Перенос контроллера домена на новый сервер

Довольно часто перед начинающими администраторами встает задача перенести контроллер домена на новое железо. В статье будет описан перенос контроллера домена под управлением Windows 2003 на новый сервер с установленной операционной системой Windows 2003. Переносить можно как с сохранением имени старого сервера, так и без сохранения имени. Статья рассчитана на совсем уж новичков, поэтому все будет разжевано.

• Домен: company.local;
• Старый сервер: Win2003, AD, DNS, DHCP, IP=192.168.0.100, имя=dc01;
• Новый сервер: Win2003, IP=192.168.0.101, имя=dc02;

На старом сервере запускаем утилиты dcdiag и netdiag и убеждаемся что никаких ошибок они не находят. Эти утилиты входят в состав Support Tools и если при запуске одной из утилит выскакивает сообщение

то их необходимо установить. Либо с установочного диска Windows 2003, либо с официального сайта. Если никаких ошибок не обнаружено, то идем дальше, если же появляются ошибки, то исправляем их. В принципе достаточно воспользоваться поиском по каждой из ошибок и найти решение.

Далее необходимо поднять дополнительный контроллер домена на новом сервере (тот который 192.168.0.101). Для этого нужно запустить (Пуск–>Выполнить или Start–>Run) на нем команду

и в появившемся окне выбрать Additional domain controller for an existing domain

После установки AD, перезагружаемся.

Устанавливаем DNS и если нужно, то DHCP на новый сервер. Заходим в Установку и удаление программ (Add or Remove Programs) и выбираем пункт установка компонентов Windows (Add/Remove Windows Components). В разделе Сетевые службы (Network Services) ставим галочки напротив DNS и DHCP и устанавливаем их.

Вполне вероятно что при установке AD, заодно поставился и DNS, поэтому не пугайтесь если DNS уже установлен.

На обоих контроллерах домена выставляем в настройках DNS, адрес нового сервера.

Если нужно перенести базу DHCP, на старом сервере выполняем команду:

переносим полученный файл на новый сервер и на новом сервере выполняем команду:

Ну и соответственно в настройках DHCP выставляем всем клиентам DNS адрес нового сервера 192.168.0.101

После всех предыдущих манипуляций, ждем минут 15-20, чтобы дать новому серверу перенести все настройки и записи в AD со старого. После чего, запускаем на обоих серверах уже знакомые нам утилиты dcdiag и netdiag и убеждаемся в отсутствии ошибок.

Теперь настала очередь перенести Global Catalog на новый сервер. Открываем на новом сервере Active Directory — сайты и службы (Sites and Services) –> Сайты (Sites) –> имя_сайта –> Серверы (Servers). Выбираем новый контроллер домена и в правом окне на объекте NTDS Settings выбираем Свойства (Properties). В появившемся окне ставим галку Global Catalog .

Ждем минут 5-10, в логах должно будет появиться сообщение This domain controller is now a global catalog. после чего можно удалять Global Catalog на старом сервере. Процедура таже, только теперь выбираем старый сервер и снимаем галку Global Catalog.

Для начала посмотрим, кто же все таки является держателем ролей FSMO-ролей в домене, в этом нам поможет команда:

Результат будет примерно таким:

Как видно из вывода, держателем ролей является наш старый сервер dc01. Исправим это недоразумение. Все дальнейшие действия производим на новом сервере.

Открываем оснастку Active Directory — пользователи и компьютеры (Users and Computers), щелкаем правой кнопкой по имени сайта и выбираем меню Хозяева операций (Operations Masters). В появившемся окне, на всех 3-х вкладках жмем на кнопку изменить (change) и соглашаемся с применением изменений.

Открываем оснастку Active Directory — домены и доверие (Domain and Trusts), и точно так же выбираем меню Хозяева операций (Operations Masters). В появившемся окне жмем на кнопку изменить (change) и соглашаемся с применением изменений.

С передачей этой роли все происходит немного посложнее. Для начала нужно зарегистрировать в системе библиотеку schmmgmt.dll. Для этого выполняем команду:

Далее запускаем оснастку mmc:

и в появившемся окне в меню файл выбираем пункт Добавить или удалить оснастку (Add/Remove Snap-in). Далее Добавить (Add) и Схема Active Directory (Active Directory Schema).

