terça-feira, 15 de janeiro de 2013

Migrando Active Directory 2003 para 2008 R2

Cenário da Migração:


No cenário acima, estaremos migrando um domínio que está hospedado em um servidor com Windows Server 2003 R2 32bits para outro servidor (Virtual ou Físico) com Windows Server 2008 R2 64bits. As etapas dessa atividade envolvem as seguintes tarefas:

1) Validação dos pré-requisitos de sistema

2) Backup do System State

3) Elevar nível funcional do domínio estudos.local

4) Estender o esquema do Active Directory para Suportar Windows Server 2008 R2

5) Preparação do novo servidor Windows 2008 R2 o qual será migrado o domínio

6) Validação de configurações de DNS

7) Promover Windows Server 2008 R2 a Controlador de Domínio Adicional de estudos.local

8) Validação da replicação de objetos e do novo Controlador de Dominio Adicional

9) Instalação da Ferramenta de Suporte no Windows Server 2003 R2

10) Listar mestre de operações do domínio

11) Transferir funções (FSMO’s) do servidor 2003 para servidor 2008

12) Alteração de configurações de DNS Primário pós-migração de FSMOs

13) Rebaixando Windows Server 2003 R2 a Controlador de Domínio

14) Validando remoção do Controlador de Domínio Windows Server 2003 R2

15) Elevando o nível funcional de domínio e floresta para Windows 2008 R2


Pré-requisitos


O sistema operacional nos Controladores de domínio dever ser no mínimo Windows 2003 SP2 ou superior.

O nível funcional do domínio no servidor Windows 2003 deve estar como Windows Server 2003. Caso ele esteja em Windows 2000 misto, atualize para Windows 2000 nativo e depois para Windows 2003.

Ambos servidores (o atual e o futuro Controlador de Domino) devem estar se comunicando na rede e com nenhuma restrição de portas por firewall para que não ocorra nenhum problema no momento da replicação de objetos.

Antes de começar...

Antes de começar todas as etapas abaixo, é primordial realizar um backup do Active Directory do Windows 2003. Para isso, vamos utilizar o ntbackup do Windows e selecionar o backup do System State.


Menu iniciar > executar > digitar ntbackup
Blbalablbla

Selecionar “Back up files and settings”

Selecionar “Let me choose what to back up”

Selecionar System State

Clicar em browse...e escolher o local onde será salvo o Backup.

Clique em Finish


Posteriormente, seria bom gravar esse backup em alguma unidade externa (HD, USB, Rede, etc...).

  
Elevando o nível funcional do Domínio Windows 2003

Para elevar o nível funcional do domínio 2003, devemos abrir o console Active Directory Users and Computers > sobre a raiz do domínio estudos.local, clicar com botão direito do mouse em Raise Domain Functional Level...



Escolher Windows Server 2003 e clicar em Raise


Preparando o esquema do Active Directory para suportar o Windows Server 2008 R2


Devemos preparar o atual esquema do Active Directory para suportar o Windows 2008 R2. Para isso temos que inserir a mídia de instalação do Windows 2008 R2 no Servidor com o Windows 2003 e posteriormente usar a ferramenta ADPREP

Com a mídia inserida, vamos abrir prompt de comando e entrar no diretório da mídia de instalação onde contem o executável do ADPREP, em nosso exemplo é o D:\support\adprep

Após estar no diretório, digite o seguinte comando adprep32 /forestprep e pressionar enter
Observação Se você possuir um Windows 2003 64bis, você devera chamar o executável adprep ao invés do adprep32, (adprep /forestprep)

Em seguida aparece uma tela de aviso do ADPREP, pressione a tecla C e ENTER para confirmar e aguarde o processo terminar. Pode levar alguns minutos para realizar todo o processo.

