Uppgradering/Migrering till Windows Server 2003 Active Directory Jimmy Andersson Principal Advisor Q Advice AB

En presentation över ämnet: "Uppgradering/Migrering till Windows Server 2003 Active Directory Jimmy Andersson Principal Advisor Q Advice AB"— Presentationens avskrift:

1 Uppgradering/Migrering till Windows Server 2003 Active Directory Jimmy Andersson Principal Advisor Q Advice AB jimand@qadvice.com

2 Agenda => Vad är Active Directory Nyheter i Active Directory Funktionalitetsnivåer Uppgradering från Windows NT4 till Windows Server 2003 Uppgradering från Windows 2000 till Windows Server 2003 ADMT V-2

3  Windows Users  Account info  Privileges  Profiles  Policy  Windows Clients  Mgmt profile  Network info  Policy  Windows Servers  Mgmt profile  Network info  Services  Printers  File shares  Policy A Focal Point for: Manageability Security Interoperability Active Directory  Applications  Server config  Single Sign-On  App-specific directory info  Policy  Network Devices  Configuration  QoS policy  Security policy  Internet  Firewall Services  Configuration  Security Policy  VPN policy  Other  Directories  White pages  E-Commerce  Other NOS  User registry  Security  Policy  E-Mail Servers  Mailbox info  Address book Microsoft Windows 2003 Active Directory

4 •Forest •Domain Tree •Domain •OU •Site •Global catalog AD komponenter

5 Logical Design Physical Design Physical Network Logisk och fysisk design

6 Dallas: 500 Stockholm: 2000 Los Angeles: 1200 Orlando:350 Johannesburg: 150 Singapore: 400 Zürich: 800 512 Kb 155 Mb 128 Kb 56 Kb 512 Kb 1.5Mb London: 3000 Site topologi

7 DOMAIN 2 DOMAIN 1 Dallas: 500 London: 3000 Stockholm: 2000 Los Angeles: 1200 Orlando: 350 Johannesburg: 150 Singapore: 400 Zürich: 800 DC1 DC2 DC4 DC5 DC9 DC7 DC6 DC3 DCA DCB DCC DCD DCB Site design

8 Logisk design Ska designas efter hur ni vill administrera! • Inga begränsningar

9 Agenda Vad är Active Directory => Nyheter i Active Directory Funktionalitetsnivåer Uppgradering från Windows NT4 till Windows Server 2003 Uppgradering från Windows 2000 till Windows Server 2003 ADMT V-2

10 Nyheter • No-GC Logon • No-GC Full Sync • Create Replica From Media • Linked-Value Replication • Improved ISTG • “Domain Rename” • Force demotion • Schema redefine • Enterprise Directories • Cross-Forest Trust • Manageability • DC Rename • DNS autoconfig + AppParts • DS* commands • Restore mode admins pwd • Utökad LDAP stöd • Applikations partitioner • Quotas

11 Nyhet Applikationspartitioner NOS skog App AuthN/AuthZ Serv. pub. Förändringsbenägen profil och/eller konfig data App partition App (Plats 2) Replication

12 Nyhet Applikations Partitioner •Skapa på/replikera till vald(a) DCs i skogen –Du bestämmer antalet –Följer site topologin och replikeringsschema –Kan innehålla alla typer av objekt utom Security Principals –Replikerar inte till GC –Registreras och söks via DNS •Kan skapas direkt av applikationer

13 Nyhet DNS i Applikations Partitioner •Windows Server 2003 DNS kan lagra DNS data i app partitioner –Två automatiskt konfigurerade partitioner •Domain-wide: DCs med DNS i domänen •Forest-wide: DCs med DNS i skogen •Fördelar: –Data replikeras bara till DCs med DNS –Data replikeras inte till GCs

14 •Bättre prestanda •Minskade utrymmeskrav –Security descriptor single instance store •Snabba “concurrent bind” –Pipeline of binds down single connection –Specifically for Web SSO-type app •64-bit support –Möjlighet att ladda hela DS i RAM –Värdefullt om I/O är flaskhals –32-bit och 64-bit kan samspela Nyheter för stora kataloger

15 Agenda Vad är Active Directory Nyheter i Active Directory => Funktionalitetsnivåer Uppgradering från Windows NT4 till Windows Server 2003 Uppgradering från Windows 2000 till Windows Server 2003 ADMT V-2