И добавляем схему. Далее так же выбираем меню Хозяева операций (Operations Masters). В появившемся окне жмем на кнопку изменить (change) и соглашаемся с применением изменений. Если в поле изменить будет стоять адрес старого сервера, то достаточно выбрать пункт меню Изменение контролера домена (Change Domain Controller) и выбрать новый домен контроллер, после чего опять попытаться изменить хозяина.

Ну что, все роли успешно перенесены на новый сервер.

Теперь настала пора удалить старый домен контроллер из сети. Запускаем:

и следуя мастеру, удаляем старый домен контроллер и все его упоминания из сети. После этого старый сервер можно погасить или отправить его выполнять другие обязанности.

P.S. Если вам нужно перенести AD из старого сервера на новый, причем с сохранением имени старого сервера, то тут вам поможет еще один промежуточный сервер. Сначала делаете все эти операции с ним, выводите старый сервер из домена, заводите новый сервер с именем старого и проделываете эти же операции еще раз.

Админим локалку: Перенос контроллера домена с 2003 на 2008 r2

Самая долгая и нудная миграция за все время.

Задача была перенести контроллера домена с 2003 на 2008 на одно и то же железо - по сути банальна, но.

Усложняющий элемент: 2003 поднят на VMware ESXi.; имеется еще один сервер ESXi и есть куча офисных машин, слабеньких по аппаратным характеристикам; сеть 100 мб/с; разделы жесткого диска виртуального сервера по 250 и 300 Гб, сделать все нужно быстро, незаметно для пользователей = в не рабочее время.

Вариантов было несколько, первым делом нужно было освободить физический сервер:

1. Перетащить 2003 на другой сервер ESXi, дальше делать с нужным железом все что захочется.

2. Поднять ESXi на офисной машине, мигрировать 2003 туда, дальше на сервер поставить 2008-у и т.д.

3. Перетащить 2003 на vmware player.

4. Поднять на офисной машине 2003, передать роли контроллера домена ему, скопировать все файлы (

500 Гб), поставить на сервера 2008 - потом передавать роли снова. - сразу скажу этот вариант был последним, и самым действенным, потому что все пошло по плохому сценарию.

Дополнительные вводные данные:

1. Исходный сервер (на котором стоял ESXi и на который надо поставить 2008 dc) - HP ProLiant ML 310 - груда металла, самая дешевая комплектация, без аппаратного raid, без корзины для дисков.

2. Второй сервер ESXi - сборная солянка на базе МП Supermicro PDSME+, RAID 3ware 9550 x4 без батарейки - херня откровенная, но об этом напишу в другой раз, наверно.

Самый казалось бы очевидный порядок действий. Из-за медленной сети (100 мб/с) виртуалка мигрировала долго. очень долго (

500 Гб), так долго что через пару часов я понял что "тупанул", отменил копирование, вытащил жесткий диск из исходного сервера и воткнул во второй. После перезагрузки ESXi нашел новый диск, примаунтил его, добавил виртуалку в inventory (ПКМ по файлу *.vmx - могу наврать). В общем запустилось все, но похерил по дороге все виртуальные сетевухи - почему непонятно, версии ESXi были одинаковые - 4 upd 1. Вообще там есть еще кое какие нюансы, когда так по не христиански переносишь виртуалки, действовал интуитивно.

В общем исходный сервер был освобожден от груза ESXi вместе с жесткими дисками, но в него планировалось вставить 2 новых винта, так что не проблема. 2003 теперь крутилась на другом серваке ESXi, а на исходный я мог ставить 2008 на новые винты.

Чем я и занялся. Сервер должен быть отказоустойчивым, хотя бы по дисковой подсистеме. Без "аппаратного RAID c батарейкой блять!" этого добиться сложно. Черт дернул побаловаться с Embedded RAID (host-raid) - встроенного в материнку ML 310. Поднял зеркалирование на двух новеньких винтах Seagate Constellation ES.2 (2 Тб). Поставил 2008 R2 - не обошлось без подпихивания драйверов контроллера - хорошо что на 2008 это можно сделать через флэшку USB. Еще момент, через диск HP Smart Start система не поставилась, установка "типа" пошла, но потом инсталятор так и не смог увидеть какой-то там файлик и все повисло, поэтому и пришлось ставить "вручную"

Грабли обнаружились не сразу. Система как то откровенно подтормаживала, запустил HD Tune - и вот оно, скорость работы raid

40-50 Мбайт/с - тормоз!
Обновил драйвера, поставил HP PSP, обновил прошивки и биос, через диск HP. Ничего не помогало, скорость работы оставалась прежней. Менял Write Cache через BIOS встроенного райда, эффекта ноль - даже кажется медленнее стало работать. Оставлять так было нельзя, так как на сервере должны были быть файловые базы 1С.

