• Aucun résultat trouvé

Migration d un domaine Active Directory 2003 R2 vers 2008 R2 (v2)

N/A
N/A
Protected

Academic year: 2022

Partager "Migration d un domaine Active Directory 2003 R2 vers 2008 R2 (v2)"

Copied!
21
0
0

Texte intégral

(1)

1

Migration d’un domaine Active Directory 2003 R2

vers 2008 R2 (v2)

Tutorial conçu et rédigé par Michel de CREVOISIER

SOURCES

Gestion des rôles d’opérations :

http://technet.microsoft.com/en-us/library/cc816945%28v=ws.10%29.aspx Localisation et migration des rôles d’opérations :

http://www.alexwinner.com/articles/win2008/28-fsmofindmove.html Liste des commandes Active Directory en PowerShell :

http://technet.microsoft.com/en-us/library/ee617195.aspx

(2)

2

INDEX

SOURCES ... 1

INDEX ... 2

Préambule ... 3

1. Préparation du contrôleur à migrer ... 4

1.1 Augmentation du niveau fonctionnel ... 4

1.2 Mise à jour du schéma ... 4

1.3 Mise à jour du domaine ... 6

1.4 Mise à jour des stratégies ... 6

1.5 Intégration de RODC ... 7

2. Configuration du nouveau contrôleur ... 8

2.1 Ajout d’un contrôleur de domaine ... 8

2.2 Vérifications ... 11

3. Transfert des rôles FSMO ... 13

3.1 Via l’interface graphique ... 13

3.2 En ligne de commande ... 15

4. Suppression de l’ancien contrôleur ... 16

5. Augmentation du niveau fonctionnel ... 17

5.1 Via l’interface graphique ... 17

5.2 En ligne de commande ... 17

6. Erreurs ... 18

6.1 Impossible de préparer le domaine... 18

6.2 Impossible d’augmenter le niveau fonctionnel en 2008 ... 18

6.3 Impossible de configurer le service NETLOGON ... 18

6.4 Erreur lors du transfert d’un rôle ... 19

7. Outils ... 20

7.1 Transfert forcé (seize) ... 20

Conclusion ... 21

(3)

3

Préambule

Face au vieillissement de notre bon vieux « Server 2003 », la question du remplacement de ce dernier est souvent évoquée. Cela dit, quand on se rappelle qu’il héberge l’ensemble des rôles Active Directory, on se dit finalement que le jeu n’en vaut peut-être pas la chandelle et qu’il pourrait tenir encore quelques années de plus…

Ce tuto a donc pour objectif de vous fournir la procédure afin de transférer les rôles d’un contrôleur de domaine sous 2003 R2 vers un contrôleur sous 2008 R2. Avant de procéder à la migration, prenez quand même le temps de sauvegarder votre serveur, on ne sait jamais …

Sachez par ailleurs qu’il est nécessaire de maîtriser un minimum les fonctionnalités de base d’un domaine Windows Server 2008 (à savoir Active Directory et DNS) pour comprendre ce tutorial. De plus vous devez disposer d’une version de Windows Server 2008 R2 SP1 Standard/Entreprise téléchargeable depuis le site de Microsoft. Attention, mes serveurs et logiciels seront installés en anglais. Je vous recommande donc d’opter pour cette langue lors de votre téléchargement ou bien de télécharger le pack multilingue en anglais ici pour ne pas perdre le fil…

Pour ce tuto, j’utiliserai 2 serveurs :

AD01: serveur Active Directory et DNS sous Windows Server 2003 R2 SP2 x86 (installation non détaillée)

AD02: serveur sous Windows Server 2008 R2 SP1 x64 (installation détaillée) ; non membre du domaine

(4)

4

1. Préparation du contrôleur à migrer 1.1 Augmentation du niveau fonctionnel

Avant de procéder à la migration, vous devez augmenter le niveau fonctionnel de votre domaine.

Pour cela :

 Ouvrez la console Active Directory

 Clic droit sur le nom de votre domaine > Raise domain functional level

 Choisissez le mode 2003

1.2 Mise à jour du schéma

La mise à jour du schéma consiste à ajouter les nouvelles classes et attributs (nécessaires au fonctionnement d’Active Directory sous Windows Server 2008 R2) dans la partition schéma. Cette action est à mener sur le serveur possédant le rôle FSMO « Maitre de schéma ».

