SAMBA 3 से ActiveDirectory (डाउनटाइम के बिना डोमेन माइग्रेशन अनुभव) से डोमेन प्रवास

हाल के एक लेख में, TerAnYu ने बताया कि कैसे उन्होंने सांबा से सक्रिय निर्देशिका में एक डोमेन माइग्रेट किया । विधि चुना गया था, मेरी राय में, बहुत दिलचस्प है, लेकिन, दुर्भाग्य से, जब एक छोटे से डोमेन (लेखक लेख के पाठ में लगभग 70 कार्यालय उपयोगकर्ताओं का उल्लेख करता है), तो कई दिलचस्प समस्याएं पर्दे के पीछे बनी रहीं।
मैं, बदले में, उपयोगकर्ता स्क्रिप्ट्स को डंप / पुनर्स्थापित करने और उन समस्याओं का वर्णन करने और उन्हें हल करने पर ध्यान केंद्रित करने की कोशिश करेगा। शायद वर्णित अनुभव किसी को माइग्रेशन तैयार करने में शामिल श्रम को कम करने में मदद करेगा।

और, ज़ाहिर है, मैं चालाक था - यह सरल होगा, लेकिन सबसे कम से कम।

सांब को क्यों छोड़ा

सांबा के बारे में और सभी सवालों के जवाब देने के लिए मैं जवाब दूंगा
प्रारंभ में, सांबा डोमेन में वास्तुकला (हमारे द्वारा हमारी स्थापना, और डेवलपर्स द्वारा नहीं) में कुछ मिसकल्चुलेशन थे जो डोमेन को स्केल करते समय खुद को दिखाते थे। जब डोमेन के पूर्ण पुनर्गठन के लिए आवश्यकता उत्पन्न हुई, तो पेशेवरों और विपक्षों का वजन, प्रबंधन ने सांबा को पुनर्गठित करने के बजाय सक्रिय निर्देशिका में स्थानांतरित करने का निर्णय लिया।
मैं आगे इस प्रश्न पर विचार करता हूं।

संकल्पना

मैं प्रवास की अवधारणा का संक्षेप में वर्णन करूंगा:

1. डोमेन का उपयोग कर सभी सेवाओं की एक सूची संकलित की गई है (प्राधिकरण के लिए या अन्य जानकारी के भंडार के रूप में)
2. सक्रिय निर्देशिका के साथ काम करने के लिए इन सेवाओं के लिए कॉन्फ़िगरेशन के नए सेट तैयार किए जा रहे हैं।
3. सांबा स्रोत डोमेन डेटा को डंप में सहेजा जाता है।
4. नए डोमेन का पहला नियंत्रक विंडोज 2003 सर्वर पर तैयार किया जा रहा है (माइग्रेशन के बाद, आप नए ओएस के साथ आसानी से डोमेन को नियंत्रकों में स्थानांतरित कर सकते हैं, लेकिन अगला चरण केवल 2003 के सर्वर पर काम करेगा)। नया सर्वर सांबा पर डोमेन के SID को सेट करने के लिए न्यूज़िड उपयोगिता का उपयोग करता है (भूमिका में वृद्धि के साथ, यह SID सक्रिय निर्देशिका डोमेन का SID बन जाएगा)
5. DNS को कॉन्फ़िगर किया गया।
6. सुरक्षा ऑब्जेक्ट (उपयोगकर्ता / समूह / कंप्यूटर) आरआईडी के आरोही क्रम में निर्मित डोमेन में शुरू किए जाते हैं। एक एकल डीसी के साथ एक डोमेन में, आरआईडी को सख्ती से क्रम में सौंपा जाता है (बड़ी संख्या में परीक्षण आयात रन के लिए, मेरे पास एक भी मामला नहीं है जो विपरीत साबित हो)
7. उपयोगकर्ता पासवर्ड पुराने डोमेन से नए एक में सिंक्रनाइज़ किए जाते हैं।
8. वर्कस्टेशन और सर्वर नए डोमेन में स्थानांतरित किए जा रहे हैं।
9. डोमेन का उपयोग करने वाली सेवाओं पर, कॉन्फ़िगरेशन पूर्व-तैयार और परीक्षण के लिए बदल जाता है।

