Domänencontroller defekt

[felixxx 0]

Hallo liebe Community!

 

Nach einem Hardwaredefekt ist unser Domänencontroller nicht mehr verfügbar. Die Clients können sich noch lokal anmelden.

Von allen Daten existiert eine aktuelle Sicherung, 'nur' die Systempartition (Active Directory) ist nicht mehr da.

 

Der übliche Weg einen zweiten Domänencontroller einzurichten und zum primären Domänencontroller zu machen, fällt leider flach, da der alte DC samt Active Directory nicht mehr zum laufen gebracht werden kann.

 

Meine Frage => Gibts einen sauberen Weg die lokalen Profile der Clients in die neue Domäne zu übernehmen?

 

DC alt: Windows Server 2003

DC neu: Windows Server 2008 R2

Clients: Windows 7

 

LG Felixxxo

[NilsK 2.971]

Moin,

 

nur da du es nicht extra erwähnt hast: Ein AD-Backup habt ihr also nicht? Dann wisst ihr ja, was ihr beim nächsten Versuch tun solltet.

 

Also, wenn ich es richtig verstehe, wollt ihr mit einem neuen Server eine neue Domäne aufbauen. OK, aber natürlich ist ein einzelner DC nicht genug, es sei denn, ihr habt eine deutlich einstellige Zahl von Usern.

 

Um vorhandene Profile auf neue User (denn in der neuen Domäne werden alle User ja neu sein) zu übertragen, gibt es eine Reihe von Ansätzen. Welcher bei euch passt, müsst ihr selbst beurteilen. Je nach Anzahl der User/Rechner wäre es auch denkbar, nicht die Profile als ganze zu übernehmen, sondern nur die Daten und Dokumente aus den alten Profilen in die neuen zu kopieren.

 

[benutzerprofile | faq-o-matic.net]
http://www.faq-o-matic.net/kategorien/benutzerprofile/
 

Gruß, Nils

[felixxx 0]

AD-Backup ist leider nicht vorhanden. User sind es momentan 18, also knapp zweistellig.

 

Das kopieren der Daten wollte ich mir eben ersparen, aber da nur noch die lokalen Profile vorhanden sind, werd ich wohl nicht drum rumkommen alle einzeln zu migrieren.

 

Fallstricke sollte es beim manuellen kopieren der Profildaten ja nicht wirklich geben, da ja das alte Profil weiterhin lokal verfügbar ist - Korrekt?

[daabm 1.375]

Das mit den Profilen wird nix werden... ADMT fällt flach, da die alte DOmäne nicht mehr existiert. Und neuer User in neuer Domänen heißt neue SID - dann stimmen nicht nur die Berechtigungen (ACLs) in den Profilverzeichnissen nicht mehr, sondern - viel schwieriger - auch die ACLs in der Registry (ntuser.dat, HKCU) sind falsch. Und die kriegt man nicht mal eben so einfach gradgezogen :D

Ich würde den letzten Gedanken von Nils empfehlen - übernehmen, was für die User lebenswichtig ist, den Rest mach neu.

[felixxx 0]

Ja, wird wohl die sauberste Lösung sein.

 

Danke euch beiden für den Input.

[NilsK 2.971]

Moin,

 

Das mit den Profilen wird nix werden... ADMT fällt flach, da die alte DOmäne nicht mehr existiert. Und neuer User in neuer Domänen heißt neue SID - dann stimmen nicht nur die Berechtigungen (ACLs) in den Profilverzeichnissen nicht mehr, sondern - viel schwieriger - auch die ACLs in der Registry (ntuser.dat, HKCU) sind falsch. Und die kriegt man nicht mal eben so einfach gradgezogen :D

 

naja, Werkzeuge gibt es schon für sowas. Aber man muss eben immer abwägen, mit welcher Methode wie viel  Aufwand entsteht. Daher stimmen wir bezüglich des Fazits überein. :)

 

Ach so, um das noch eben anzufügen: Bei 18 Usern geht aus meiner Sicht nicht nur kein Weg an einem ordentlichen AD-Backup vorbei, sondern es geht auch nicht ohne zweiten DC.

 

Gruß, Nils

bearbeitet 18. September 2014 von NilsK

[felixxx 0]

Bei 18 Usern geht aus meiner Sicht nicht nur kein Weg an einem ordentlichen AD-Backup vorbei, sondern es geht auch nicht ohne zweiten DC.

 

AD-Backup ist klar, aber warum 'zwingend' ein zweiter DC? Kannst du das bitte kurz erörtern?

[daabm 1.375]

...Ausfallsicherheit, Verfügbarkeit.

[lefg 276]

Hallo,

 

vom Prinzip her gibt es eine Möglichkeit, mit dem regedit die jeweilige NTUser.dat eines Profile des Users der alten Domäne als Struktur zu laden und  die SID eines neuen Users der neuen Domäne zu verpassen. Es ist Frickelarbeit, Ich habe es mal die Osterferien damit zugebracht. Lohnt es sicht? Im Normalfall wohl nicht.

 

Wir haben das Thema schon öfters hier am Board diskutiert und ich habe in Erinnerung, es wurde da mal 3.party programme erwähnt, mit denen das einfacher geht.

 

Weiter wurde gibt es eine Gruppenrichtlinie, mit der lässt sich die strenge Besitzprüfung abschalten.

bearbeitet 18. September 2014 von lefg

[Doso 77]

AD-Backup ist klar, aber warum 'zwingend' ein zweiter DC? Kannst du das bitte kurz erörtern?

 

Merkst du doch gerade. Server weg, keiner kann arbeiten. Zweiter DC, keiner merkt was, alle können arbeiten. Selbst mit funktionierendem Backup bist du eine Weile beschäftigt Sachen wieder her zu stellen.

bearbeitet 18. September 2014 von Doso

[NilsK 2.971]

Moin,

 

das hat Doso jetzt sehr hübsch ausgedrückt. :)

 

Stelle dem die Kosten ab ca. 1000 Euro für einen zweiten DC gegenüber ... den Return hättest du heute innerhalb eines Tages gehabt.

 

Gruß, Nils

[tesso 375]

Schau dir mal den "User Profile Migration Wizard" von Forensit.com an. Vielleicht hilft der dir beim Umstellen.

[NilsK 2.971]

Moin,

 

der tauchte ja auch in meiner verlinkten Liste auf. ;)

 

Gruß, Nils

[lefg 276]

Auch ich hab ihn mit jetzt mal bookmarked. http://www.forensit.com/de/

 

Ob das allerdings sofort beschaffbar und einsetzbar? Ich bin da nicht weiter gekommen.

bearbeitet 19. September 2014 von lefg