De cómo ser IT Pro y no morir en el intento

1 Introducción

Con esta nueva entrada iniciamos una serie de diferentes artículos con el objetivo el reflejar los pasos seguidos para generar un nuevo entorno Microsoft Exchange en Windows Server 2008 R2 SP1 para poder realizar la migración de buzones de correo desde el dominio viejo.

2 Nuevo entorno Exchange

El nuevo bosque/dominio se llamará “midominio.local” y estará compuesto inicialmente por los Controladores de dominio “DC1” y “DC2”, con las IPs 192.168.130.152 y 192.168.50.50

Los equipos que compondrán la arquitectura Exchange estarán ubicados en la subnet de la red donde está ubicado DC2

2.1 Preparación del Schema

Antes de poder iniciar la instalación del Exchange, hemos de preparar el Schema del nuevo bosque para soportar las clases requeridas por el producto. Para ello, procederemos a extender el esquema con el coman do “setup.com /PrepareSchema (o /ps) desde el Command Prompt del servidor donde iniciaremos la instalación del producto.

Una vez finalizado el proceso, debemos esperar a que los DCs repliquen los nuevos atributos y clases.

Una vez finalizada correctamente la replicación de los cambios, hemos de proceder a extender las propiedades del Directorio Activo (AD)

2.2 Preparación del AD

Para realizar la preparación del AD, hemos de ir de nuevo al Command Prompt y ejecutar el comando “setup.com” con los parámetros /PrepareAD (o /p). Opcionalmente también podemos especificar el nombre de la organización Exchange.

En este caso el nombre escogido para la organización es “Organizacion”. El comando para establecer el nombre de la organización es /OrganizationName (o /on)

Una vez finalizado el proceso, debemos esperar de nuevo la replicación de los cambios en el AD.

Llegados a este punto, ya podemos proceder a instalar los distintos servidores Exchange y sus roles tal como se describe en la siguiente entrada.

Marc

Siguiendo con lo mío… y sabiendo que ya hay muchos post, enlaces y tutos de cómo crear una Relación de confianza entre bosques, voy a añadir mi granito de arena con mi propia entrada del tema.

Antes de nada, hemos de resolver el tema de la “localización” de los dominios entre sí por lo que usaremos una característica ya incluída en Windows Server 2003: los Conditional Forwarders

El objetivo es que toda petición dirigida a “mi_dominio.local” desde “midominio.local” vaya directamente a los servidores DNS autoritativos de esa zona, que serán los servidores DNS del dominio origen mientras que el resto de peticiones, usen los DNS del ISP, router o lo que haya configurado para salir a Internet.

El mismo caso pero a la inversa se hace para “midominio.local” de modo que el tráfico de consultas DNS se encamina sólo hacia los servidores que gestionan cada una de las zonas en cada uno de los bosques.

Configuración en el nuevo bosque

En las propiedades del DNS de uno de los DCs del nuevo bosque, añadimos las IPs de los DNS del otro bosque, como se ilustra en las siguientes imágenes

Configuración en el viejo bosque

En las propiedades del DNS de uno de los DCs del bosque antiguo hacemos lo mismo que antes pero a la inversa.

Y nada más, tan sencillo como esto.

Evidentemente, hemos de realizar pruebas desde ambos dominios para asegurarnos que la resolución cruzada funciona.

Otra cosa ha hacer, y se puede hacer por GPO – lo recomiendo – es forzar que la lista de sufijos DNS de la conexión incluya el dominio propio y el contrario para facilitar un orden de resolución correcto.

Una vez llegados a este punto… vamos con las…

Relaciones de confianza

Para poder migrar usuarios entre distintos bosques y/o dominios de Directorio Activo, es necesario establecer relaciones de confianza entre ambos entornos de modo que un usuario de un dominio pueda usar los recursos del otro dominio, siempre que los permisos establecidos para esos recursos brinden el correcto acceso a los mismos.