16 Funktionalitetsnivåer •Återblick: mixed mode – native mode •Funktionalitetsnivåer, överblick •Funktionalitetsnivåer för domän •Funktionalitetsnivåer för skog

17 Mixed Mode & Native Mode •Mixed mode domäner –Tillåter Windows NT 4.0 DC –Begränsad till vad NT4 DCs förstår •Inga Universella Grupper •Inga nästlade grupper •Ingen SID History –Mixed mode domäner med W2K3 DCs •W2K3 PDC replikerar till NT4 BDCs •Även utan W2K DCs •Native mode domains –“Inga NT4 DCs” –Alla egenskaper för grupp/användare –Kan använda W2K och W2K3 DCs

18 Funktionalitetsnivåer •Krävs för nya funktioner –Ökar nivån manuellt –Ingen tillbakagång –Äldre domänkontrollanter kan inte användas –Tänk Windows 2000 Native Mode på steorider!!!

19 Domän nivåer Domän Funktionalitet FunktionerDC stöd i domänen Windows 2000 mixed • Install from media • Universal Group caching Windows NT 4.0 Windows 2000 Windows W2K3 Windows 2000 native All mixed mode, plus • Group nesting • Universal groups (full) • SIDHistory Windows 2000 Windows W2K3 Windows Server 2003 Interim Same as Windows 2000 mixed / native Windows NT 4.0 Windows W2K3 Windows Server 2003 All Windows 2000 native, plus • Update logon timestamp attribute • Kerberos KDC version • User password on INetOrgPerson Windows W2K3

20 Domän Windows NT 4Windows 2000 Windows Server 2003 mixed Windows 2000 - mixed Windows 2000 - native native Windows Server 2003 Interim Windows Server 2003 A B C

21 Skog nivåer Skog Funktionalitet FunktionerDC stöd i forest Windows 2000 • Install from media • Universal Group caching Windows NT 4.0 Windows 2000 Windows W2K3 Windows Server 2003 Interim All Windows 2000, plus • LVR replication • Improved ISTG Windows NT 4.0 Windows W2K3 Windows Server 2003 All Windows.NET Interim, plus • Dynamic aux classes • User to INetOrgPerson change • Schema de-/reactivation • Domain rename • Cross-forest trust Windows W2K3

22 Forest Win2000 Windows Server 2003 Interim Windows Server 2003 Win2000 A B C Windows NT 4Windows 2000 Windows Server 2003

23 Verifiering av nivåer •Domän nivå –Mixed/native mode •nTMixedDomain attribut på domän –Inget värde eller “1”: Mixed mode domän –“0”: Native mode domän –Funktionalitetsnivå på domän •msDS-Behavior-Version attribut på domän –Inget värde eller “0”: Windows 2000 –“1”: Windows Server 2003 Interim functional level –“2”: Windows Server 2003 functional level •Skog nivå •msDS-Behavior-Version attribut på partitions kontainer –Inget värde eller “0”: Windows 2000 –“1”: Windows Server 2003 Interim functional level –“2”: Windows Server 2003 functional level

24 “Best Practices” •Windows NT 4.0 uppgradering –Använd Windows Server 2003 Interim forest level –När alla NT 4 BDCs är uppgraderade, öka skog nivån till Windows Server 2003 functional level •Domänerna kommer automatiskt att höjas till Windows Server 2003 functional level •Windows 2000 uppgradering –Gör inget förrän alla DCs kör Windows Server 2003 –Kontrollera att inga domäner kör mixed-mode i skogen –Öka skog nivån till Windows Server 2003 functional level •Domänerna kommer automatiskt att höjas till Windows Server 2003 functional level

25 Agenda Vad är Active Directory Nyheter i Active Directory Funktionalitetsnivåer => Uppgradering från Windows NT4 till Windows Server 2003 Uppgradering från Windows 2000 till Windows Server 2003 ADMT V-2

26 Förbereda uppgradering •Om DNS redan finns installerad –Skapa ett delegerings entry i “föräldrar” DNS domänen för första DC –Konfigurera lmrepl service –LanManger File replication service, används i NT 4.0 för att replikera logon skript –Lmrepl export service bör vara den sista DC att uppgraderas

27 Uppgradering Steg För-migreringsn miljö Windows Server 2003 Functional Level Uppgradering MUD PDC men inte BDCs uppgraderade, domän i mixed eller Windows Server 2003 Interim level MUD PDC och BDCs uppgraderade, ökning till Windows Server 2003 functional level ej gjord MUD Skog ökad till Windows Server 2003 functional level

