AD Domäne umbenennen

[Horst2 0]

Hallo zusammen,

 

ich habe eine Domain mit 2 DCs (1 Windows Server 2012 und 1 Windows Server 2012 R2) und Exchange (2016 auf Windows Server 2012 R2).

 

Da die Top Level Domain aufgegeben werden muß, die lokale Domäne hat denselben Namen, stehe ich jetzt vor der Aufgabe die Domäne umzubenennen.

 

Anleitungen wie man das mit dem AD selbst macht, gibt es ja zu Hauf. Bei Exchange wird aber immer nur geschrieben, daß es nicht geht bzw. nicht unterstützt sei. Aber wie kriegt man das dann doch hin?

 

Grundsätzlich scheint man Mailboxen ja zu Exchange Servern in anderen Domainen migrieren zu können. Aber ich kann ja nicht die Zieldomäne anlegen und dann die Mailboxen da hin verschieben. Denn könnte ich die ursprüngliche Domain ja nicht mehr umbenennen.

 

Grob rumrissen würde mir jetzt der folgende Plan einfallen:

- Auf den DCs neben der alten Domain eine temporäre anzulegen.

- Dort wird ein Exchange installiert, der die Exchange Mailboxen aufnimmt.

- Jetzt bennene ich die alte Domain nach Anleitung in die Zieldomain um.

- Wenn das komplett erledigt ist, installiere ich darin einen neuen Exchange, der die Mailboxen aus der temporären Domain entgegennimmt.

 

Könnte man das so bewerkstelligen?

[NorbertFe 2.035]

vor 36 Minuten schrieb Horst2:

Da die Top Level Domain aufgegeben werden muß, die lokale Domäne hat denselben Namen, stehe ich jetzt vor der Aufgabe die Domäne umzubenennen.

Warum? Zwar nicht schön, aber warum hat der interne Name deines AD sich zu ändern,  wenn es den externen DNS Domain Namen nicht mehr gibt?

vor 37 Minuten schrieb Horst2:

Aber wie kriegt man das dann doch hin?

Gar nicht. Und abgesehen davon bezweifle ich, dass das überhaupt notwendig ist.

 

Dein Plan klingt "vorsichtig" gesagt sehr unausgegoren und laienhaft. Hast du sowas schonmal gemacht? Falls nein, dann solltest du dir externe Unterstützung holen. Über welche Größenordnung an Nutzern usw. reden wir hier überhaupt?

 

Bye

Norbert

 

[djmaker 95]

Es könnte ein Problem geben mit externen Zugriffen zum MS Exchange wenn die externe Domäne anderweitig registriert wird. 

[NorbertFe 2.035]

Nö, warum sollte es? Der AD Name hat nichts mit der Exchange SMTP Domain zu tun?

[Nobbyaushb 1.471]

Sowas hört man leider immer (und im Moment gerade wieder) öfter von Leuten, die nicht oder nicht genau wissen, wie und warum Namensauflösung (DNS) funktioniert.
 

Nils hat glaube ich mal passend formuliert, müsste jetzt aber suchen...

 

Best Practice ist mittlerweile, einen internen Domänen-Namen zu nehmen, der nicht direkt etwas mit dem Firmen-Namen zu tun hat z.b. domain.dom oder hanswurst.loc

 

Ist doch egal

 

Und ja, der andere Norbert hat mit beiden Antworten Recht 

[djmaker 95]

vor 9 Stunden schrieb NorbertFe:

Nö, warum sollte es? Der AD Name hat nichts mit der Exchange SMTP Domain zu tun?

Sorry, ich beuzog mich auf OWA etc. Du hast natürlich Recht . . . war eine kurze geistige Umnachtung.

[NilsK 2.934]

Moin,

 

zusammenfassend:

