Serverumzug: neue Domain: Script Filecopy

[rt1970 10]

Hallo!

 

Ich stehe vor dem Problem, dass ich eine neue Domain habe und ich vom alten Server Dateien incl. Berechtigungen übernehmen muss.

 

Istzustand: Usernamen und Passwörter sind auf beiden Domains identisch, unterscheiden sich nur im Domainnamen.

 

Ich suche ein Tool oder Script wie Robocopy, dass aber die SSID´s ersetzt.

Also Username auslesen und Berechtigung nach kopieren auf Username neue Domain setzen...

 

Irgendwie müsste es erst die Berechtigungen (Usernamen) incl. Vererbungen auslesen und dann via ICALCS oder so auf dem neuen Server gesetzt werden...

 

Gibt es irgendwo so etwas?

 

Gruß René

[h-d.neuenfeldt 21]

du hast die Werkzeuge schon fast genannt :

 

Mit Robocopy Daten übertragen

mit Subinacl die Berechtigungen auf dem Altsystem in eine Datei schreiben

Datei mit suchen und ersetzen bearbeiten

und mit Subinacl auf dem neuen System die Berechtigungen setzen

[rt1970 10]

Hmmm... Habe dort /migratedomain gefunden, aber die alte Domain heißt xyz.de und die neue xyz.local.

ICACLS packt mir alles schön in eine Textdatei - aber NUR mit den alten SSIDs.

Accessnum hat mir eine schöne txt Datei angelegt.

Kann ich die irgendwie benutzen um die Berechtigungen zu setzen?

Sieht so aus:

 

"Path" "Read" "Write" "Deny"

"S:\" "Administratoren, XYZ\User1" "Administratoren, XYZ\User1" ""

 

usw.

[h-d.neuenfeldt 21]

ich meinte aber SUBINACL und nicht ICACLS ...

 

bei SUBINACL gibt es Parameter , die dir beim Erstellen der Ausgabe - Textdatei schon die entsprechenden Textumstellungen machen und das Ganze wird auch als Text wieder gelesen und somit keine SIDs übernommen

 

Download hier :

http://www.microsoft.com/en-us/download/details.aspx?id=23510

gemäß :

http://www.petri.co.il/subinacl-setting-permissions.htm

funktioniert das Tool auch unter neueren Versionen.

 

 

bzw für neuere Serverversionen als 2003 :

http://helgeklein.com/setacl/

oder Powershell : Set-acl

bearbeitet 4. April 2014 von h-d.neuenfeldt

[rt1970 10]

Ok!

SUPER! Danke für den TIP!!!

Für alle, die wissen wollen, wie´s geht:

subinacl /noverbose /Output="D:\rechte.txt" /subdirectories "D:\Daten"

Jetzt die rechte.txt mit Notepad öffnen und auf Bearbeiten-Ersetzen.

Den Pfad und ggf. Usernamen anpassen.

Nun auf dem neuen Server:

Subinacl /playfile "D:\rechte.txt"

fertig ;-)

bearbeitet 4. April 2014 von rt1970

[testperson 1.758]

Hi,

 

wäre da nicht eher das ADMT (http://technet.microsoft.com/de-de/library/cc974332%28v=ws.10%29.aspx) einfacher gewesen? Anstatt alles "per Hand" zu migrieren?

 

Gruß

Jan

[daabm 1.386]

...ich hätte auch ADMT empfohlen, aber etwas "Handarbeit" von Zeit zu Zeit ist auch hilfreich :)

[rt1970 10]

Ja, ihr habt schon recht.

ABER: Der NETBIOS-Name ist identisch und der Domainname war Firma.de und ist nun Firma.local geworden. Das habe ich erst nach der Installation mitbekommen, dass das zu Problemen bei der Migration führt.

(Auch) Deshalb der riesen Aufwand.

War ein Umzug von SBS 2003 auf SBS 2011...

Dafür ist das AD jetzt frisch - stammte noch von einer NT4-Domain...

bearbeitet 4. April 2014 von rt1970

[Dukel 460]

Wieso machst du keine normale Migration sondern baust alles neu auf?

[rt1970 10]

@Dukel

 

 

Wegen identischen Netbios-Namen :cry:

Das Migration-Tool wollte damit nicht.

Noch eine Frage, die zum Thema passt:

Gibt es ein Tool, das das Filesystem (Berechtigungen) untersucht und gelöschte Benutzer aus den Berechtigungen entfernt?

Also die Berechtigungen, die nur als SSID angezeigt werden, da User aus AD gelöscht wurde...

[Daniel -MSFT- 129]

Wenn ich da mal einen konzeptionellen Vorschlag machen darf: Wie wäre es, wenn Du Berechtigungen an Gruppen vergibst und nicht an einzelne Benutzer? Die Gruppen- und Berechtigungsverwaltung nach dem A-G-DL-P-Prinzip hilft Dir, solche Probleme zu vermeiden. Damit kannst Du dann auch gleich die unnötigen SIDs bereinigen: http://www.faq-o-matic.net/2011/03/07/windows-gruppen-richtig-nutzen/

[NeMiX 76]

Warum migrierst du von firma.de (best practice und für Zertifikate sehr förderlich) nach firma.local? Ab 2015 bekommst du für .local keine externen Zertifikate mehr.

[rt1970 10]

@Daniel

Da kann man reden wie ein Buch: "Leg Dir Gruppen für Berechtigungen an!" - "Jaja"...

Macht ja Arbeit...

Trotzdem bleibt es oft nicht aus, dass man einzelne User auf "verweigern" setzen muss.

 

@NeMIX

Der SBS ist ja immer noch für die Domain Firma.de zuständig. Die interne Domainverwaltung ist "nur" Firma.local

Daher -noch- keine Probleme wegen Zertifikate. Für intern stellt sie ja der SBS aus. Oder ist das ab 2015 auch nicht mehr möglich?

[Dukel 460]

Trotzdem bleibt es oft nicht aus, dass man einzelne User auf "verweigern" setzen muss.

 

Dann hat man die Berechtigungen noch nicht verstanden. Ich hatte bisher noch nie die Berechtigung "verweigern" benötigt.

[rt1970 10]

Hey! Warum funktioniert hier Copy and Paste nicht? Wenn ich auf Zitat gehe tut sich auch nichts... :mad:

 

Zitat: "Ich hatte bisher noch nie die Berechtigung "verweigern" benötigt"

 

Auch nicht, wenn Du eine Gruppe hast, in der nur ein User nicht darf? Was machst Du in solchem Fall?

Aber Du hast recht: benötigt wird es selten!