अब क्रम में प्रत्येक चरण पर विचार करें।

डोमेन का उपयोग कर सेवाओं की सूची।

यह सूची सभी पर निर्भर होनी चाहिए कि आप कहीं पलायन करने जा रहे हैं या नहीं। आपके डोमेन का उपयोग कौन और कैसे करता है, यह जानना हमेशा महत्वपूर्ण होता है। सूची में इस बारे में जानकारी होनी चाहिए:

1. होस्ट (ओं) जिस पर सेवा चल रही है।
2. डोमेन से कनेक्ट करते समय उपयोग किए जाने वाले प्रोटोकॉल और प्रमाणीकरण विधि के बारे में।
3. उन क्रेडेंशियल्स के बारे में जिनके साथ सेवा डोमेन में अधिकृत है।
4. LDAP में संग्रहीत सेवा डेटा के प्रारूप के बारे में (यदि सेवा LDAP में अपना डेटा सहेजती है)

सेवाओं को पुन: व्यवस्थित करते समय आपको इस सूची की आवश्यकता होगी।

नई कॉन्फ़िगरेशन किट

उनकी आवश्यकता होगी और उन्हें पहले से तैयार किया जाना चाहिए (हम नहीं चाहते कि व्यवसाय निष्क्रिय हो!)।
क्या बदलेगा? यह तर्कसंगत है कि इस कदम के बाद भी आपके पास बड़ी संख्या में लिनक्स सिस्टम होंगे जिनकी आपको आवश्यकता है
नए डोमेन में एकीकृत करेगा (हो सकता है कि आप इनमें से अधिकांश प्रणालियों से छुटकारा पाने के लिए नहीं जा रहे हों)

1. आपकी सेवाएँ अब LDAP में संग्रहीत उस हैश के साथ उपयोगकर्ता के पासवर्ड को सत्यापित करने में सक्षम नहीं होंगी - वे अब LDAP से कोई भी हैश प्राप्त नहीं करेंगे। हमें LDAP बाइंड का उपयोग करके पासवर्ड की जांच करने के लिए सब कुछ फिर से करना होगा (मेरा मतलब है कि सेवाएं जो केबरोस के साथ काम नहीं करेगी)। मैं अत्यधिक अनुशंसा करता हूं कि जहां भी संभव हो, प्राधिकरण के लिए केबरोस का उपयोग करना संभव है - यह उपयोगकर्ताओं के लिए जीवन को आसान बना देगा और आपके डोमेन नियंत्रकों पर लोड को कम करेगा।
2. अब आपके डोमेन में नेस्टेड समूह हो सकते हैं, इसलिए, जब किसी समूह में उपयोगकर्ता की सदस्यता की जाँच करते हैं, तो आपको नेस्टेड समूह होने की संभावना पर विचार करना होगा।
3. यह आपकी सेवाओं को केबरोस के उपयोग के लिए स्थानांतरित करने के लिए समझ में आता है (यदि यह पहले नहीं किया गया है)।
4. LDAP में संग्रहीत डेटा के लिए, आपको अन्य विशेषताओं की तलाश करनी होगी, या सक्रिय निर्देशिका स्कीमा के विस्तार पर काम करना होगा (मैं दृढ़ता से उपयुक्त प्रारूप के साथ आने वाली पहली विशेषता का उपयोग करने की अनुशंसा नहीं करता हूं - यह सोचने की कोशिश करें कि भविष्य में आपका समाधान कैसे हो सकता है)। सक्रिय निर्देशिका विशेषताओं को स्थापित करने का लाभ अच्छी तरह से प्रलेखित है - प्रलेखन का अध्ययन करने के लिए समय बिताने के लिए बहुत आलसी मत बनो।

