Staging / Test Active Directory

[cbarth 10]

Hallo,

ich habe folgende Anforderung: Ich möchte von unserem Produktiv Active Directory (2008R2) eine Staging Umgebung erstellen. Hier soll die OU Struktur/Berechtigungen, Gruppen, User und GPO´s übernommen werden.

Die Staging Umgebung hat einen anderen Namen als das Produktiv AD.

Hat jemand Erfahrung wie man am einfachsten die Struktur aus dem Prod AD in die Staging Umgebung überträgt? Gibt es für so etwas ein Powershell oder ist LDIFDE noch aktuell?

 

Ziel soll es sein, später OU Berechtigung mit DSACLS erst in der Staging zu testen um Sie dann später in der Prod Umgebung auszurollen.

 

Viele Grüße

 

Carsten

[Daniel -MSFT- 129]

Warum betreibst Du nicht eine Kopie des Produktiv ADs in einer abgeschotteten virtuellen Umgebung? Dann kannst Du exakt die DSACLS testen.

[Doso 77]

Habe das so mal mit (sehr vielen) Benutzern gemacht, für eine OU:

 

Testdaten als CSV exportieren:

csvde.exe -d "OU=t,DC=test,DC=local" -m -n -u -f D:\CSVExport\Daten.txt -o "primaryGroupID,lockoutTime"

 

Danach per Texteditor OUs unter hinteren Teil des DNs auf Testsystem anpassen. Es fehlen die Passwörter, daher im Testsystem (und nur da!) die Passwortrichtlinien anpassen. Dann mit folgenden Befehl importieren:

csvde -i -f C:\Daten.txt -u -j D:\

[Smidddi 3]

Hi,

 

ich stimme Daniel zu. Besorg dir einen kleinen Server, falls noch keine virtualisierte Struktur entsteht.

Dort installierst du einen Hypervisor deines Vertrauens und konvertierst alle physikalischen Server, die du testen möchtest (Tipp: Wenn du Exchange einsetzt, nimm diesen auch mit) auf den Hypervisor. Nun erstellst du dir ein Testnetz und verbindest die Netzwerkkarten aller VMs mit diesem. Vorsicht: IP-Adresse müssen ggf. neu konfiguriert werden, da die virtualisierten Systeme andere, virtuelle, NICs verwenden.

 

Über Snapshots und Sicherungskopien kannst du hier dann schön arbeiten und, vor allem, du arbeitest in einer Testumgebung, die tatsächlich deinem Active Directory entspricht.

Bei möglichen Export-Versuchen werden ggf. Fehler, die im AD bestehen, nicht mit exportiert. Du testest, gehst produktiv und fällst auf die Nase. Das wäre dann so ziemlich das unschönste Szenario.

[olc 18]

Hi,

 

davon abgesehen, daß eine 100% Kopie der AD zumindest den reinen AD-Teil an Tests gut abdecken kann, gibt es auch ein, zwei Gegenargumente:

 

• Security: ist die Testumgebung mindestens genauso "abgesichert" (physisch, logische Zugriffe usw.) wie die produktive AD
  ?
• Kannst Du wirklich 100% sicherstellen, daß es keinen Netzwerkkontakt der beiden Umgebungen gibt und geben wird?
• Wie hältst Du nach der initialen Installation der "Spiegelumgebung" die ADs synchron
• usw. usf.

 

Die Alternative zu einem Klon, der übrigens zumindest offiziell durch die meisten technischen Microsoft Mitarbeiter NICHT empfohlen wird, wer das Übertragen aller relevanten Einstellungen aus der Produktion in die Testumgebung. Dazu gehören unter anderem die Einstellungen, die Du oben erwähnt hast und sicher noch ein paar mehr. Das müßte gescriptet werden und ist mit einigem Aufwand verbunden, zugegeben.

 

Viele Grüße

olc