1.2.1 Versions du schéma

A titre d’information, voici comment connaître la version actuelle du schéma :

 Ouvrez la console du registre

 Allez dans :

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NTDS\Parameters

 Recherchez la clef Schema version et comparez sa valeur avec tableau qui suit :

3 : Windows Server 2000 30 : Windows Server 2003 31 : Windows Server 2003 R2 44 : Windows Server 2008 47 : Windows Server 2008 R2

(5)

5

1.2.2 Désactivation de la réplication

Avant de mettre à jour le schéma, il est nécessaire de désactiver la réplication sortante du contrôleur de domaine :

repadmin /options <nom DC> +DISABLE_INBOUND_REPL

1.2.3 Mise à jour du schéma

Copiez le dossier « adprep » situé sur le DVD de Windows Server 2008 R2 (dans D:\support) sur votre serveur à migrer. Exécutez ensuite la commande suivante :

adprep32 /forestprep

Une fois l’opération terminée, vérifiez que la mise à jour a bien fonctionné en reproduisant la procédure du point

1.2.1

.

1.2.4 Réactivation de la réplication

N’oubliez pas de relancer la réplication :

repadmin /options <nom DC> -DISABLE_INBOUND_REPL

(6)

6

1.3 Mise à jour du domaine

La mise à jour du domaine consiste à préparer ce dernier à recevoir des contrôleurs de domaines sous Windows Server 2008 R2. Pour cela, exécutez la commande suivante :

adprep32 /domainprep

Attention, si vous n’avez pas augmentez le niveau fonctionnel comme indiqué au point

1.1

, vous vous heurterez au message du point

6.1

.

1.4 Mise à jour des stratégies

« Cette action a pour but d’ajouter les entrées de contrôle d'accès (ACE) pouvant être héritées sur les objets Stratégie de groupe de la ressource partagée Sysvol. Des entrées de contrôle d'accès (ACE) supplémentaires donnent aux contrôleurs de domaine de l'entreprise des autorisations d'accès en lecture sur les objets Stratégie de groupe. Ces autorisations sont requises pour prendre en charge la fonctionnalité Jeu de stratégie résultant pour la stratégie de site ». Pour hériter de ces éléments exécutez la commande suivante :

adprep.exe /domainprep /gpprep

(7)

7 Note : si vous exécutez la commande « /domainprep /gpprep » avant « /domainprep », les deux étapes seront réalisées : d’abord le « /domainprep » puis le « /gpprep »

1.5 Intégration de RODC

Afin de préparer votre domaine à recevoir d’éventuels contrôleurs de domaine en lecture seule (RODC), exécutez la commande suivante :

adprep /rodcprep

(8)

8

2. Configuration du nouveau contrôleur 2.1 Ajout d’un contrôleur de domaine

Maintenant que votre domaine est prêt à accueillir un contrôleur sous Windows Server 2008 R2, nous allons pouvoir en rajouter un. Pour cela :

 Exécutez la commande dcpromo

 Choisissez ensuite l’option ci-dessous :

 Indiquez ensuite le nom et les identifiants d’administrateur associés au domaine à migrer :

 Si tout est correct, l’écran suivant apparait :

(9)

9

 Le message ci-dessous peut apparaître si vous n’avez pas préparé le domaine à recevoir des contrôleurs en lecture seule (point

1.5

). Cliquez sur YES

 Sélectionnez ensuite les rôles à installer (DNS et Catalogue global) :

(10)

10

 Le message ci-dessous peut apparaître si votre serveur n’a pas d’accès à internet. En effet, le serveur DNS ne peut pas vérifier la délégation de nom concernant le « .com ». Cliquez sur YES

 Indiquez que vous souhaitez répliquer les données de l’annuaire Active Directory via le réseau :

(11)

11

 Si vous possédez plusieurs contrôleurs de domaine, indiquez celui de votre choix. Sinon laissez l’option par défaut :

 Laissez l’assistant terminer et redémarrez le serveur

2.2 Vérifications

Avant de poursuivre, vérifiez les points suivants :

 Présence des consoles Active Directory et DNS

 Présence des deux contrôleurs de domaine dans l’UO Domain Controllers

(12)

12

 Présence des répertoires :

o C:\Windows\SYSVOL\sysvol\[domaine]\scripts o C:\Windows\SYSVOL\sysvol\[domaine]\policies

 Présence des partages NETLGON et SYSVOL via la commande net share

Attention ! Pour les deux points précédents, les éléments peuvent tarder à apparaître !