Tela de aviso adprep32 /forestprep

adprep32 /forestprep Em execução

adprep32 /forestprep Em execução - Continuação

adprep32 /forestprep Concluído com Sucesso

Após a finalização do adprep32 /forestprep, precisamos executar o comando:
adprep32 /domainprep /gpprep e pressionar enter. Esse comando é executado rapidamente
  
adprep32 /domainprep /gpprep executado com sucesso.

Passo Opcional: Caso queira utilizar RODC’s em seu domínio o comando adprep32.exe /rodcprep também deverá ser executado

O que são RODC’s? São Controladores de Domínio somente leitura. Geralmente são utilizados em ambientes com filias que não possuem muita segurança.



Preparação do novo Active Directory com Windows Server 2008 R2

Após instalação do Windows Server 2008 R2 que será nosso novo Active Directory e com todas as atualizações (SP2, patchs, etc...) esse mesmo deverá sem ingressado como membro de nosso domínio estudos.local. Como boas práticas devemos utilizar um nome com fácil identificação antes de inseri-lo como membro do Domínio Ex: SRVDC2008.

Observação: Para que a inclusão do novo servidor 2008 no domínio seja efetuada com sucesso e  também para garantir a resolução de nome por DNS. Devemos garantir que em configurações de TCP/IP > DNS Primário, esteja apontando para o IP do Server 2003.


Em seguida abrir um prompt de comando e testar as configurações de DNS Server com o NSLOOKUP digitando nslookup e pressionar enter. Digitar o hostname em nosso exemplo srvdc2008 e verificar se o mesmo retorna o IP do servidor DNS + IP do Server 2008.



Uma vez validada as configurações de DNS com NSLOOKUP, agora vamos até o menu inciar > executar e digitar o comando DCPROMO e pressionar enter. Esse comando irá promover o Windows 2008 R2 à Controlador de Domínio ADICIONAL do domínio estudos.local.
Abaixo as etapas desse processo:

Habilitar o Use Advanced mode installation e clicar em Next

Clicar em Next

Selecionar Existing Forest e Add a domain controller to an existing domain e clicar em next

O nome do domínio ao qual o Windows 2008 será ingressado é mostrado, clicar em Next

Clicar em Next

Clicar em next

Garantir que as duas opções DNS Server e Global catolog estão habilitadas e clicar em Next

Um alerta é exibido informando sobre a Delegação de DNS, clique em Yes para continuar.

Aqui é selecionada a maneira de replicação que é será sobre a rede a partir de um Controlador de Domínio Existente, Clicar em next

Aqui é exibido de qual Controlador de Domínio serão copiados os objetos, clicar em Next

Localização do arquivo de Banco de Dados do Active Directory, clicar em next

Definir uma senha para o modo Restore do AD, guardar bem essa senha, pois a mesmo será necessária no caso de alguma recuperação de Ambiente Active Directory

Resumo da instalação, clicar em Next

Habilitar a opção Reboot on completion para reiniciar o servidor após a instalação



Validando replicação de objetos e Controlador de domínio Adicional

Após a instalação do Active Directory como Controlador de domínio adicional. A partir do Windows 2008 R2, vá até o menu iniciar > ferramentas administrativas > Active Directory Users and Computers

Navegar por sua estrutura Unidades Organizacionais (OU’s) do Active Directory e verificar se a replicação dos objetos usuários, grupos e computadores ocorreram com sucesso.


Ainda a partir do Active Directory Users and Computers do Windows 2008, é possível consultar todos Controladores de domínio na rede a partir da OU Domain Controllers

Após a validação da replicação dos objetos, é interessante realizar testes de criação de novos objetos usuários grupos, inserir alguma maquina cliente no Domínio e também abrir o gerenciador de GPOs.


Instalando Ferramentas de Suporte no Windows 2003

 Agora a partir do servidor Windows 2003, iremos instalar as Ferramentas de Suporte, com isso será possível obter diagnósticos da saúde do Active Directory, bem como realizar operações e de transferência de funções.


