Full Trust to external Trust

[wilgin 11]

Hallo an alle,

 

wir haben in unserem Forrest zwei subdomänen (full trust) und mehrere Ressourcendomänen (external trust). Ich möchte nun die beiden verblieben Full Trust Domänen ebenfalls zu Ressourcen Domänen ändern. Also die Maschinenkonten bleiben, und die Benutzer- Gruppenkonten wandern in die Root Domäne.

 

Gibt es heir einen "best practice" Weg um das ganze mit einem so gering wie möglichen Zeit und unterbrechungsaufwand umzusetzen?

 

Bin für alle Tips und Infos dankbar

[dmetzger 10]

Zumindest mir fällt es schwer, auf Grund Deiner wenigen Informationen zu bestimmen, wie Deine Umgebung genau aussieht und wie sie aussehen soll.

 

Zum Beispiel verstehe ich nicht, ob Du nun einen Forest hast oder mehrere. Ich weiss nämlich nicht, was ein External Trust innerhalb der gleichen Gesamtstruktur sein soll. Auch habe ich noch nie von einem "Full Trust" gehört, obschon ich jede Menge Migrationen durchführe.

How Domain and Forest Trusts Work: Domain and Forest Trusts

 

Da Du Dich nach Best Practices erkundigst:

faq-o-matic.net » Welches Domänenmodell ist das Beste für Active Directory?

 

Die Frage ist weshalb Du mehrere Gesamtstrukturen/Domänen überhaupt brauchst. Isolation und Autonomie sind hier ggf. Stichworte. Ich kenne globale Infrastrukturen, die mit einer Gesamtstruktur und Domäne auskommen, während andere eine leere Root-Domäne und eine Produktiv-Domäne (neuer Domänenstrukturraum in der gleichen Gesamtstruktur) mit weit über 50'000 Benutzerobjekten führen.

[wilgin 11]

Hallo,

 

Sorry für die fehlenden Info.

 

Die Bezeichnung "Full Trust" muss gegen "transitive trust" getauscht werden.

Bei den Domänen handelt es sich um Child Domänen, die unter outgoing und incoming trust in den Eigenschaften der Stammdomäne (forest root domain) angeführt sind.

 

Die jetzigen Ressourcen Domänen sind nicht transitive, mit trust type "external" und unter incoming trust aufgeführt. Es handelt sich hier um eigenständige Testumgebungen, wo sich die Benutzer der Stammdomäne anmelden können.

Dahin sollten auch die beiden parent-child Domänen migriert werden.

Forrest und Domain functional level ist jeweils Windows 2008 R2.

 

Hoffe das nun alle Infos drinnen sind :) Danke.

[NilsK 2.930]

Moin,

 

du kannst keine Domänen aus einem Forest herauslösen. Wenn du statt der forest-integrierten Domänen künftig externe Domänen haben willst, musst du diese in neue separate Domänen migrieren, die du außerhalb des Forests erzeugst.

 

Gruß, Nils

[wilgin 11]

Hallo Nils,

 

danke für die Info.

Mein Plan wäre einen neuen DC einzurichten, hier den external trust zum forest root zu konfigurieren und die Maschinenkonto der aktuellen Child Domäne in die neue Domäne zu verschieben. Danach die Benutzer der child Domäne in die forest root domäne verschieben. Wenn alles gelaufen ist, löse ich die jetzige Child Domäne auf.

 

Wäre der Ablauf hier soweit in Ordnung? Sollte man bei der Planung etwas speziell berücksichtigen? Das ganze würde ich über das admt machen.

Eine Anforderung ist auch, das der Name der Domain gleich bleibt. Ist das überhaupt machbar? Beim erstellen der neuen Domäne wird die Prüfung ergeben, das der Name bereits existiert ... :(

 

Danke

[NilsK 2.930]

Moin,

 

selbstverständlich muss eine neue Domäne einen neuen Namen haben.

 

Gruß, Nils