Archivo

Entradas Etiquetadas ‘Active Directory’

Windows Server 8: Domain Controller (I)

miércoles, 7 de marzo de 2012 Sin comentarios

No hace ni una semana como quien dice que Microsoft liberó las versiones Consumer Preview de Windows 8 Client y Windows Server 8.

De la ingente cantidad de información también liberada yo me voy a limitar a reproducir un clásico: montar un dominio Windows Server, en versión “8”,  en modo nativo.

Podremos ver que los pasos de generación de un dominio “8” son ligeramente diferentes a versiones anteriores, léase, un dcpromo no es suficiente.

Comencemos diciendo que el equipo de pruebas es un equipo con 1 GB de RAM, 1 CPU y un disco de 32 GB, thin provisioning.

Lo primero que debemos hacer es dirigirnos al Server Manager del sistema y preparar el equipo para convertirlo en Domain Controller.

Vamos al menú Manager y escogemos “Add Roles and Features”

DCPromo1

El asistente, y esta es una de las novevades de esta versión, al menos durante la Beta, nos permite escoger tanto el servidor local como cualquier otro servidor con Windows Server 8 a los que instalar los diferentes roles y/o features. Todo desde un único punto central.

En el ejemplo, sólo tenemos una máquina de nombre tan original como WIN8DC Nerd smile.

Lo escogemos y seguimos.

DCPromo2

Escogemos la opción de Active Directory Domain Services

DCPromo3

… que provocará la instalación de componentes adicionales.

DCPromo4

Lo mismo para el servicio DNS

DCPromo5

Y proseguimos sin instalar ninguna feature, no necesaria en este punto.

Validamos la parte de Active Directory

DCPromo6

También la de DNS

DCPromo7

Confirmamos todo lo que queremos instalar e instalamos los roles seleccionados.

DCPromo8

Llegados a este punto, podemos cerrar el asitente (en versiones anteriores a Windows Server 8 no se podía) dado que el procedimiento no se interrumpe y se realiza en segundo plano.

Para tener visibilidad en esta guía, opté por dejar el proceso en primer plano.

DCPromo9

Una vez finalizada la instalación de los roles, cerramos el asistente.

Desde el Server Manager se nos informa que quedan acciones pendientes como es la creación del Domain Controller propiamente dicho

image

Pero dejamos este punto para la siguiente entrada

 

Marc

¿Cómo realizar una auditoría de un Directorio Activo (AD)?

miércoles, 21 de diciembre de 2011 Sin comentarios

Hola a todos.

Sin pretender pasarme de listo, y dado que es algo básico en todo proyecto de mejora de una infraestructura de Directorio Activo, voy a escribir lo que podría tomarse como una “Guía base”  de auditoría de este tipo de entornos.

Lo mínimo que hay que mirar sería:

  1. Controladores de dominio
  2. Estructura del Directorio Activo
  3. Estructura de GPOs
  4. Estructura de DNS
  5. Estructura de DHCP
  6. Sites y subnets
  7. Login script
  8. Servidores de ficheros
  9. Servicio de correo
  10. Servicios de bases de datos
  11. Servicio de impresión
  12. Servicio de copias de seguridad
  13. Servicio de antivirus
  14. Servicios de monitorización
  15. Navegación Internet
  16. Cuentas genéricas y de servicio
  17. Otros servicios

Después de tener todo lo anterior, deberemos acabar redactando un documento donde se describan los problemas detectados, las posibles alternativas y un evolutivo de la plataforma, de cada plataforma.

Fácil, no? A modo de ejemplo para una empresa de 300 usuarios y 20 servidores, un informe se puede alargar unas 50 páginas, adjuntando en él un esquema de la infraestrucura (el famoso Visio Winking smile)

Edito y actualizo: Me apuntan vía Twitter (gracias Manuél Roldan, “eManu_es”) que para faciltar las tareas de dibujar la topología del Directorio Activo, valernos de la herramienta de Microsoft diseñada para ello: Active Directory Topology Diagramer así como el Microsoft Assessment and Planning (MAP) Toolkit si pensamos en migrar el entorno.

 

Saludos,

Marc

Preparando el WebCast

miércoles, 14 de diciembre de 2011 Sin comentarios

Sí, efectivamente, estoy sacando horas de donde puedo para preparar el WebCast sobre Políticas de Dominio (GPOs) de mañana Jueves 15.