Разобрал райд, убрал один винт, система прогрузилась нормально, даже не заметила что теперь без райда. Изменилась только скорость работы с диском - теперь

Работу уже было пора заканчивать, а я только поставил систему. Надвигалась гроза, и в целях безопасности я отключил все сервера, вытащил кабели питания - в общем обесточил все.

Гроза прошла, как я и предполагал отключали электричество.

На следующий день включаю сервера - сборная "солянка" Supermicro не заводится. Стартуют винты, но не мамка. Полдня безуспешных попыток реанимировать. Опыта работы с "железом" предостаточно - поэтому могу сказать откровенно - перепробовал все!

К конце второго дня я остался со свежей 2008 на ML 310 и. и все. Даже в домен вогнать не успел, не то что там роли передать. Контроллер домена лежал на винте отформатированном в VMFS.

Попытка №2
Supermicro супер сдох аккурат в четверг утром. Бухгалтерия осталась без баз 1С и без интернета.

Собрав все известные мне маты решил поднять ESXi на чем каком нибудь компе, и запустить виртуальный контроллер домена на нем. Но ни на один комп ESXi не встал, ни 4 версия, ни 4 upd1 ни 5.1 - все время ругался на отсутствие поддерживаемой сетевой карты (которая на Supermicro была вшита в саму плату).

Так как у меня было 2 винта с райда, одинаковых по содержимому, то решил параллельно пробовать два способа. Первый - запустить ESXi на HP ProLiant, второй запустить виртуальную машину через Vmware Player.

Про первый способ особо рассказывать нечего. Воткнул винт с самим гипервизором в HP ProLiant. Все завелось без лишних вопросов. Выключил. Подключил винт с виртуальной машиной. Включил. Настроил IP адреса. Зашел через клиента, добавил диск, добавил виртуальную машину, настроил виртуальную сеть. Все работает. Начал устанавливать 2003 на первую попавшуюся офисную машину.

Во втором случае пришлось повозиться. Так как винчестер с виртуальной машиной был отформатирован в VMFS, то просто подключить его к компу с Windows ничего не даст. Что бы получить доступ к файлам виртуальных дисков *.vmdk пришлось использовать специальный драйвер написанный на Java.
Вот ссылка на источник: тут. Open Source VMFS Driver .
Вкраце, использовать vmfs-tools при загрузке с LiveCD. Или монтировать из Windows.
Установить Java. Выполнить следующие команды:

cd C:\Program Files\Java\jre7\bin

java -jar D:\vmfs_r95\fvmfs.jar

java -jar D:\vmfs_r95\fvmfs.jar \\.\PhysicalDrive3 info

java -jar D:\vmfs_r95\fvmfs.jar \\.\PhysicalDrive3 dir /

java -jar D:\vmfs_r95\fvmfs.jar \\.\PhysicalDrive3 filecopy /FS_Win2003_1/FS_Win2003.vmdk

java -jar D:\vmfs_r95\fvmfs.jar \\.\PhysicalDrive3 filecopy /FS_Win2003_1/FS_Win2003-flat.vmdk

java -jar D:\vmfs_r95\fvmfs.jar \\.\PhysicalDrive3 webdav

Последняя команда расшаривает диск необычным образом, к нему можно получить доступ через браузер. http://localhost:50080/vmfs.

Последним способом я и воспользовался. минус его в том что через браузер диски *.vmdk скачиваются на низкой скорости, примерно 20 Мбайт/с. VMPlayer не запускался, пока не скачал все файлы с папки виртуальной машиной ESXi.