Para establecer relaciones de confianza entre dominios, debemos ir a Administrative Tools, Active Directory Domain and Trusts y, desde las propiedades del dominio, ir a la pestaña “Trusts”.

Desde aquí, escogemos la opción “New Trust” donde se lanzará un asistente que nos guiará en todo el proceso de generación de la relación de confianza entre los entornos.

Este asistente ha de ejecutarse en los dos dominios sobre los que queremos establecer la relación de confianza.

Avanzamos en el asistente

Introducimos el nombre NetBios o FQDN del dominio al que queremos establecer la relación y continuamos con el asistente.

Escogemos el tipo de confianza que vamos a establecer. En nuestro caso, a nivel de Bosque dado que ambos entornos están funcionando en modo Nativo Windows Server 2003 o superior.

La relación será bidireccional, de modo que un usuario del dominio “mi_dominio.local” pueda acceder a los recursos de “midominio.local” y viceversa.

Limitamos la creación de la relación sólo al dominio actual de modo que deberemos generar la contraria al finalizar el asistente en el otro dominio.

No limitamos el acceso entre dominios dado que la relación de confianza sólo existirá durante la transición de bosques y no necesitamos filtrar los usuarios que podrán acceder a los recursos del dominio contrario.

Establecemos un password para generar la relación de confianza. No es necesario que este password pertenezca a ningún usuario a la par que se puede cambiar en cualquier momento y revalidar la relación de confianza después del cambio.

Con todos los datos introducidos en el asistente.

Una vez finalizado el asistente, procedemos a validar la nueva relación de confianza con un usuario del dominio contrario que tenga los privilegios necesarios. Confirmamos la relación entrante.

Una vez repetido este proceso en ambos dominios, tendremos la relación de confianza totalmente funcional.

Dominio MiDominio.local

Dominio Mi_Dominio.local

Avanzaremos un poco el siguiente tema que será instalar la herramienta ADMT y configurar los dominios para permitir su uso. Así que lo primero a hacer es….proceder a la desactivación del SID Filtering. Este paso se debe hacer desde el dominio destino o nuevo, con los comandos

1. netdom trust midominio.local /domain:mi_dominio.local /quarantine:no
2. netdom trust midominio.local /domain:mi_dominio.local /EnableSIDHistory:yes

Marc

Siguiendo con la serie de entradas relativas a la migración de bosques, hoy procederemos a explicar cómo instalar la herramienta Active Directory Migration Tool

Instalando ADMT

La herramienta de migración de usuarios, grupos, equipos y servidores, Active Directory Migration Tool (ADMT), se instala en un servidor de transición diferente y específico para la realización de este proceso y que, originalmente podríamos llamar “Migrador”. Lo integraremos como member server del dominio destino “midominio.local”

Esta herramienta se compone de dos partes:

1. La propia ADMT que requiere de la instalación de un SQL Express 2008 SP1
2. Y una segunda parte llamada Password Export Tool (PES) requerida para traspasar los passwords entre dominios.

La herramienta PES se instala en el servidor que tiene el PDC Emulator del dominio “mi_dominio.local” y deberá arrancar con una cuenta Domain Admin.

1.1 Instalación de SQL Express 2008 SP1

La herramienta ADMT requiere de una base de datos para funcionar que bien puede ser una instancia de un SQL Server 2005 o 2008 “completo” o las versiones SQL Express 2005 SP3 y/o SQL Express 2008 SP1

Para no complicar las cosas, se opta por instalar un SQL Express 2008 SP1. Los pasos seguidos han sido los siguientes

Lanzamos el instalador de SQL Express 2008 SP1

Dejamos que el programa de instalación haga las comprobaciones necesarias al entorno antes de proseguir con la instalación del producto

Una vez validado el entorno, procedemos a la instalación como tal

Avanzamos con el procedimiento de instalación de SQL Express

Aceptamos el CLUF

Le indicamos que genere una nueva DB.

Le indicamos que cree la nueva instancia con los valores por defecto del producto.