Ya tenemos la estructuración de los contenidos en el PPTX y estamos preparando los equipos de laboratorio para mostrar varias cosas. Esperamos que os guste y, de mientras, seguiremos “dando el callo Nerd smile” para ofreceros contenido entretenido, ameno y, sobretodo, útil.

Os recuerdo el enlace:

Webcast TechNet: POLÍTICAS DE GRUPO (GPOs) DE 0 A 100: https://msevents.microsoft.com/CUI/EventDetail.aspx?EventID=1032500349&Culture=es-ES

 

Saludos,

Marc

Migración bosques AD: migración de usuarios, correo y equipos

martes, 20 de septiembre de 2011 Sin comentarios

Lo prometido la semana pasada, una explicación de cómo se deberían migrar los recursos de usuario de un bosque a otro una vez tenemos la infraestructura mínima montada debería ir por aquí:  

Listado de tareas

  1. Preparación del buzón del usuario
  2. Migración del usuario
  3. Migración del buzón
  4. Migración del equipo
  5. Activación del usuario en Lync y actualización del cliente OCS 2007 R2 a Lync 2010

Preparación del buzón del usuario

Todos los comandos de PowerShell que se muestran a continuación se han ejecutado desde el servidor con el rol de CAS

La preparación para la migración de un usuario se requiere de la ejecución del cmdlet “Prepare-MoveRequest.ps1” que está en la ruta “C:\Program Files\Exchange Server\V14\Scripts” en cualquiera de los servidores Exchange que componen la plataforma.

Para ejecutarlo, hemos de abrir la Exchange Management Console (EMC) e ir a la ruta indicada.

Como pasos previos, debemos definir en dos variables los usuarios/passwords que el script necesita para la migración. Para ello, en la EMC ejecutamos

$Remote = Get-Credential

Donde almacenaremos las credenciales de un usuario con permisos de Domain Admin del dominio origen (mi_dominio.es)

$Local = Get-Credential

Donde almacenaremos las credenciales de un usuario con permisos de Domain Admin del dominio destino (midominio.es)

Una vez almacenados los datos de conexión entre dominios, procedemos a ejecutar el script Prepare-MoveRequest.Ps1 siguiendo exactamente la sintaxis que se muestra a continuación:

.\Prepare-MoveRequest.Ps1 -Identity <UsuarioAMigrar>@midominio.es –RemoteForestDomainController dcviejo.mi_dominio.es -RemoteForestCredential $Remote -LocalForestDomainController dc1.midominio.es -LocalForestCredential $Local -UseLocalObject -Verbose

El resultado tiene que ser parecido al siguiente

image

Y nos indica que todo ha funcionado correctamente.

Migración del usuario

La migración del usuario entre bosques de ejecutará con la herramienta ADMT instalada en el servidor “migrador” del dominio destino: migrador.midominio.es

Para evitar problemas en esta fase y sobretodo en la de migración del equipo, usaremos un Domain Admin del dominio origen para hacer login en el sistema y realizar todos los pasos.

Abrimos la herramienta ADMT

image

Una vez abierta la herramienta, botón derecho sobre el texto Active Directory Migration Tool y, en este punto, escoger “User Account Migration Wizard”

image

Arrancar el Asistente pasando la pantalla de bienvenida y completamos los valores de los dominios de origen y destino así como de los DCs a los que nos conectaremos.

image

Avanzamos hasta la pantalla de selección de usuario a migrar.

image

Escogemos el usuario a migrar después de buscarlo en el AD origen.

image

Y continuamos con el asistente.

image

Procedemos con el asistente donde marcaremos que queremos migrar la contraseña actual del usuario (Migrate passwords).

En el caso de que el DC origen no esté seleccionado, debemos escoger el DC que tiene el servicio de Password Export Tool (PES) instalado como servidor del cual haremos la extracción del password, tal como se ve en la siguiente captura de pantalla.

image

El siguiente paso es el más importante de todos, por lo que hemos de cerciorarnos no dejar sin marcar las opciones que se muestran en la siguiente captura.

image

Proporcionar los datos de un usuario Domain Admin para completar el proceso de migrar el SID del usuario.

image

Marcar todas las opciones que se muestren en la siguiente pantalla del asistente.

image

Seguir con el asistente dejando las opciones por defecto hasta la pantalla

image

Finalizar con el asistente y proceder con la migración del usuario

image

image

IMPORTANTE: Después de migrar el usuario, hay que desmarcar la opción de que cambiar el password en el siguiente inicio de sesión y marcar el password no caduca.