सांबा डोमेन डंप

यहां दिलचस्प क्षण शुरू होते हैं।
सांब SID की विशिष्टता को नियंत्रित नहीं करता है। इसलिए, एक बड़े, वितरित डोमेन में, आप एक ही SID के साथ कई सुरक्षा ऑब्जेक्ट प्राप्त कर सकते हैं। एक नियम के रूप में, यह एक व्यवस्थापक त्रुटि का परिणाम है और इस त्रुटि को तुरंत ठीक किया जाना चाहिए! एक ही SID के साथ कई सुरक्षा वस्तुओं की उपस्थिति अस्वीकार्य है (लेकिन, दुर्भाग्य से, सांबा डोमेन में मैं इस घटना में एक से अधिक बार आया हूं)
एक ठेठ (इंटरनेट से मैनुअल पर) में सांबा RID इंस्टॉलेशन 1000 से जारी किया जाना शुरू होता है। दुर्भाग्य से, ऊपर वर्णित विधि से आप RIDs के साथ सुरक्षा वस्तुओं को लगभग 1034 से कम नहीं भेज सकते हैं (मुझे लगता है - मैं सही संख्या भूल गया, लेकिन यह पता लगाना आसान है - एक साफ नया नियंत्रक डालें डोमेन और नवीनतम RID देखें)। सक्रिय निर्देशिका डोमेन बनाते समय, कई सेवा सुरक्षा ऑब्जेक्ट बनाए जाते हैं और वे इन बहुत पहले RID पर "कब्जा" कर लेते हैं
वर्णित इन दो मामलों में, समाधान एक है:
आखिरकार, आपने सांबा पर एक डोमेन डंप पहले से अपलोड और विश्लेषण किया है? क्या X अभी भी दूर है? इसलिए सभी संघर्ष स्थितियों के माध्यम से धीरे-धीरे हल करने और उन्हें व्यापार के लिए न्यूनतम डाउनटाइम के साथ ठीक करने का समय है।

नए डोमेन का पहला नियंत्रक तैयार करना

सबसे पहले, यह सुनिश्चित करने का प्रयास करें कि भूमिका बढ़ने से पहले सर्वर पर कोई बाहरी स्थानीय समूह और उपयोगकर्ता नहीं हैं (अन्यथा वे शुरू में व्याप्त आरआईडी की संख्या में वृद्धि करेंगे) - यह तब हो सकता है जब आप किसी प्रकार की विशिष्ट सर्वर छवि का उपयोग करते हैं।
दूसरे, आपको न्यूज़िड प्राप्त करने की आवश्यकता है। इसे आधिकारिक वेबसाइट पर हटा दिया गया था , लेकिन जैसा कि वे कहते हैं, इंटरनेट पर क्या मिला ...
हां, आप मौजूदा एक के बगल में एक नया डोमेन तैयार कर सकते हैं (मैं इसकी अत्यधिक अनुशंसा करता हूं), आप पुराने NETBIOS डोमेन नाम को रखने का इरादा नहीं रखते हैं!

डीएनएस सेटअप

पीसी को एक नए डोमेन (और पासवर्ड को सिंक्रनाइज़ करते समय) में स्थानांतरित करते समय, आपको यह सुनिश्चित करने की आवश्यकता होगी कि आपके बुनियादी ढांचे में किसी भी कंप्यूटर पर दोनों डोमेन के नाम सही ढंग से हल किए गए हैं। यह दोनों डोमेन की सेवा करने वाले DNS सर्वरों पर सशर्त अग्रेषण को कॉन्फ़िगर करने के लिए समझ में आता है।

एक नए डोमेन में सुरक्षा वस्तुओं को फिर से बनाना।

आयात समय

RID द्वारा सॉर्ट किया गया डोमेन डंप होना अच्छा है।
डंप आयात करने के साधनों का चुनाव आपका है। मैंने शुरू में VBScript में स्क्रिप्ट को स्केच किया था, लेकिन अंत में मुझे C # में सब कुछ फिर से लिखना पड़ा - अन्यथा यह बहुत धीरे-धीरे निकला (घंटे X से पहले, मैंने संभावित समस्याओं की पहचान करने के लिए एक से अधिक बार परीक्षण प्रवास आयोजित किया)। मैंने लगभग आधे दिन में सभी डेटा आयात किया (यह कुछ ट्रिक्स के साथ है - बाद में उन पर अधिक)।
जब डोमेन पुराना होता है और जब डोमेन बड़ा होता है, तो RID पूल के विखंडन की उच्च संभावना होती है (RID द्वारा सॉर्ट किए गए आपके डोमेन डंप में बड़े चूक हो सकते हैं: उपयोगकर्ताओं / समूहों / कंप्यूटरों को शुरू किया गया और फिर हटा दिया गया) - तार्किक समाधान है:
एक उपयोगकर्ता बनाएं, उसका RID प्राप्त करें, उपयोगकर्ता को हटाएं। यदि RID-1 डंप से अगले उपयोगकर्ता के RID के बराबर है, तो डंप से उपयोगकर्ता को प्रारंभ करें, अन्यथा RID "धोखा" चक्र दोहराएं।
निर्णय तर्कसंगत है, लेकिन बहुत ही भयावह रूप से धीमा है।
डिफ़ॉल्ट RID पूल का आकार 500 है। एक अच्छा अमान्य रैडपूल तंत्र है जो सर्वर कोआईडी मास्टर से एक नया पूल का अनुरोध करने के लिए मजबूर करता है।
अमान्य रैडपूल का उपयोग करने से हमें RID को "स्क्रॉल" करने के लिए समय कम करने की अनुमति मिली, और साथ ही साथ निम्न समस्या को भी हल किया।