• da eine AD-Domäne immer "intern" ist, gibt es keinen direkten technischen Zusammenhang zu einer externen DNS-Domäne. Damit gibt es auch keine "harten" technischen Ausschlüsse für bestimmte Domänennamen. Externe und interne Domänennamen haben weder positiv noch negativ miteinander zu tun.
• dasselbe gilt auch für Maildomains. Eine interne Domäne kann völlig anders heißen als die externe Mail-Domäne.
• es gibt sehr wohl eine ungünstige Auswahl von Namen - aber das ist eher auf der Ebene von kosmetisch oder nervig, praktisch nie auf der Ebene "geht gar nicht"
• eine bestehende AD-Domäne umzubenennen, ist immer sehr großer Aufwand. In der Regel ist aus wirtschaftlichen und organisatorischen Gründen davon abzuraten.
  • scheinbar "einfache" AD-Umbenennungen mit rendom.exe funktionieren nicht, wenn Exchange genutzt wird. Auch ohne Exchange sind sie in Wirklichkeit riskant. Einige Berater (auch ich) raten entschieden davon ab.
  • ein Verfahren ohne rendom.exe ist in Wirklichkeit keine Umbenennung, sondern eine Migration in eine vollständig neue AD-Domäne (bzw. genauer: einen neuen Forest).
• Es gibt in der Tat Empfehlungen für AD-Domänennamen, aber diese gelten vor allem dann, wenn eine Umgebung völlig neu aufgesetzt wird. Es ist nicht empfehlenswert, bestehende Umgebungen zu migrieren oder umzubenennen, nur weil der Name nicht so hübsch ist.
• Um es zu illustrieren: die letzten Kunden, die ich nicht von so einem Vorhaben abbringen konnte, haben fünf- bis sechsstellige Summen für den Umstieg auf einen neuen Domänennamen ausgegeben. Nur für den Namen, ohne dass nennenswert etwas technisch besser wurde. (Das freut mich zwar als Dienstleister, ist aber wirtschaftlich nicht unbedingt sinnvoll.)

Nach dem, was @Horst2 beschrieben hat, sehe ich keinen Grund, die Domäne zu migrieren. Ich würde sie so lassen, wie sie ist.

 

Gruß, Nils

 

[Horst2 0]

Danke für Eure Antworten, so schnell komme ich da nicht hinterher.

 

Nein, ich habe diesen Schritt noch nicht gemacht, sonst müßte ich hier ja nicht fragen.
Wir reden von nicht vielen Nutzern, < 20, manuellen Geradebiegen ist also kein Problem.

Grundsätzlich bastel ich jetzt auch nicht an realen Umgebungen rum, sondern klone mir vor einer komplizierteren Aufgabe immer erst alles Relevante in eine virtuelle Umgebung, die getrennt ist von der echten. Aber auch hier brauche ich ja erst mal eine Strategie.

 

Daß die interne Domäne nicht direkt etwas mit der äußeren zu tun hat bzw. haben muß, ist mir schon klar. Aber es hatte sich in der Vergangenheit angeboten, das identisch zu konfigurieren. Müßte ich es nochmal machen, würde ich es womöglich anders handhaben, um so einer Situation von vornherein aus dem Weg zu gehen.
Jedoch frage ich mich in dieser Diskussion schon, wieso die ganze Sache von Microsoft aus so kompliziert sein muß. Schon allein bei Firmenübernahmen, die ja nicht so selten sind, stellt sich doch dieses Problem.

 

Und sei es nur aus reiner Neugierde: Hätte der Plan aus meiner ursprünglichen Post eine Chance?

[testperson 1.677]

Hi,  

vor 17 Minuten schrieb Horst2:

Hätte der Plan aus meiner ursprünglichen Post eine Chance?

nein. Wie würdest du dir das vorstellen?

vor 17 Stunden schrieb Horst2:

- Auf den DCs neben der alten Domain eine temporäre anzulegen.

Und bevor du den Exchange zweimal bis zur Ziel-Gesamtstruktur migrierst wärst du vermutlich besser dran, direkt "alles" in die "temporäre Domain" zu migrieren und diese einfach nach deinem Wunsch zu benennen.

 

Du solltest dir das aber noch mindestens einmal durch den Kopf gehen lassen:

vor 7 Stunden schrieb NilsK:

Um es zu illustrieren: die letzten Kunden, die ich nicht von so einem Vorhaben abbringen konnte, haben fünf- bis sechsstellige Summen für den Umstieg auf einen neuen Domänennamen ausgegeben. Nur für den Namen, ohne dass nennenswert etwas technisch besser wurde. (Das freut mich zwar als Dienstleister, ist aber wirtschaftlich nicht unbedingt sinnvoll.)

 

vor 39 Minuten schrieb Horst2:

Schon allein bei Firmenübernahmen, die ja nicht so selten sind, stellt sich doch dieses Problem.

Eine Firmenübernahme bedingt ja nicht zwingend eine AD-Domänen-Umbenennung oder -Migration.

 

Gruß

Jan

 

[Nobbyaushb 1.471]

vor 38 Minuten schrieb Horst2:

Daß die interne Domäne nicht direkt etwas mit der äußeren zu tun hat bzw. haben muß, ist mir schon klar. Aber es hatte sich in der Vergangenheit angeboten, das identisch zu konfigurieren. Müßte ich es nochmal machen, würde ich es womöglich anders handhaben, um so einer Situation von vornherein aus dem Weg zu gehen.