28 Uppgradering från Windows NT 4.0 Domänträd med tom rot Singel domän Domain1Domain2 Domain3

29 Uppgrada till en Singel Domän 1/2 •Konfigurera Windows Server 2003 domain functional level när dcpromo körs på PDC •Dcpromo läser delegerings entry för PDC och föreslår att installera DNS server –Delegerings entry finns redan i DNS –Installera DNS server –DNS zoner för “forest wide DNS entries” och “domain wide DNS entries” kommer att skapas automatiskt

30 Uppgrada till en Singel Domän 2/2 •Fortsätt med att uppgradera BDCs –Skapa delegerings entryn först –Installera DNS server –Kör OS uppgradering och dcpromo.exe •Samtliga DCs uppgraderade –Öka till skog nivå till Windows Server 2003 functional level •Börja omstrukturering av kvarvarande konto/resurs domäner –SID history kräver native mode/Windows Server 2003 target domain

31 Uppgradera till Multi- Domän Forest 1/2 •Tom rotdomän först –Använd AD integrerad DNS –Höj domännivån till Windows Server 2003 domain functional level •Sätt Windows Server 2003 forest Interim functional level –Inget UI, använd ldp eller adsiedit •Skapa delegeringsentry för PDC

32 Uppgradera till Multi- Domän Forest 2/2 •Uppgradera PDC och skapa child domän till rot domänen –DNS server skapar applikationspartition för DNS data •Måste tillhöra Enterprise admin –Domänen sätts automatiskt till Windows Server 2003 Interim functional level •Skapa delegerings entryn för BDCs och uppgradera dem •När alla DCs kör W2K3, öka skognivån till Windows Server 2003

33 Klienter •Säkerhetsförändringar i W2K3 DCs –SMB signing –DC access policies •Förändringar krävs för äldre klienter –Windows NT 4.0 SP4 och nyare, Windows 2000 och XP klienter behöver inga förändringar –Win9x och Windows NT4 före-SP4 kräver förändringar •Disable SMB signing •Network access, allow anonymous SID look-up •Windows W2003 Deployment Kit och KB dokumenterar inställningarna

34 Agenda Vad är Active Directory Nyheter i Active Directory Funktionalitetsnivåer Uppgradering från Windows NT4 till Windows Server 2003 => Uppgradering från Windows 2000 till Windows Server 2003 ADMT V-2

35 Uppgradera från Windows 2000 •Enkel uppgradering –Inget behov av omstrukturering –Ingen planering av skog, domän, OU eller replikering behövs –Ingen user/workstation/profile migrering •W2K3 DCs fullt kompatibla med Windows 2000 DCs –W2K3 DCs kan finnas i en Windows 2000 skog/domän i samtliga roller •Ny DC (dcpromo) eller uppgradering av befintlig DC •Förberedelse av skog och domän sker i separata steg

36 AD Uppgradering •Nya funktioner och fixar kräver förändringar –Nya objekt måste skapas –ACLs måste förändras –Schema utökningar •Nya entryn i katalogen visar att förändringarna lyckats –GUID-baserade entryn –Skog förändringar: cn=Operations,cn=ForestUpdates,cn=configuration,dc= –Domän förändringar: cn=Operations,cn=DomainUpdates,cn=system,DC=

37 Skog/Domän Uppgradering •Ny funktionalitet kräver djupa förändringar –Anonymous != Everyone –Säkerhets förbättringar (förändringar i default inställningar) –Display specifier uppdateringar –Schema utökning •Ett verktyg (adprep) gör allt som behövs –1 gång per skog (adprep /forestprep) –1 gång per domän (adprep /domainprep)

38 ADPREP /FORESTPREP 1/2 •Schema uppgradering –Anropar schupgr –Schema master –Kräver inte GC full-sync •PAS utökas när man väljer Windows Server 2003 forest mode –Litet antal ny indexerade attribut •Index byggs på lokal DC vid replikering •Före-SP3 DCs: Prestanda förlust under indexering •SP3 DCs: Ingen prestanda förlust under indexering –Schema utökning skapar minimal replikering •Display specifiers –Nya funktioner i UI –Skapar ca 100KB replikerings trafik