К этому времени уже установился 2003 на офисный комп. На старом выполнил проверку netdiag и dcdiag. были незначительные ошибки, но я решил рискнуть. Роли проверить можно через netdom query fsmo (устанавливается через Support Tools с диска CD2 2003 R2).

Назначил настройки IP свежеустановленному 2003, вбил его в домен. Поднял уровень до КД, вручную добавил роль DNS-сервер, добавил Глобальный каталог. Через окна передал ему все роли FSMO, несколько раз перезагрузил его и старый виртуальный КД. Затем на старом выполнил понижение роли КД (через удаление). Вот единственное что забыл так это удалить его из домена.

Далее уже на новом 2003 выполнил повышение функционального уровня домена и леса до 2003 (до этого стоял 2000) смотреть подробно тут (делается в консоли Домены и отношения доверия Active Directory - ПКМ по домену - Повысить функциональный уровень домена - опять ПКМ - Повысить функциональный уровень леса). И обновил схему леса и домена до 2008 R2 (все это делается на 2003).

Запускается adprep32.exe с диска 2008 R2 (если 2003 х32).

adprep32.exe /domainprep /gpprep

В общем, делал все как тут .

Скажу только что в итоге я не смог передать роль Мастер Схемы, пришлось захватывать (KB M$ ). Но даже после захвата в логах журнала 2008 были ошибки, что КД является Мастером Схемы, но не уверен до конца что это так. Возможно потому, что 2003 я не смог понизить до рядового сервера. Постоянно вылетала ошибка, пришлось его просто отрубить и удалить из AD.

Миграции домена с Windows Server 2003 на Windows Server 2008

Мой конфиг . Intel i5-3570 3400ГГц 16384Мб DDR3-1600 ATI6770 DDR5 3TB hard space

Миграции домена с Windows Server 2003 на Windows Server 2008/R2

Введение в миграцию домена с Windows Server 2003 на Windows Server 2008/R2

Как недавно выяснилось, процесс миграции домена с Windows Server 2003 на Windows Server 2008/R2 (либо просто на другой сервер) для начинающих системных администраторов представляет сложности и даже вызывает некоторую боязнь, хотя на самом деле он настолько прост, что о написании такой статьи я даже и не задумывался никогда, тем более что в интернете их полно.

Тем не менее, целью данной статьи было объединить типовые действия, возникающие при миграции, поэтому приступим. Статья будет представлять собой пошаговый мануал, с наиболее распространенным случаем миграции с 2003 на 2008 R2 и с необходимыми отступлениями для других вариантов. Собственно шаги:

• Исходные данные и техзадание
• Подготовительные работы
• Обновление схемы леса и домена
• Передача ролей FSMO
• Перенос глобального каталога
• Перенастройка интерфейсов, DNS и другие послеустановочные задачи

Исходные данные и техзаданиев миграции домена с Windows Server 2003 на Windows Server 2008/R2

Исходная ситуация — существует домен, testcompany.local. Для упрощения в нем будет один контроллер домена под Windows Server 2003, с именем dc01. DNS-сервер также на нем, основная зона интегрирована в Active Directory.

Сетевые настройки контроллера: IP-адрес — 192.168.1.11
Маска — 255.255.255.0
Шлюз — 192.168.1.1
DNS-сервер — 192.168.1.11
Задача — установить контроллер домена на другом сервере, причем работающем под Windows Server 2008 R2, старый контроллер понизить до рядового сервера (а затем возможно, удалить вообще), а все функции старого контроллера передать новому.

Подготовительные работыв миграции домена с Windows Server 2003 на Windows Server 2008/R2

В качестве подготовительных работ следует запустить команды netdiag (эта команда существует только в 2003 Server, Support Tools) и dcdiag. убедиться в отсутствии ошибок, а при их наличии исправить эти ошибки.

В первую очередь определяем держателя FSMO-ролей в домене, командой: netdom query fsmo Утилита netdom.exe в состав Windows Server 2003 по умолчанию не входит, поэтому нужно установить Support Tools (http://support.microsoft.com/kb/926027). В рассматриваемом случае от нее смысла никакого нет, так как контроллер домена всего один и роли FSMO все равно все на нем. Тем же, у кого контроллеров домена больше одного, это будет полезно, чтобы знать, какие именно роли и откуда переносить. Результат команды будет примерно таким:

Далее, устанавливаем операционную систему Windows Server 2008 R2 на новый сервер, даем имя скажем dc02. задаем сетевые настройки: IP-адрес — 192.168.1.12
Маска — 255.255.255.0
Шлюз — 192.168.1.1
DNS-сервер — 192.168.1.11 и вводим его в существующий домен, testcompany.local в нашем случае.