Para isso, insira a mídia de instalação do Windows 2003 no servidor Windows 2003 > Abra a unidade correspondente à mídia de instalação e execute o arquivo SUPTOOLS.MSI dentro do diretório D:\SUPPORT\TOOLS



Clicar em Next

Aceitar o contrato e clicar em Next

Informações da Organização, clique em Next

Repositório de instalação, clique em Install Now


Depois de instalar o Windows Support Tools, abra o command prompt a partir do menu iniciar > All Programs > Windows Support Tools 



Através do comando netdom query fsmo, vamos verificar qual servidor é o mestre de operações (Funções Mestre) do domínio, no nosso exemplo é o servidor 2003.


Para saber detalhes de qual a funcionalidade de cada FSMO.

Agora que identificamos que o Servidor 2003 é o principal Controlador de Domínio da rede. Vamos transferir as FSMO’s (Mestre de operações) para o Servidor Windows 2008 R2. Dessa maneira após a transferência das funções o Servidor Windows 2008 R2 passa ser o principal Controlador de Domino e posteriormente podemos rebaixar o Windows 2003.

Transferindo FSMO’s entre Controladores de Domínio


Vamos agora transferir as cinco regras de operações do Active Directory. A partir do Windows 2003, abra o command prompt no menu iniciar > All Programs > Windows Support Tools

Iremos utilizar a ferramenta NTDSUTIL que é uma ferramenta de administração avançada do Active Directory para realizar a transferência.

Execute os seguintes comandos dentro do prompt:

1) ntdsutil
2) roles
3) connections
4) connect to server SRVDC2008 (srvdc2008 é o hostname do servidor 2008 - servidor   destino)
5) q
6) transfer schema master


Clique em Yes para confirmar a transferência para SRVDC2008

Digitar transfer PDC pressionar enter e confirmar a transferência

Digitar transfer domain naming master pressionar enter e confirmar a transferência

Digitar transfer RID master pressionar enter e confirmar a transferência

Digitar transfer infrastructure master pressionar enter e confirmar a transferência


Para sair da ferramenta NTDSUTIL, digitar q (quit) e enter (2 vezes)

Dentro do mesmo prompt ainda, vamos novamente digitar o comando netdom query fsmo, e se observamos o owner de cada função, agora temos o SRVDC2008 como servidor principal detentor das FSMO’s


Agora que possuímos o Active Directory atualizado para Windows 2008 R2, podemos rebaixar o Windows 2003.

Mas antes disso, além do Windows 2008 ser o novo Principal Controlador de Domínio, o mesmo também é o nosso novo DNS Server, portanto devemos alterar o endereço do DNS Primário nas configurações de TCP do servidor e de todos os clientes.


Obs.: No caso das estações de trabalho que são clientes do domino, se possuir um servidor DHCP na rede, a alteração do endereço de DNS pode ser realizada diretamente no escopo de DHCP

Rebaixando o Windows 2003 à Controladr de domínio

Agora com todas as funcionalidades de Active Directory centralizadas no Windows 2008, podemos rebaixar o servidor Windows 2003 à Controlador de domino

Antes de seguir as etapas abaixo, é importante alterar o endereço do DNS primário nas configurações de TCP/IP para o novo servidor DNS (Windows 2008), pois senão ao tentar despromover o Windows 2003, você receberá uma mensagem de erro ao tentar parar o serviço de NETLOGON e o processo falhará.

A partir do Windows 2003, devemos seguir as etapas abaixo:

Entrar no menu iniciar > executar e digitar dcpromo

A mensagem abaixo informa que o atual servidor é um servidor de Catalogo Global. Clique em OK

Nessa tela, não habilitar a opção “This server is the last domain controller in domain”. E clicar em Next.


Como o servidor esta sendo rebaixado, temos que cadastrar uma nova senha para conta de administrator local.

Resumo da desinstalação do Active Directory

Removendo

Removido com Sucesso


Se abrirmos a console do Active Directory a partir do Windows 2008, podemos notar que o SRVDC2003 não esta mais dentro da OU Domain Controllers, mas sim dentro da OU Computers como membro do domínio.