Jedoch frage ich mich in dieser Diskussion schon, wieso die ganze Sache von Microsoft aus so kompliziert sein muß. Schon allein bei Firmenübernahmen, die ja nicht so selten sind, stellt sich doch dieses Problem

 

Nein, dafür gibt es das ADMT ActiveDirectoryMigrationToolkit

 

Habe ich in den letzten Jahren oft verwendet - bei einer Firma 3 Mal, weil die leider öfter verkauft wurden

vor 40 Minuten schrieb Horst2:

Und sei es nur aus reiner Neugierde: Hätte der Plan aus meiner ursprünglichen Post eine Chance?

Nein, das geht so nicht.

 

[NorbertFe 2.035]

vor einer Stunde schrieb Horst2:

Aber es hatte sich in der Vergangenheit angeboten, das identisch zu konfigurieren.

Ich wüsste keinen Grund, warum man das bewusst so tun sollte. Warum, siehst du ja gerade. ;)

vor einer Stunde schrieb Horst2:

Jedoch frage ich mich in dieser Diskussion schon, wieso die ganze Sache von Microsoft aus so kompliziert sein muß.

Weil wir hier nich über das umbenennen einer Datei reden, sondern von einem Identity System inklusive berechtigungssystem mit multitasker Replikation. Üblicherweise das kritischste, was man in einer Firma hat. Auch wenn das bei Firmengrössen wie oben von dir angegeben nicht so gesehen wird. ;) Ich bezweifle, dass das bei anderen Produkten sehr viel leichter ginge, wenn überhaupt. 

vor einer Stunde schrieb Horst2:

Schon allein bei Firmenübernahmen, die ja nicht so selten sind, stellt sich doch dieses Problem.

Das bedeutet nicht zwingend, dass man da was umbenennen muss. Und Splits und merger sind zwar verbreitet, aber wir schon gesagt technisch keine Trivialität. Auch bei Cloudsystemen wird leider immer so getan, als wär das in ein zwei Klicks erledigt. Die Ernüchterung kommt dann schon...

[Horst2 0]

Sorry für die Verzögerung!

 

Dann sage ich mal vielen Dank für Eure Antworten. Ich werde sehen, was ich daraus mache. Zur Not eben den Exchange neu installieren, falls es zu einer internen Domainänderung kommt.

 

Mit subjektiv übertrieben kompliziert meinte ich in dieser Situation, daß ich mir das im Linux-Umfeld, wo ich eigentlich herkomme, einfacher vorstelle. Die meisten Konfiguratinen, egal von was, erscheinen mir da nicht so in Stein gemeißelt.

[NorbertFe 2.035]

vor 1 Minute schrieb Horst2:

daß ich mir das im Linux-Umfeld, wo ich eigentlich herkomme, einfacher vorstelle.

Hmm wieviele Verzeichnisdienste kennst du im Linuxumfeld, bei denen das "einfacher vorstellbar" ist?

[NilsK 2.934]

Moin,

 

vor 5 Minuten schrieb Horst2:

Mit subjektiv übertrieben kompliziert meinte ich in dieser Situation, daß ich mir das im Linux-Umfeld, wo ich eigentlich herkomme, einfacher vorstelle.

ja, das "Umbenennen" einer AD-Domäne ist sehr kompliziert, weil es einfach nicht vorgesehen ist. Aus dem Grund gibt es ja seit 20 Jahren genügend Best Practices, wie man solche Situationen von vornherein vermeidet. Und es gibt den "Who-cares-Algorithmus", in dem man das "Problem" eines unpassenden Namens einfach ignoriert, weil es sich ja nur kosmetisch auswirkt.

 

In einer so kleinen Umgebung, wie du sie beschreibst, kann man dann auch noch erwägen, alles einfach neu zu installieren (und dann vielleicht auch einen passenden, hinreichend abstrakten Namen zu verwenden).

Zitat

Die meisten Konfiguratinen, egal von was, erscheinen mir da nicht so in Stein gemeißelt.

Die meisten Konfigurationen in Windows und auch im AD sind auch nicht so in Stein gemeißelt wie der Domänenname. Aber der ist es nun mal. Ob jetzt ein Linux-Windows-Vergleich da wirklich weiterhilft, mag jeder für sich beurteilen.

 

Gruß, Nils

 

[Horst2 0]

9 minutes ago, NorbertFe said:

Hmm wieviele Verzeichnisdienste kennst du im Linuxumfeld, bei denen das "einfacher vorstellbar" ist?

Verzeichnisdienste selbst gibt es zwar, aber die sind in der Tat nicht marktrelevant. Das war mehr eine allgemeinere Aussage.

 

Bei anderen Dingen z.B. Zertifikatsdiensten lassen sich Dinge wesentlich flexibler umsetzen, Schnittstellen sind häufig simpler gestaltet. Zu einem Religionskrieg möchte ich dieses Thema hier nicht werden lassen, beide Welten haben ihre Daseinsberechtigung.