 Exécutez la commande dcdiag et vérifiez qu’il n’y pas d’erreurs, notamment au niveau du RPC. Par ailleurs, il peut s’avérer nécessaire de redémarrer l’ancien serveur.

(13)

13

3. Transfert des rôles FSMO

Nous allons maintenant procéder au transfert des différents rôles vers le nouveau serveur. Si vous souhaitez avoir plus d’informations concernant ces rôles, rendez-vous au point XXX de mon tuto intitulé « Tout sur Active Directory 2008 R2 ».

Attention ! Toutes les actions qui suivent devront être réalisées depuis le nouveau serveur.

3.1 Via l’interface graphique

3.1.1 Transfert du Maitre de schéma

Pour ce rôle, il est nécessaire de passer par la console Schéma Active Directory, hors celle-ci n’est pas disponible par défaut. Pour l’activer :

 Ouvrez une console CMD en tant qu’administrateur et tapez : regsvr32 schmmgmt.dll

 Ouvrez une MMC et ajoutez le composant Active Directory Schema Maintenant que la console est accessible, vous pouvez transférer ce rôle :

 Clic droit sur Active Directory Schema > Operations Master

Change

Problème : le message ci-dessous apparaît. L’opération ne peut donc pas continuer en mode graphique

3.1.2 Transfert du Maître d’attribution de noms de domaine

 Ouvrez la console Active Directory Domains and Trusts

 Clic droit sur Active Directory Domains and Trusts > Operations Master

Change

3.1.3 Transfert des rôles niveau domaine (RID, PDC, Infrastructure)

 Ouvrez la console Active Directory

 Clic droit sur [nom domaine] > Operations Masters

 La fenêtre suivante apparaît :

(14)

14

 Cliquez sur Change pour procéder au transfert. Répétez ensuite cette action pour les autres rôles, sachant qu’à chaque transfert un message de confirmation apparaît :

(15)

15

3.2 En ligne de commande

Ouvrez une console CMD et tapez les commandes suivantes :

Ntdsutil Roles Connection

connect to server localhost quit

transfer schema master transfer naming master transfer infrastructure master transfer pdc

transfer rid master quit

quit

Vérifiez ensuite que tous les rôles ont été transférés : netdom query fsmo

Attention ! Si une erreur apparaît lors du processus de transfert d’un rôle, dirigez-vous au point

6.4

pour plus d’informations.

(16)

16

4. Suppression de l’ancien contrôleur

Maintenant que le nouveau serveur est prêt, il est temps de supprimer l’ancien. Pour cela :

 Arrêtez le service NETLOGON (Ouverture de session en français). Autrement le message du point

6.3

apparaîtra

 Exécutez la commande dcpromo

 L’assistant se lance. Surtout ne cochez pas la case ci-dessous car cela entrainerait la disparition du domaine :

 Confirmez la suppression du serveur et redémarrez ce dernier

(17)

17

5. Augmentation du niveau fonctionnel

Maintenant que votre contrôleur de domaine possède tous les rôles, nous allons augmenter son niveau fonctionnel afin de disposer des dernières fonctionnalités offertes par Server 2008 R2.

5.1 Via l’interface graphique

Pour augmenter le niveau fonctionnel via l’interface graphique, suivez comme suit :

 Ouvrez la console Active Directory

 Clic droit sur le nom de votre domaine > Raise domain functional level

 Choisissez le mode 2008 R2

Attention ! Si vous n’avez pas supprimé l’ancien contrôleur de domaine (sous 2003), le message du point

6.2

apparaîtra.

5.2 En ligne de commande

Pour augmenter le niveau fonctionnel en ligne de commande, ouvrez une console PowerShell et tapez les commandes suivantes :

Import-Module ActiveDirectory

Augmentation du niveau du domaine :

Set-ADDomainMode -Identity domaine.com -DomainMode Windows2008R2Domain

Augmentation du niveau de la forêt :

Set-ADForestMode -Identity domaine.com -ForestMode Windows2008R2Forest

(18)

18

6. Erreurs

6.1 Impossible de préparer le domaine

Ce message apparait si vous n’avez pas augmenté le niveau fonctionnel du domaine comme indiqué au point

1.1

.