 OU Domain Controllers

OU Computers

Elevando nível funcional de domínio e floresta para 2008 R2

  
A partir do momento em que não temos mais nenhum controlador de domínio trabalhando com Windows 2003 na rede, Podemos elevar o nível funcional de domínio e floresta para Windows Server 2008 R2. Com isso é possível ter muito mais recursos com essas funcionalidades trabalhando em 2008 R2.

Para elevar o nível funcional devemos a partir do Windows Server 2008 R2 acesso Menu iniciar > Ferramentas Administrativas> Active Directory Domain and Trusts

Clicar com botão direito do mouse em cima de Active Directory Domain na Trusts e depois em Raise Forest Funcional Level...


Vamos selecionar o ultimo nível disponível Windows Server 2008 R2 e clicar em Raise

A mensagem abaixo é exibida informando que essa ação uma vez aplicada é irreversível, clique em OK

Confirmação do nível funcional depois do Raise, clique em ok

Nível funcional de Floresta depois do processo de Raise

Nível funcional do Domínio depois do processo de Raise


É isso ai pessoal, espero que seja útil !!! Abraços...


39 comentários:

  1. Muito bom!

    Uma pergunta, existe problema, migrar um 2003 em inglês 64bits para um 2008 r2 64bits em português?

    ResponderExcluir
    Respostas
    1. Olá Diogo e obrigado pelo comentário.

      Não é recomendado realizar a migração de um DC para um novo servidor com idioma diferente do servidor origem.

      Você pode obter mais detalhes sobre os cenários de migração suportados no link abaixo.

      http://technet.microsoft.com/en-us/library/dd379558(v=ws.10).aspx

      Aproveitando e respondendo a sua segunda questão, é possível realizar a migração de um DC de um S.O standard para um S.O enterprise. Só deve-se prestar atenção se o seu servidor além de ser o seu Domain Controller, ele rodar outras funções que podem ser impactadas nessa migração de S.O.

      No mesmo link acima que lhe passei, você pode encontrar detalhes sobre isso também.

      Abçs

      Excluir
    2. Apenas complementando o item acima. Você pode instalar um S.O em inglês e depois instalar o languagePack em PT-Br.

      Excluir
    3. Ola Willian. Vou fazer essa migraçao, porém meu so é 2003 INgles e o novo está em portugues. Melhor transferir o 2003 para Portugues entao? Onde eu acho esse pack?

      Abs

      Excluir
  2. pode ser migrado um 2003 standard para um 2008 enterprise por exemplo?

    ResponderExcluir
  3. Willian,

    estou tendo esse problema voce pode me ajudar? Pelo amor de DEUS....

    C:\Arquivos de programas\Support Tools>ntdsutil
    ntdsutil: roles
    fsmo maintenance: connections
    server connections: connect to server cserver01
    Vinculando a cserver01 ...
    DsBindW erro 0x6ba(O servidor RPC não está disponível.)
    server connections:

    ResponderExcluir
    Respostas
    1. Este comentário foi removido pelo autor.

      Excluir
    2. Este comentário foi removido pelo autor.

      Excluir
  4. Willians,

    Poderia me passar seu contato para podermos bater um papo sobre o assunto?

    Carlos Bulhões

    ResponderExcluir
  5. Olá Carlos,

    meu email é o willians.oliveira@outlook.com. A partir dai podemos conversar melhor.

    abçs!

    ResponderExcluir
  6. Bom Dia,

    Teria como migrar do Server 2003 (Primário) para o Server 2003 R2 (Secundário) ?

    Obrigado.

    ResponderExcluir
  7. Vlw Willians,

    Foi muito útil pra mim,

    Eu tive a grande honra de conhecer e trabalhar com esse grande cara, Willians Oliveira, tudo de bom pra ti mano..

    vlw broca!!