कचरा साफ करना

दुर्भाग्य से, RID को सक्रिय निर्देशिका में "रैपिंग" करने के बाद, बहुत सारे समाधि बनी हुई है क्योंकि उनकी वजह से ntds.dit भारी आयाम लेती है और दूरस्थ साइटों के लिए इसकी प्रतिकृति सिरदर्द की तरह दिखाई देने लगती है। कैसे उनसे छुटकारा पाएं और ntds.dit की सुविधा दें? केवल एक प्राकृतिक तरीके से।
tombstoneLifetime सक्रिय निर्देशिका में दूरस्थ ऑब्जेक्ट का जीवनकाल सेट करता है (रीसायकल बिन में वस्तुओं के साथ भ्रमित नहीं होना चाहिए - ये अलग-अलग चीजें हैं), जो न्यूनतम मान सेट किया जा सकता है वह 2 दिन है (डिफ़ॉल्ट मान 180 दिन है), अर्थात दो दिनों से अधिक पुरानी हटाई गई वस्तुओं को डेटाबेस से हटा दिया जाएगा। यदि आप tombstoneLifetime = 2 सेट करते हैं और दो दिन प्रतीक्षा करते हैं ... केवल पहले 5000 कब्रिस्तान हटा दिए जाएंगे। कचरा संग्रहण प्रक्रिया के परिणामस्वरूप समाधि हटा दी जाती है। यह प्रक्रिया हर 12 घंटे में एक बार स्वतंत्र रूप से शुरू होती है और एक बार में 5000 से अधिक वस्तुओं को नहीं हटाती है। बड़ी संख्या में कब्रों को साफ करने के लिए, आपको कई बार कचरा संग्रह चलाने की आवश्यकता होगी: लॉन्च अंतराल को कम करना , या प्रक्रिया को जबरन कॉल करना।
उसके बाद, tombstoneLifetime मान वापस करना सुनिश्चित करें और ऑफ़लाइन डीफ़्रैग्मेन्टेशन ntds.dit करें

पुराने डोमेन से नए के लिए उपयोगकर्ता पासवर्ड सिंक्रनाइज़ करें।

कई "कैसे करना है" विकल्प हैं:

• सांबा में, आप अपना पासवर्ड जटिलता परीक्षण स्क्रिप्ट सेट कर सकते हैं । दुर्भाग्य से, उपयोगकर्ता लॉगिन स्क्रिप्ट में पारित नहीं हुआ है, लेकिन इसे ठीक करना आसान है (यह ओपन सोर्स है!)
• सांबा NT और LM (14 वर्णों से कम पासवर्ड के लिए) पासवर्ड हैश को संग्रहीत करता है - यदि स्थिति अनुमति देती है , तो आपके पास अपने उपयोगकर्ताओं के पासवर्ड का पता लगाने का अवसर है।
• आप उपयोगकर्ताओं के लिए एक डिफ़ॉल्ट पासवर्ड सेट कर सकते हैं और चेकबॉक्स सेट कर सकते हैं "अगले लॉगिन पर पासवर्ड परिवर्तन की आवश्यकता है" (मैं अत्यधिक ऐसा नहीं करने की सलाह देता हूं)
• आप सभी उपयोगकर्ताओं को बायपास कर सकते हैं