Se comprueba que hay suficiente espacio en el sistema para proceder a la instalación.

Escogemos cuenta local de sistema para arrancar la instancia del SQL Express

Como modo de autenticación, escogemos integrado en el sistema.

Finalizados todos los pasos del Asistente, iniciamos la instalación del producto.

Una vez finalizada la instalación, ya podemos instalar ADMT sobre esa instancia recién creada.

1.2 Instalación de Active Directory Migration Tool

Después de instalar el SQL Express 2008 SP1, procedemos con la instalación del ADMT propiamente dicho.

Lanzamos el Asistente y seguimos los pasos que nos indica

Aceptamos la licencia de uso o CLUF

Indicamos la instancia de SQL a usar, que por defecto será “SQLExpress” del equipo local

Continuamos con la instalación

Como es una instalación desde cero, no requerimos de importar los datos de otra migración anterior.

Una vez completados todos los pasos, ya tendremos la herramienta instalada y lista para su ejecución.

1.3 Instalación de Password Export Tool

Para poder migrar las contraseñas de los usuarios entre bosques y/o dominios, es necesario instalar la herramienta Password Export Tool (PES) en el servidor origen que tiene el rol de PDC Emulator.

La instalación de PES requiere de una clave de exportación que se genera desde la línea de comandos del servidor donde se instala ADMT (Migrador) y tiene la sintaxis:

admt key /option:create /sourcedomain:mi_dominio.local /keyfile:C:\Export\password.pes /keypassword:*

Después de generar la clave de exportación, la copiamos en el DC que tiene el rol de PDC y lanzamos el programa de instalación de PES, con privilegios elevados.

Seguimos el Asistente proporcionando la ruta del fichero “password.pes” cuando lo solicite. Introducimos el password que protege el fichero y finalizamos el asistente. Para concluir el proceso de instalación, reiniciamos el servidor.

Después del reinicio, comprobamos que el servicio de PES arranca correctamente

Una vez tenemos ADMT montado y configurado, deberemos lanzar diferentes pruebas para validar que el proceso de migración de usuarios, grupos y passwords de un dominio al otro funciona correctamente.

Y hasta aquí la parte referente al montaje de un nuevo bosque, el establecimiento de relaciones de confianza y la instalación de ADMT.

La siguiente serie de entradas corresponderán a la instalación y configuración de Exchange 2010 SP1 para la migración de buzones inter-forest. Espero que os gusten.

Marc

Una vez tenemos claro que el diseño pensado en la anterior fase se va a ajustar a lo que necesitamos, es necesario iniciar la fase de implantación de la solución.

Obivamente, lo primero que deberemos hacer es generar otro bosque con al menos 2 DCs para dar soporte al nuevo entorno.

Los pasos seguidos han sido:

Generación del nuevo dominio

Para generar el nuevo dominio, ejecutaremos el comando “dcpromo” desde la consola DOS con privilegios elevados.

Una vez arrancado el Asistente, seguimos los pasos que nos marca completando cada paso.

Después de que se hayan copiado los binarios de instalación del Asistente para generar un nuevo bosque/dominio, procederemos a generarlo.

Marcamos el check “Use advanced mode installation” y seguimos con el procedimiento.

Escogemos la opción de “Create a new domain in a new forest”

Establecemos como nombre para el Forest Root domain “midominio.local”. Aceptamos el nombre NetBIOS que nos propone el asistente y continuamos.

Como nivel funcional del bosque escogemos Windows Server 2008 dado que ofrece los mismos niveles de confiabilidad que el modo Windows Server 2003 que tiene el bosque a migrar.

El nivel funcional del dominio también lo escogemos Windows Server 2008.

Durante la fase de instalación debemos instalar el servicio DNS sobre el que se fundamenta gran parte de los servicios del Directorio Activo de Microsoft.

En una fase de la instalación nos solicita un Password Recovery para iniciar, en caso de fallo, los DCs en Restore Mode.