6.2 Impossible d’augmenter le niveau fonctionnel en 2008

Si vous essayer d’augmenter le niveau fonctionnel depuis le nouveau contrôleur de domaine sans avoir supprimé l’ancien, vous obtiendrez le message ci-dessous. Pour augmenter le niveau en 2008 R2, supprimez l’ancien contrôleur en suivant les indications du point

4

.

6.3 Impossible de configurer le service NETLOGON

Durant la suppression de l’ancien contrôleur de domaine (point

4

), je me suis heurté au message suivant :

(19)

19

 Voici le détail de l’erreur dans le journal d’évènements :

Cette erreur est liée un l’impossibilité de modifier un enregistrement DNS sur ce même serveur, en raison de l’exécution du service NETLOGON (Ouverture de session en français). Pour parer à ce problème, il convient d’arrêter ce service avant d’exécuter la commande DCPROMO. Vous trouverez le détail de l’erreur sur EventID ici et sur le Technet ici.

6.4 Erreur lors du transfert d’un rôle

Comme indiqué à la fin du point

3.2

, il se peut que vous soyez dans l’impossibilité de transférer un rôle FSMO. Les causes du problème peuvent être nombreuses mais il existe une parade consistant à forcer le transfert de rôle. Ci-dessous, l’erreur rencontrée en voulant migrer le Maitre de Schéma :

Pour cette erreur (et uniquement cette erreur), Microsoft fournit une procédure détaillée. Si vous rencontrez le même problème mais pour d’autres rôles, rendez-vous au point

7.1

pour procéder à un transfert « forcé » via la commande seize.

(20)

20

7. Outils

7.1 Transfert forcé (seize)

Si pour une raison inconnue le transfert de rôle ne fonctionne pas, vous devrez alors forcer ce dernier via la commande seize. Attention, après avoir réaffecté les rôles, il ne faudra surtout pas reconnecter l’ancien contrôleur de domaine.

roles connection

connect to server [MONSERVEUR]

quit seize PDC

seize RID master

seize infrastructure master seize naming master seize schema master

Dans tous les cas et avant tout « seize », je vous recommande la lecture de l’article suivant (en anglais).

(21)

21

Conclusion

Dorénavant, vous êtes en mesure de transférer un contrôleur de domaine 2003 vers 2008. Mais attention, ce tuto est valable pour des versions standards de Windows Server. Pour les versions Small Business, la situation est plus délicate et la procédure est bien plus longue.

N’hésitez pas m’envoyer vos commentaires ou retours à l’adresse suivante : michel_de A-R-0-B-A-5 hotmail . com

Soyez-en d’ores et déjà remercié

Références

Documents relatifs

Par exemple, nous pourrions dorénavant utiliser la commande smbldap- useradd (voir plus bas dans création d’un utilisateur), qui grâce à ces outils permettra de créer en même

Cet article décrit les étapes à pour changer le nom d’un contrôleur de domaine sous Windows Server 2008 R2.. Les entreprises peuvent être amenées à changer de nom du

2.2 Fonctionnalités de l’Active Directory sous Windows Server 2008 R2.. 19 2.2.1 Installation d’un annuaire

Public visé : Informaticiens, ingénieurs systèmes, administrateurs Objectifs : Décrire les composants clés pour concevoir des infrastructures réseaux, Décrire

Dans ce module, vous commencerez votre exploration d'Active Directory Windows Server® 2008 en installant le rôle Services de domaine Active Directory (AD DS) et en créant

Vous allez donc utiliser la virtualisation pour mettre en place un serveur de base de données SQL, mais dans certains cas il peut être nécessaire que chaque

• La compatibilité doit être respectée ( Sage, Antivirus, Suite Office ) - Installation d’un serveur de fichiers sous un système d’exploitation Linux. • La mise en

65mm Voice Coil with High-Temp 4-Layer DVC Winding on AL Former.. 2) Consult the table below for altematlve enclosure net Internal volume calculation. 2) Consulter le