    ResponderExcluir
    Respostas
    1. Que bom que foi útil mano...Vlw mesmo!

      Ae...esse muleke é zica no MK9 hein...abçs!!!

      Excluir
    2. Eu aprendi com o melhor professor né... rs..

      Manw.. no meu lab deu tudo certo, mas como sempre na hora de aplicar no ambiente da empresa aqui como sempre deu um problema..

      A falha ocorre no momento em que vou ingressar o server do 2008 como controlador de dominio adicional no 2003, sei que o problema é de DNS pois o erro que ocorre é que ele não encontrou o dominio, mas quando eu pingo o dominio ele responde normal, ja dei flush dns e nada, você já viu uma situação dessas??

      Excluir
    3. Cara, se certifica se o Firewall do Windows server 2008 está desabilitado ou se você consegue dar um telnet na porta 389. Outra questão é você dar um nslookup no server 2008 para ver se ele esta retornando o seu server 2003 como DNS Primario.

      valeu!

      Excluir
  8. Consegui resolver, na verdade fizeram caca no DNS daqui, apagaram a zona _msdcs., não sou nenhum expert em DNS e sinceramente não sei qual relação com o meu problema, mas eu segui um tutorial para restaurar essa zona e funcionou, apenas para dar os devidos créditos segue o link do post:

    h t t p : / / technet . microsoft . com/pt-br/library/ee956927 . aspx

    Vlw Broca!!!

    ResponderExcluir
    Respostas
    1. Verdade, já peguei casos de apagarem essa zona _msdcs. Pegue uma outra fonte, mas o processo era o mesmo...abçs!

      Excluir
  9. Willians, bom dia!

    Muito bom esse passo a passo e muito bem explicado, me foi muito útil... admiro pessoas assim que faz um ótimo trabalho... parabéns e muito obrigado.

    ResponderExcluir
    Respostas
    1. Obrigado Agmar! Muito bom que foi útil para você.

      abçs!

      Excluir
  10. Gostei do post, depois vou fazer um lab. e testar! :D

    ResponderExcluir
  11. Muito bom o post, tenho uma dúvida se o nível funcional do domínio e floresta estiver como 2003 a GPO do Windows 2008 R2 Server vai funcionar ou eu tenho que subir o nível dos mesmos para 2008 R2

    ResponderExcluir
  12. Willians, boa tarde.

    Ótimo post! Parabéns!!!!

    Acho útil incluir a opção de como migrar o DHCP Server

    Migrar DHCP Server
    Windows Server 2003
    netsh dhcp server export D:\Backup\FCESPADSP001\DHCP\DHCP_BACKUP.txt all
    Stop the DHCP server service
    Windows Server 2008 R2
    Stop the DHCP server service
    Delete/rename the existing DHCP.mdb file %systemroot%\system32\dhcp folder
    Start the DHCP server
    Authorize DHCP Server
    Try to import dhcp now.

    ResponderExcluir
  13. Server 2003 Enterprise para 2008 Standard o processo é o mesmo? Funciona corretamente?

    ResponderExcluir
  14. Este comentário foi removido pelo autor.

    ResponderExcluir
  15. Boa tarde, ótimo post, pena que não existia quando eu fiz a migração...

    Gostaria de tirar uma duvida, fiz a mesma migração a um ano atras e ocorreu tudo certo, porém, esta semana quando vou criar uma conta ou ingressar uma maquina no dominio, gera o seguinte erro:
    "O Windows não pode criar o objeto XX porque:
    O serviço de diretório não pôde alocar um identificador relativo."
    Vasculhando no AD, vi que ele ainda está fazendo replicações do DC que não existe mais, e em alguns locais o meu DC atual aparece como indisponivel.
    Existe algum procedimento que eu possa fazer? O estranho é que após a migração funcionou tudo normalmente, só agora que apareceu estes problemas.
    Agradeço desde já!