Una vez completados todos los pasos, procedemos a finalizar la ejecución del asistente para que cree un nuevo bosque según los parámetros indicados.

Una vez finalizado el proceso, procedemos a reiniciar el equipo para que inicie sus funciones como nuevo DC para el nuevo bosque.

Controlador de dominio adicional

Para añadir un controlador de dominio adicional, lanzamos de nuevo el proceso “dcpromo” desde la consola del DOS con Privilegios elevados.

Una vez arrancado el Asistente, seguimos los pasos que nos marca completando cada paso.

Después de que se hayan copiado los binarios de instalación del Asistente para generar un nuevo bosque/dominio, procederemos a generarlo.

Marcamos el check “Use advanced mode installation” y seguimos con el procedimiento.

Escogemos la opción “Existing forest” y después “Add a domain controller to an existing domain”

Seleccionamos el dominio ya existente, “midominio.local” y proporcionamos un usuario con privilegios para realizar la operación.

El Asistente nos mostrará todos los dominios dentro del bosque seleccionado y deberemos seleccionar el adecuado. En nuestro caso, al existir sólo un bosque/dominio, elegimos “cmtdom.es” y continuamos con el proceso.

El siguiente paso nos indica que seleccionemos un “site” al que asociar el nuevo DC. Dado que los servidores están en LANs diferentes separadas por un firewall, se decide crear previamente el “site” antes de iniciar la instalación del nuevo DC.

Asignamos el nuevo DC a su site, Interna, y continuamos con el proceso.

Como el nuevo DC estará en un “site” diferente, seleccionamos instalar el servicio de DNS y convertir el servidor en “Global Catalog”.

Como servidor de réplica inicial del dominio, le decimos al asistente que replique desde cualquiera usando la red, sin usar la opción de generar un nuevo DC desde un backup previo de un System State.

En una fase de la instalación nos solicita un Password Recovery para iniciar, en caso de fallo, los DCs en Restore Services Mode.

Una vez completados todos los pasos, procedemos a finalizar la ejecución del asistente para que cree un nuevo DC en el bosque según los parámetros indicados.

Una vez finalizado el proceso, procedemos a reiniciar el equipo para que inicie sus funciones como nuevo DC del bosque.

Llegados a este punto, ya tenemos un nuevo bosque sobre el que poder seguir trabajando.

Marc

Seguimos con la serie de entradas sobre la migración de bosques AD. Si recordáis los datos obtenidos en el análisis deberíamos tener suficientes datos para una versión inicial del diseño de nuestra solución.

Por supuesto este diseño ha de cumplir con los mínimos que nos diga el cliente pero también hemos de tener la libertad para generar un nuevo entorno funcional, adecuado y escalable en el futuro.

En la solución inicial propuesta tendríamos:

1. Un mínimo de dos Controladores de dominio para garantizar un mínimo de alta disponibilidad
2. Un mínimo de máquinas para tener una estructura Exchange en alta disponibilidad. En este caso deberían ser 4, como en el entorno analizado.
3. Un equipo que haga las funciones de OCS, dado que no está soportado la migración inter-forest de este software.
1. Posibilidad de instalar un Lync 2010
4. Un plan de migración de ILM. En su defecto, montar un FIM 2010 y coordinar su entrada en funcionamiento
5. Procesos de migración de servidores: SQL, FileServer, antivirus, Print Servers, etc.
6. Procesos de migración de usuarios, buzones, equipos, etc.
7. Revisión de las GPOs
8. Revisión de login scripts, si hubiera más de uno.

Sobre esta base generaremos la documentación necesaria, un Project con los hitos obtenidos y a obtener e iremos solicitando la creación de máquinas virtuales necesarias para cada rol en concreto.

Hay que tener en cuenta que, además, necesitaremos un equipo que usaremos como servidor de migración de recursos así como repasar todos los pasos necesarios para instalar la herramienta de Microsoft que realizará estos pasos: ADMT en su versión 3.2 para nuestro caso, y toda su documentación bien aprendida

Marc