Обновление схемы леса и домена

Следующий этап — обновление схемы леса и домена до Windows Server 2008 R2, что мы будем делать с помощью утилиты adprep. Вставляем установочный диск с Windows Server 2008 R2 в сервер dc01. На диске нас интересует папка X:\support\adprep (X: — буква диска DVD-ROM). Если windows Server 2003 у вас 32-х битная, следует запускать запускать adprep32.exe, в случае 64-х битной — adprep.exe.

Для выполнения команды adprep /forestprep никаких требований к функциональному режиму леса нет. Для выполнения команды adprep /domainprep требуется, чтобы в домене использовался функциональный уровень домена не ниже Windows 2000 native.

Вводим команду: X:\support\adprep>adprep32.exe /forestprep После предупреждения о том, что все контроллеры домена Windows 2000 должны быть минимум с SP4 вводим С и нажимаем Enter:

Команда отрабатывает довольно долго, несколько минут и должна завершиться следующей фразой: Adprep successfully updated the forest-wide information. После этого вводим команду: X:\support\adprep>adprep32.exe /domainprep /gpprep Которая отработает не в пример быстрее:

Также стоит выполнить команду adprep /rodcprep. Даже если вы и не собираетесь использовать в вашей сети контроллеры домена только для чтения (Read Only Domain Controller — RODC), эта команда как минимум уберет ненужные сообщения об ошибках в журнале событий.

После завершения действия команд по обновлению схемы можно приступать к повышению роли нового сервера до контроллера домена.

На сервере dc02 заходим в Server Manager, добавляем роль Active Directory Domain Services. После установки роли, зайдя в Server Manager > Roles > Active Directory Domain Services, мы увидим желтую подсказку «Run the Active Directory Domain Services Installation Wizard (dcpromo.exe)». Ее и запускаем. Либо можно в командной строке набрать dcpromo. что будет равноценно вышеприведенному действию.

Так как освещение процесса установки контроллера домена в эту статью не входит, остановлюсь лишь на некоторых ключевых моментах. На шаге Additional Domain Controller Options поставьте обе галки, DNS Server и Global catalog .

Если галку Global Catalog и DNS Server не поставить, придется их переносить отдельно. А при миграции с 2003 на 2003 это придется делать в любом случае, так как в Windows 2003 такой возможности (установки DNS-сервера и глобального каталога при добавлении добавочного контроллера домена) нет. О переносе глобального каталога и DNS-сервера будет немного ниже.

Завершаем установку контроллера домена, перезагружаем сервер. Теперь у нас есть два контроллера домена, работающих одновременно.

Передача ролей FSMO

Передачу ролей FSMO можно производить как через графический интерфейс, так и с помощью утилиты ntdsutil.exe. В этой статье будет описан способ с использованием графического интерфейса, как более наглядный, кого интересует другой способ, он по этой ссылке: http://support.microsoft.com/kb/255504. Передача ролей FSMO будет состоять из следующих шагов:

• Передача роли Schema Master.
• Передача роли Domain Naming Master.
• Передача ролей RID Master, PDC Emulator и Infrastructure Master.

Заходим на сервер dc02. на тот, на который будем передавать роли. Для того, чтобы получить доступ к оснастке Active Directory Schema. сначала необходимо зарегистрировать библиотеку schmmgmt.dll. Это делается с помощью команды: regsvr32 schmmgmt.dll Далее, Start > Run > вводим mmc > Enter. В окне оснастки находим и добавляем компонент Active Directory Schema .

В дереве оснастки нужно щелкнуть правой кнопкой мыши элемент Active Directory Schema и выбрать пункт Change Domain Controller. Там меняем контроллер на dc02 .
Далее опять нажимаем правой кнопкой мыши элемент Active Directory Schema и выбираем пункт Operations Master. Появляется вот такое окно:

Нажимаем Change > Yes > OK и закрываем все эти окна.