सामान्य तौर पर, आप चुनते हैं। मैं पहला विकल्प पसंद करता हूं।

वास्तव में प्रवास।

पिछले सभी चरणों ने डोमेन के संचालन को प्रभावित नहीं किया। यह केवल तैयारी थी जिसे व्यापार के काम में हस्तक्षेप किए बिना महीनों तक चलाया जा सकता है। शेष दो चरणों को व्यवसाय से सहमत निष्क्रियता की अवधि में करना होगा। उपयुक्त तैयारी और हाथों की आवश्यक संख्या की उपलब्धता के साथ, एक साधारण व्यक्ति को वास्तव में कुछ रातों तक कम किया जा सकता है (डोमेन के आकार के आधार पर, यह कई घंटों तक हो सकता है)।
यहां यह जानना महत्वपूर्ण है कि कौन सी सेवाएं और कौन से उपयोगकर्ता महत्वपूर्ण हैं और जो इंतजार कर सकते हैं जो उपयोग करने में आसान हैं - सामान्य तौर पर, आपको अपनी कंपनी की व्यावसायिक प्रक्रियाओं को जानना होगा।
नए डोमेन की सेटिंग्स फिर से जांचें: आईपी सबनेट, साइट्स, पॉलिसियां, आपके पीडीएपी एमुलेटर पर एक बाहरी स्रोत से समय सिंक्रनाइज़ेशन स्थापित करना।
जांचें कि दोनों डोमेन के DNS नाम आपके वर्कस्टेशन से सही तरीके से तैनात किए गए हैं।

वर्कस्टेशन और सर्वर के एक नए डोमेन में स्थानांतरण

अगर OC XP / 2003 के डोमेन सदस्यों और उससे अधिक पर है - कोई विशेष समस्या नहीं होगी - तो वे JoinDomainOrWorkgroup का उपयोग करके आसानी से नए डोमेन में तुरंत स्थानांतरित कर सकते हैं
2000 के दशक के लिए, आपको एक मध्यवर्ती रिबूट करना होगा (डोमेन से पुनः लोड करें-डोमेन में प्रवेश करें)
यहां आप अपने लिए उपलब्ध किसी भी केंद्रीकृत प्रबंधन प्रणाली का उपयोग कर सकते हैं, या अपनी खुद की स्क्रिप्ट लिख सकते हैं (वे काफी सरल हो जाएंगे)। यह मत भूलो कि एक डोमेन से एक डोमेन में एक पीसी को स्थानांतरित करने के लिए, आपको डोमेन और पीसी पर स्वयं दोनों में उपयुक्त विशेषाधिकारों के साथ एक खाते की आवश्यकता होगी।
हां, डीएचसीपी सर्वर सेटअप में DNS पते को नए में बदलना न भूलें (आप सही में MS DNS के AD-एकीकृत क्षेत्रों का उपयोग करना चाहते हैं?) DHCP सर्वर स्वयं तुरंत माइग्रेट नहीं किया जा सकता है (आप बहुत अधिक कार्यक्षमता खो देंगे - यह दर्द रहित हो सकता है बाद में Microsoft के किसी उत्पाद से प्रतिस्थापित करें।

डोमेन का उपयोग करके सेवाओं पर कॉन्फ़िगरेशन में बदलाव।

आपने नई कॉन्फ़िगरेशन फ़ाइल (माइग्रेशन के लिए निर्देश) तैयार की, लेआउट पर नई सेटिंग्स का परीक्षण किया - इसलिए कोई समस्या नहीं होनी चाहिए।

परिणाम।

सुरक्षा वस्तुओं को आयात करने के लिए लगभग 3-4 दिनों की तैयारी के लिए बहुत समय बिताने के बाद, आप एक कंपनी को सांबा से सक्रिय निर्देशिका में 1 - कई रातों में स्थानांतरित कर सकते हैं।

यदि आपके पास इस तरह के प्रवास का एक और दृष्टिकोण / अनुभव है - तो कृपया इसे साझा करें - अपने कार्यों का विश्लेषण करने के लिए यह बहुत दिलचस्प है, यह पता लगाने के लिए कि क्या बेहतर किया जा सकता है।
स्वाभाविक रूप से, मैंने केवल सामान्य समस्याओं और विशिष्टताओं पर छुआ - कोई दो समान कंपनियां नहीं हैं और हर जगह अपने स्वयं के अनूठे स्नेग होंगे।