    ResponderExcluir
  16. Amigo bom dia, estou com um problema ... fiz tudo certinho.. porém quando eu mando o DCPROMO no 2008 achar o DNS, da um erro, diz que não esta instalado no servidor, coisa desse tipo. ai fica sinza a opção do dns na hora da sincronização! já fiz de tudo e não consigo resolver, pelo amor de Deus me ajude.... estou precisando muito.. meu servidor esta quase morrendo......

    ResponderExcluir
  17. Ola Willians,

    Me da um help por favor.

    Tenho 3 DCs no meu ambiente sendo todos Win 2008 Core Edition dentro e 1 domínio.

    Acontece que a empresa foi comprada e precisará mudar o dominio de por exemplo local.com para international.com.br
    e é aí que entra o problema.

    O ambiente é pequeno com apenas uns 20 usuários então estou pensando em subir um AD/domínio novo e aos invés de
    migrar os usuários, adicionar na mão. Essa seria a melhor alternativa?

    Senão, como posso migrar o AD/DNS do meu contralador de domínio antigo para o contralador de domínio novo?

    Outra coisa, temos um file server win 2003 mas precisaremos subir um novo com win 2008 r2. Estou na dúvida de como
    migrar todas as permissões e compartilhamentos do FS antigo para o novo. Como eu faria isso?

    Depois de eu fazer essa migração do FS, essas permissões e compartilhamentos no novo servidor vão se relacionar
    corretamente com o novo domínio?

    Espero que possa me ajudar.

    Obrigado

    ResponderExcluir
  18. Bom dia,

    Quando eu tiro o 2003 do ar, o 2008 perde o domínio e quando vai abrir as políticas de grupo diz que o nome da rede não foi encontrado. Estou na parte antes de rebaixar o 2003.
    hudsonmagnago@gmail.com

    Att,

    Hudson

    ResponderExcluir
  19. Alguem ja viu esse eroo:
    The operation failed because: A domain controller could not be contacted for the domain madre.com.br that contained an account for this computer. Make the computer a member of a workgroup then rejoin the domain before retrying the promotion. The specified domain either does not exist or could not be contacted.

    ResponderExcluir
  20. Boa tarde gostaria de saber se alguem ja viu esse erro ao rebaixar o win 2003:

    The operation failed because: A domain controller could not be contacted for the domain madre.com.br that contained an account for this computer. Make the computer a member of a workgroup then rejoin the domain before retrying the promotion. The specified domain either does not exist or could not be contacted.

    ResponderExcluir
    Respostas
    1. Segui esse tutorial (que esta excelente), mas tenho a msm msg, voce conseguiu resolver? Pelo que li, é pq a pasta sysvol no W2008 nao esta compartilhada, realmente no meu nao esta, mas pelo lido, nao é recomendado compartilhar "na mao via windows explorer".

      Excluir
  21. Muito bom!

    Deu tudo certo. Obrigado mesmo
    Me quebrou uma árvore!

    ResponderExcluir
  22. Boa noite.! caso o meu dominio win 2003 ser ex.: windows@2003.server e criar um dominio no win 2008 com o mesmo dominio não irá ficar em LOOP as estações?

    ResponderExcluir
  23. Bom dia, Willians Oliveira!
    Excelente post cara!

    Aqui na empresa em que trabalho, tive que fazer uma migração do Server 2003 Enterprise para o W2K8. Fiz todos os passos conforme seu tutorial e tudo funcionou como deveria. Porem, na hora de despromover o AD do W2k3, estava apresentando a mensagem que não conseguia se conectar com um servidor domínio, dai acabava abortando a operação. Dando uma olhada nos Logs, vi que teve um erro de NTfrs e buscando no google, consegui resolver com a dica encontrada no site .
    Após estes passos, o rebaixamento ocorreu normalmente.

    ResponderExcluir
  24. Segue o site: https://douglasfilipe.com.br/tag/dominio/

    ResponderExcluir