Как правильно мигрировать Active Directory домен?

Question

[Andrey Tatarnikov]

Имеется машина с WinServer 2008 R2. На машине поднят домен контроллер, DHCP, DNS.
Поскольку машине давно уже нехорошо и ее прилично загадили, решили переехать на новый хост с WinServer 2012.
План такой:
1. Поднять новый хост, поднять на нем домен с теми же именами (fqdn, netbios)
2. Экспортировать из старого выборочных пользователей и пк (есть много "мертвых" пк и ненужных пользователей)
3. Экспортировать тоже выборочно настройки DHCP (не все резервации, не все сети)
4. Экспортировать выборочно зоны DNS, PTR не используем
5. Импортировать это все хозяйство в новый домен на новом хосте
6. Выключить старый хост и включить в сеть новый

Вопрос: как лучше и правильней все это провернуть? Какие брать утилиты? ПК не хочется заново вводить в домен, равно как не хочется перенастраивать доменную авторизацию на внутренних системах, то есть SSID'ы переносимых объектов хочется сохранить.

Answer 1

[zxsavage]

Я бы сделал так:
1, 2, 4, 5 Я бы рекомендовал включить Windows Server 2012 в этот же домен, повысить до контроллера домена.
3. Правой кнопкой по серверу в оснастке DHCP - архивировать. На новом - восстановить. Остановить DHCP на старом сервере, запустить на новом.
6. Дождаться окончания репликации. Перенести FSMO роли. Выключить 2008, посмотреть на отстутствие проблем в сети некоторое время. Включить 2008, понизить до рядового сервера, исключить из домена.
-
Второй вариант - недавно мигрировал несколько доменов в один с помощью Active Directory Migration Tool от Microsoft. Не знаю, поможет ли в вашем случае. Пользовался этим руководством часть 1 часть 2 . Все достаточно подробно и понятно описано, все подводные камни учтены.

Answer 2

[wrench10x12]

Вариант 1, для профпригодных:
Поднять новый контроллер.
Дождаться репликации.
Перенести FSMO роли.
DHCP настроить отдельно.
Вывести старый контроллер из домена и потушить.
Удалить лишних пользователей, почистить DNS и ты ды и ты пы.
На всякий случай, поднять второй контроллер со старым IP.
На всё про всё - максимум 4 часа с неспешными перекурами

Вариант 2, Ваш:
Пойти путём танцев с бубнами и обеспечить себя непонятными проблемами с SSIDами, доверием, авторизацией и другими весёлыми вещами на ближайшее и отдалённое будущее.
Когда в результате подобных кулхацкерских манипуляций всё в конце концов рухнет - успеть написать заявление по собственному.

Answer 3

[tartarelin]

Это абсолютно не серьёзно, ответ легко находится с помощью гугла, совершенно рядовая операция.
Так например, я делал по такому сценарию:
https://social.technet.microsoft.com/Forums/ru-RU/...
1. Поднимаете DC на 2012
2. Выполняете dcdiag /q на обоих контроллерах - смотрите, что ошибок нет.
3. У части клиентов указываете 2012 в качестве DNS сервера. Если все нормально -настраиваете для всех.
4. Поднимаете DHCP на 2012 чтобы он обслуживал часть клиентов, если все нормально - переводите всех клиентов на новый DHCP.
5. Переносите на 2012 FSMO роли. (При переносе роли PDC не забудьте про настройку времени)
5. Потом понижаете вес/приоритет DC на 2008 сервере. Тут очень подробно описано.
6. Выключаете DC на 2008 и смотрите некоторое время, если все нормально, понижаете DC 2008 до рядового сервера.

И вот, тоже самое, более подробно - www.vitaliy.org/Node/View/1184

И как я понял, у вас очень опасная конфигурация AD, с одним DC это категорически не рекомендуется, вам надо задуматься о том, чтобы сделать дополнительный DC и заодно настроить отказоустойчивый DHCP сервер, так, что выход из строя одного из серверов будет абсолютно не заметен для пользователей.