39 ADPREP /FORESTPREP 2/2 •Anpassar ACLer för nya funktioner –RSOP, Everyone != Anonymous logon, PKI –Minimal replikering •Adprep /forestprep har liten påverkan –Replikering –DC prestanda •Ingen påverkan på Windows 2000 SP3 DCs •Liten påverkan på före-Windows 2000 SP3 DC –AD databas storlek •Skapar kontainer om det lyckats –CN=Windows2003Update,CN=ForestUpdates,CN=Configuration,DC=

40 ADPREP /DOMAINPREP •Infrastructure Master i varje domän •Skapar 3 nya objekt i domänen –Ett för WMI, två för COM+ •Utökar ett litet antal ACLer för nya funktioner –RSOP, säkerhetsförändringar •DC impact –Knappt märkbart (nätverkstrafik, DC impact) •Skapar kontainer om det lyckats –CN=Windows2003Update,CN=DomainUpdates,CN=System, DC=

41 Första W2K3 DC i Forest 1/2 •Efter adprep, W2K3 DCs kan installeras i skogen •Uppgradera Domain Naming Master först •Två metoder –Uppgradera nuvarande DC (Windows 2000/Windows NT 4.0) –Installera W2K3 server som member server och kör dcpromo

42 Första W2K3 DC i Forest 2/2 Välj vilken domän som ska ha den första W2K3 DC •Uppgradering av PDC gör särskilda operationer –Skapar grupp för Terminal Service, interna grupper –Rollöverföring W2K3 DC triggar samma operationer •“Best practice” –Installera W2K3 member server och dcpromo till DC –Uppgradera PDC till W2K3 tidigt •Eller överför PDC rollen till W2K3 DC, även om det bara är temporärt

43 Domän Uppgradering- DNS Första DC i domänen •Första W2K3 DC I en domän skapar applikationspartitioner för domän DNS data –Förutsättningar •Domain Naming Master är on-line •Användaren som loggar på DC efter uppgradering måst tillhöra Enterprise Admin –Alternativt ha rättighet att skapa partition –Om skapande av applikationspartition misslyckas •Använd DNS Manager för att skapa partition •Rot domän skapar sekundär applikationspartition för skog vida DNS entries

44 Domän Uppgradering- DNS Adding W2K3 Domain Controllers •Efterföljande W2K3 DCs frågar efter replika av –Domän DNS applikationspartition –Skog DNS applikationspartition •DNS data måste flyttas till applikationspartition manuellt –Motivering: Tar bort DNS data från GC –När alla DCs kör W2K3, data bör tas bort –Lätt at göra via DNS Manager

45 Hay-Buv Toys Domänstruktur HB-ACCTHB-ACCT-ROW HB-RESHB-RES-EUHB-RES-MEXHB-RES-ECHB-RES-HK

46 Hay-Buv Toys Domän struktur efter Migrering hay-buv.tld hb-acct.hay-buv.tld

47 Migrerings steg HB-ACCT HB-RES HB-ACCT-ROW hay-buv.tld hb-acct.hay-buv.tld 1. Create root domain 2. In-place upgrade account domain 3. Create OU for accounts 4. Create OU for other account domain 5. Clone Global Groups and Users 7. Create OUs for resource domains 8. Migrate Resource Domain 9. Decommission Resource Domain 6. Decommission account domains 10. Re-ACL resources

48 Migrering till Windows W2003 •Flesta migreringar från Windows NT 4.0 till Active Directory är en mix av in-place uppgraderingar och restructuring •Läs “Best Practice Active Directory Design for Managing Windows Networks” för mer information –http://www.microsoft.com/windows2000/techinfo/planning/activedirec tory/bpaddsgn.asp

49 Sammanfattning •Windows NT 4.0 till Window Server 2003 väldigt lik uppgradering från Windows NT 4.0 till Windows 2000 Server •Windows 2000 till Windows Server 2003 uppgradering är enklare och kräver mindre planering •ADMT V-2 gör allting mycket lättare –W2K3 versionen är nu full supportad av PSS

50 Mer info •NG: msnews.microsoft.com •www.microsoft.se/technetwww.microsoft.se/technet •www.microsoft.com/adwww.microsoft.com/ad •Online support för IT Pros: http://www.microsoft.com/technet/treeview/default.asp?url=/technet/su pport/Default.asp?fr=0&sd=tech http://www.microsoft.com/technet/treeview/default.asp?url=/technet/su pport/Default.asp?fr=0&sd=tech •www.microsoft.com/windowsserver2003www.microsoft.com/windowsserver2003

51 Q & A jimand@qadvice.com