Migración del buzón

Como paso previo, debemos definir en una variable, el usuario/password que el script necesita para la migración. Para ello, en la EMC ejecutamos

$Remote = Get-Credential

Después de preparar al usuario y migrar los atributos no pertenecientes a Exchange con la herramienta ADMT, debemos ejecutar un “New-MoveRequest” para mover el buzón entre los dos entornos de correo.

La sintaxis exacta a seguir es la siguiente:

New-MoveRequest -Identity <UsuarioAMigrar> -RemoteLegacy -TargetDatabase «<DBDestinoAMigrar>» -RemoteGLobalCatalog ‘dc1.mi_dominio.es’ -RemoteCredential $Remote -TargetDeliveryDomain midominio.es

image

Para ver el proceso de migración del mismo, ejecutaremos el cmdlet

Get-MoveRequestStatistics -id “nombreDelUsuario”

image

Después de migrar el buzón, procederemos a migrar el equipo entre los dos dominios.

Migración del equipo

Abrimos la herramienta ADMT en el servidor “migrador.midominio.es”

image

Una vez abierta la herramienta, botón derecho sobre el texto Active Directory Migration Tool y, en este punto, escoger “Computer Migration Wizard”

image

Arrancar el Asistente pasando la pantalla de bienvenida y avanzamos hasta la pantalla de selección del equipo a migrar.

image

Escogemos el equipo a migrar después de buscarlo en el AD origen.

image

Y continuamos con el asistente.

Marcamos todas las opciones de conversión de seguridad para el equipo

image

A nivel de seguridad local, escogemos la opción “Add” para que se añadan los valores del nuevo dominio al equipo que vamos a migrar

image

Seguir con el asistente aceptando los valores por defecto hasta la pantalla de resolución de conflictos siguiente

image

Finalizar el asistente el cual nos lanzará la pantalla de migración del equipo y que sólo deberemos seguir y esperar a que finalice.

Activación del usuario en Lync

Después de migrar el usuario, el buzón y el qeuipo, procederemos a dar de alta en el servidor Lync del nuevo entorno al usuario migrado.

Abrir la consola de gestión de Lync, introduciendo el login/password cuando lo solicite

image

Ir a “Users” y “Enable users”

image

Buscamos al usuario acabado de migrar pulsando en “Add”

image

image

Lo seleccionamos y le asignamos un “Pool” dejando el resto de valores por defecto

image

Pulsamos sobre “Enable” y se nos deberá mostrar en la lista de usuarios con Lync habilitado

image

Una vez dado de alta el nuevo usuario en el nuevo entorno de Lync, se procederá a actualizar el cliente en el equipo del usuario.

Finalmente, y una vez finalizadas todas las fases, deberemos realizar una validación de todo el proceso de migración siguiendo estos sencillos pasos.

  1. Hacer login con el usuario migrado en el nuevo dominio y comprobar que lo hace correctamete y sin errores.
  2. Comprobar que el nuevo login script realiza el mapeo de unidades de red correctamente.
  3. Validación acceso la cuenta de Exchange migrada desde el cliente Outlook
  4. Validación acceso a la nueva OAB del nuevo entorno desde el cliente Outlook
  5. Validación acceso a la nueva plataforma Lync con el cliente actualizado.

Este proceso se debe realizar para todos los usuarios a migrar. Cuando esta fase esté acabada, se podrá iniciar la fase de migración de los servidores de un bosque a otro.

Pero eso será otro día.

Marc

Migración de bosques AD: resumen de la infraestructura montada

lunes, 19 de septiembre de 2011 Sin comentarios

Después de esta serie de artículos, podemos decir que ya estamos preparados para iniciar la migración de usuarios, grupos, buzones y equipos de los usuarios.

A modo de resumen, tenemos

  1. Un nuevo dominio con relaciones de confianza.
  2. Un nuevo entorno Exchange 2010 y su publicación en Internet (I y II)
  3. Un nuevo servidor de Lync
  4. Un equipo que se usará como migrador de los recursos.

Próximos pasos, empezar a mover a los usuarios y todo lo que vaya asociado a ellos, que a fin de cuentas es lo más importante en toda migración y lo que más tiempo va a consumir… pero también es lo más sencillo de explicar dado que es todo bastante mecánico.

Marc