einfach gewachsen ...

[GuentherH 61]

Hi.

 

Der neue DC muß hinterher den gleichen Namen und die gleiche IP-Adresse haben wie der alte DC

 

Und gerade dafür spricht die Variante mit einem temporären DC. Ansonsten kannst du alle Mirgrationstools vergessen, den diese setzen ja für die Migration jeweils einen funktionierenden DC in alten bzw. neuen Domäne voraus.

 

Und vielleicht wäre es ratsam, sich doch an die BestPractice Vorschläge zu halten, und nicht versuchen die eigenen Wünsche durchzusetzen. Ansonsten läufst du wirklich in Gefahr 120 Clients manuell umzustellen.

 

LG Günther

[Sarek 11]

Und gerade dafür spricht die Variante mit einem temporären DC. Ansonsten kannst du alle Mirgrationstools vergessen, den diese setzen ja für die Migration jeweils einen funktionierenden DC in alten bzw. neuen Domäne voraus.

 

GLEICHZEITIG? Denn ich hatte es mir bisher so gedacht, zunächst (solange der alte DC läuft) mit ADMT zu exportieren, den dann abzuklemmen, den neuen Server als DC zu installieren und dann mit dem ADMT die exportierten Daten wieder einzulesen. Geht das nicht?

 

Du sagst nun, gerade WEIL der neue DC hinterher den gleichen Namen und die gleiche IP-Adresse wie der alte DC haben MUSS, wäre die Migration über einen temporären DC zu empfehlen. Bin ich denn falsch informiert, was die Änderung von Namen und IP-Adresse bei einem DC angeht? Wenn ich den neuen Server zunächst als Secondary DC in die Domäne einbinde, dann muß ich ihm ja erst mal einen anderen Namen und eine andere IP-Adresse geben, denn ich kann schlecht zwei Server mit dem gleichen Namen und der gleichen IP in einer Domäne haben. Wenn der alte DC dann raus ist, müßte ich den neuen DC umbenennen und seine IP ändern. Wie gesagt, bisher hatte ich gehört, daß das bei einem DC nicht geht. Geht es doch?

[Dukel 451]

Der Temporäre DC bekommt einen neuen Namen + IP, repliziert das komplette AD und dann wird der 1. DC aus der Domäne genommen. Dann kommt der neue DC in die Domäne mit Name + IP des alten DC's.

[Sarek 11]

Der Temporäre DC bekommt einen neuen Namen + IP, repliziert das komplette AD und dann wird der 1. DC aus der Domäne genommen. Dann kommt der neue DC in die Domäne mit Name + IP des alten DC's.

 

Also ein DRITTER DC? Wo soll ich denn die Hardware dafür hernehmen?

[LukasB 10]

Also ein DRITTER DC? Wo soll ich denn die Hardware dafür hernehmen?

 

Aus dem Lab? Oder, wenns das Budget ganz bescheiden ist (was ich mir bei 120 Rechnern kaum vorstellen kann), nimmst du halt irgendeinen PC.

[Sarek 11]

Aus dem Lab? Oder, wenns das Budget ganz bescheiden ist (was ich mir bei 120 Rechnern kaum vorstellen kann), nimmst du halt irgendeinen PC.

 

Wenn man in einem profitorientierten Unternehmen sitzt, dann kann man das leicht sagen. Die meißten größeren Unternehmen die ich kenne, investieren gutes Geld in ihre IT. Aber wir sind eine Schule. Unser IT-Jahresetat liegt bei unter 2000 Euro! Die 120 Rechner sind großteils noch P4 der ersten Generation; den neuen Server haben wir uns mit Mühe und Not aus verschiedenen Etatpositionen zusammengespart, weil es für Server 2000 halt keine Sicherheitsupdates mehr gibt. So ist das leider im Schulwesen. Alle wollen, daß unsere Kinder modern ausgebildet werden, aber keiner gibt den Schulen das Geld dafür.

 

Also, wir haben softwareseitig einen Server 2008 R2 x64 erworben. So ein Teil läßt sich meines Wissens (zumindest sagen das die im Internet veröffentlichen Systemanforderungen) nur auf einer 64bit-Hardware installieren. Zur Zeit haben wir nur einen 64bit-Rechner, und das ist der neue DC. Wo soll ich nun bitte einen Rechner hernehmen, um neben dem neuen DC auch noch einen temporären DC aufzusetzen?

[LukasB 10]

Zur Zeit haben wir nur einen 64bit-Rechner, und das ist der neue DC. Wo soll ich nun bitte einen Rechner hernehmen, um neben dem neuen DC auch noch einen temporären DC aufzusetzen?

 

Also, es gibt verschiedene Ansätze um dein Problem zu lösen - du könntest z.B. als temporären DC eine WS03 x86 oder WS08 x86-Installation nehmen. Da wirds dann lizenztechnisch etwas schwieriger, aber es dürfte momentan leicht sein Firmen zu finden, die evtl. alte Server mit WS03-OEM Lizenzen an eine Schule spenden würden. Nimm doch mal Kontakt mit all den Leuten auf die du kennst und auch in der IT arbeiten - irgendjemand kann dir sicher Helfen. Und falls nicht, würd ich einfach mal lokale Firmen anfragen - wir haben z.B. der Schule Horgen aus der Patsche geholfen.

 

Auf jeden Fall ist das Problem nicht so unlösbar wie du es darstellst.