Передача роли Domain Naming Master

Открываем оснастку Active Directory Domains and Trusts. щелкаем правой кнопкой мыши элемент Active Directory Domains and Trusts и выбираем команду Change Active Directory Domain Controller. Это действие необходимо, если работа ведется не с контроллера домена, которому передается роль. Пропустите его, если подключение к контроллеру домена, чья роль передается, уже установлено. В открывшемся окне выбираем контроллер домена, которому присваивается роль (dc02 в нашем случае), в списке и нажимаем кнопку ОК .

В оснастке щелкаем правой кнопкой мыши элемент Active Directory Domains and Trusts и выбираем пункт Operations Master. В появившемся окне нажимаем кнопку Change .

Чтобы подтвердить передачу роли, нажимаем кнопку ОК. а затем — Close .

Передача ролей RID Master, PDC Emulator и Infrastructure Master

Открываем оснастку Active Directory Users and Computers. Щелкаем правой кнопкой мыши элемент Active Directory Users and Computers и выбираем команду Change Domain Controller. Пропустите его, если подключение к контроллеру домена, чья роль передается, уже установлено. В открывшемся окне выбираем контроллер домена, которому присваивается роль (dc02 в нашем случае), в списке и нажимаем кнопку ОК.

В оснастке щелкаем правой кнопкой мыши элемент Active Directory Users and Computers. выбираем пункт All Tasks. а затем Operations Master .

Выбираем вкладку, соответствующую передаваемой роли (RID. PDC или Infrastructure Master ), и нажимаем кнопку Change. Чтобы подтвердить передачу роли, нажимаем кнопку ОК. а затем — Close .

Перенос глобального каталога

Если мы делаем миграцию не на 2008, а на 2003, в котором при добавлении добавочного контроллера домена глобальный каталог не ставится, либо вы не поставили галку Global Catalog при установке добавочного контроллера домена, тогда нужно назначить роль глобального каталога новому контроллеру домена вручную. Для этого, заходим в оснастку Active Directory Sites and Services. ракрываем Sites > сайт Default-First-Site-Name > Servers > DC02 > щелкаем правой кнопкой мыши по NTDS Settings > Properties. В открывшемся окне ставим галку Global Catalog > OK.

После этого, в логах Directory Service появится сообщение, что повышение роли контроллера до глобального каталога будет отложено на 5 минут: Event Type: Information
Event Source: NTDS General
Event Category: (18)
Event ID: 1110
Date: 12.07.2011
Time: 22:49:31
User: TESTCOMPANY\Administrator
Computer: dc02.testcompany.local
Description:
Promotion of this domain controller to a global catalog will be delayed for the following interval.

Interval (minutes):
5

This delay is necessary so that the required directory partitions can be prepared before the global catalog is advertised. In the registry, you can specify the number of seconds that the directory system agent will wait before promoting the local domain controller to a global catalog. For more information about the Global Catalog Delay Advertisement registry value, see the Resource Kit Distributed Systems Guide.
Ждем пять минут и дожидаемся события 1119 о том, что этот контроллер стал глобальным каталогом: Event Type: Information
Event Source: NTDS General
Event Category: (18)
Event ID: 1119
Date: 12.07.2011
Time: 22:54:31
User: NT AUTHORITY\ANONYMOUS LOGON
Computer: dc02.testcompany.local
Description:
This domain controller is now a global catalog.
Перенастройка интерфейсов, DNS и другие послеустановочные задачи

Далее, так как DNS-сервер на dc02 мы установили, теперь нужно в свойствах сетевого интерфейса первичным DNS-сервером указать самого себя, т.е. адрес 192.168.1.12. И на dc01 соответственно поменять на 192.168.1.12.

В свойствах DNS-сервера на dc02 проверьте вкладку Forwarders. на 2003, в отличие от 2008, она не реплицируется. После этого можно понижать контроллер домена dc01 до рядового сервера.

Если вам необходимо у нового контроллера оставить старое имя и IP-адрес, то это также делается без проблем. Имя меняется как для обычного компьютера, либо командой netdom renamecomputer .

После смены IP-адреса выполните команды ipconfig /registerdns и dcdiag /fix.

__________________
Магазин детских игрушек и принадлежностей http://lolo.by шлифовка пола и паркета от профи http://doctor-pol.by