[Sarek 11]

Also, es gibt verschiedene Ansätze um dein Problem zu lösen - du könntest z.B. als temporären DC eine WS03 x86 oder WS08 x86-Installation nehmen. Da wirds dann lizenztechnisch etwas schwieriger, aber es dürfte momentan leicht sein Firmen zu finden, die evtl. alte Server mit WS03-OEM Lizenzen an eine Schule spenden würden. Nimm doch mal Kontakt mit all den Leuten auf die du kennst und auch in der IT arbeiten - irgendjemand kann dir sicher Helfen. Und falls nicht, würd ich einfach mal lokale Firmen anfragen - wir haben z.B. der Schule Horgen aus der Patsche geholfen.

 

Und dieser "Umweg" mit der Neuinstallation von gleich zwei Servern ist wirklich besser und einfacher als nur die Computerkonten mit ADMT aus dem alten DC zu exportieren und in den neuen DC zu importieren? Wo liegen die Nachteile dieser ursprünglich vorgesehenen Lösung? Wenn ich da jetzt noch einen temporären Server ins Spiel bringe, muß ich den Entscheidern auch gute und fundierte Gründe vorlegen können.

 

 

Auf jeden Fall ist das Problem nicht so unlösbar wie du es darstellst.

 

Das Problem wäre dann noch, daß es sehr schnell gehen muß. Wir können diese Umstellung nur innerhalb der Ferien durchführen. Und da auch ich dann im August noch mal Urlaub habe, muß es diesen Monat über die Bühne gehen.

[LukasB 10]

Und dieser "Umweg" mit der Neuinstallation von gleich zwei Servern ist wirklich besser und einfacher als nur die Computerkonten mit ADMT aus dem alten DC zu exportieren und in den neuen DC zu importieren? Wo liegen die Nachteile dieser ursprünglich vorgesehenen Lösung? Wenn ich da jetzt noch einen temporären Server ins Spiel bringe, muß ich den Entscheidern auch gute und fundierte Gründe vorlegen können.

 

Ein Im- und Export von Active Directory ist nicht möglich, wie du dir das genau vorstellst. Du könntest zwar grundsätzlich neue Computerobjekte erstellen gemäss einem Export, aber diese hätten dann nicht mehr die gleiche SID, und du müsstest alle Rechner neu in die Domain joinen.

 

Das Problem wäre dann noch, daß es sehr schnell gehen muß. Wir können diese Umstellung nur innerhalb der Ferien durchführen. Und da auch ich dann im August noch mal Urlaub habe, muß es diesen Monat über die Bühne gehen.

 

Dann würd ich mal anfangen Leuten anzurufen. Oder wenn du glaubst das es sich lohnt kannst du hier vorbeikommen und einen alten xSeries 330 mit WS03 abholen...

[Sarek 11]

Ein Im- und Export von Active Directory ist nicht möglich, wie du dir das genau vorstellst. Du könntest zwar grundsätzlich neue Computerobjekte erstellen gemäss einem Export, aber diese hätten dann nicht mehr die gleiche SID, und du müsstest alle Rechner neu in die Domain joinen.

 

Manuell?? Ich habe das so verstanden, daß die neu angelegten Rechner bei ihrer ersten Anmeldung in der Domäne automatisch erkannt und im AD mit der SID versehen werden. Müßte ich wirklich jeden Rechner erst mal aus der Domäne rauswerfen, neustarten und dann wieder in die Domäne aufnehmen? Dann könnte ich mir doch das ADMT sparen, auf dem Weg bekomme ich die Rechner auch ohne ADMT in die neue Domäne :(

 

 

Dann würd ich mal anfangen Leuten anzurufen.

 

So viele kenne ich aus dem Bereich der freien Wirtschaft nicht. Und im Bereich der Schulen hat sicher niemand eine unbenutzte Server2003-Lizenz. Ich kenne keinen Schulkollegen, der von 2003 auf 2008 aufgerüstet hätte, dafür fehlt eigentlich überall das Geld. Eine Version wird immer übersprungen.

 

 

Oder wenn du glaubst das es sich lohnt kannst du hier vorbeikommen und einen alten xSeries 330 mit WS03 abholen...

 

Da ich Server 2003 x86 bequem auf jedem PC installieren kann, würde mir da ja schon der Setup-Datenträger und die Seriennummer reichen. Und DAFÜR schicke ich Dir notfalls auch noch einen frankierten Rückumschlag ;)

bearbeitet 19. Juli 2010 von Sarek
Tippfehler korrigiert

[LukasB 10]

Manuell?? Ich habe das so verstanden, daß die neu angelegten Rechner bei ihrer ersten Anmeldung in der Domäne automatisch erkannt und im AD mit der SID versehen werden. Müßte ich wirklich jeden Rechner erst mal aus der Domäne rauswerfen, neustarten und dann wieder in die Domäne aufnehmen? Dann könnte ich mir doch das ADMT sparen, auf dem Weg bekomme ich die Rechner auch ohne ADMT in die neue Domäne :(

 

Mit ADMT migrierst du die Computerkonten mittels einem Agent - dafür müssen aber beide Domains laufen. Grundsätzlich ist das aber nicht der optimale Ansatz, da du dann immer noch alle Benutzer neu anlegen musst, alle Rechte neu vergeben. Der richtige Ansatz ist eine Migration derselben Domain - wenn der neue DC denselben Namen und diesselbe IP haben muss, brauchst du einen temporären DC - diese Anforderungen ist aber allein auf deinem Mist gewachsen - nötig ist das eigentlich nicht ;)

 

Da ich Server 2003 x86 bequem auf jedem PC installieren kann, würde mir da ja schon der Setup-Datenträger und die Seriennummer reichen. Und DAFÜR schicke ich Dir notfalls auch noch einen frankierten Rückumschlag ;)

 

OEM-Lizenzen sind gemäss Lizenzvertrag an die Hardware gebunden.