Active Directory - Sequestrando Funções FSMO's (Seize) + Metadata Cleanup

Falai Galera!!!

Hoje vou demonstrar como realizar o processo de Seize do Active Directory que na verdade se resume em sequestrar as funções mestres (FSMOs) do Principal Domain Controller de sua rede.

Mas em que momento precisarei executar um Seize??? 

Vou exemplificar com o cenário abaixo, onde temos um domínio e dois Domain Controllers, sendo o SRV-DC-01 o Principal atual detentor das FSMOs e o SRV-DC-02 o Adicional, que tem a função de parceiro de replicação dos objetos do AD.

Cenário ANTES do Seize (DC1 OFF-LINE)

Agora imagine que por algum motivo, o Domain Controller Principal pare de funcionar de tal maneira que fique totalmente OFF-LINE não sendo possível restaurar o mesmo. Como você faria para transferir as FSMOs que estão hospedadas nesse Domain Controller para o seu Domain Controller Adicional? 

Pois bem, e ai que entra o Seize! A partir de um Domain Controller Adicional, vamos "sequestrar" as FSMOs afim de torna-lo Domain Controller Principal detentor das FSMOs.

Antes de entrar no detalhe das etapas de execução do Seize, vou dar uma visão geral sobre as FSMOs

Basicamente na estrutura de Active Directory temos 5 FSMOs se dividem em dois grupos:

FSMO's DE FLORESTA


Schema Master

É o centro do Active Directory, nele está definido objetos e atributos que podem existir no active directory. Por exemplo, é nele que está definido que o objeto tipo “Computador” , tem atributos como “descrição”, “tipo”, entre outros. O Schema tem que ser único em toda a floresta, evitando assim conflitos entre controladores de domínio. Existe um snap-in, Active Directory Schema, disponibilizado pela Microsoft para manipulá-lo.

Domain Naming Master

Responsável em controlar os nomes dos domínios na floresta, ou seja, não permitir que possa existir dos domínios na floresta com nomes iguais. Ao criar-mos um domínio filho, o controlador de domínio que possui a regra domain Naming Máster é consultado para checar se este nome não irá gerar algum conflito com outro já existente.

FSMO's DE DOMÍNIO

PDC Emulator

Está regra faz referência à estrutura existente na plataforma NT, onde ao invés de termos Controladores de Domínio – DC, tínhamos PDC – controlador de domínio Primário e BDC – Controlador de domínio Secundário, onde apenas nos PDC, poderiam ser realizadas alterações. O BDC existia como uma forma de redundância, na estrutura. Pois bem, é necessário portanto numa ambiente 2000/2003, onde ainda existam servidores utilizando NT 4.0, que seja emulada a função, para esses servidores, de um PDC na rede. Além disso, está regra é importante por ser responsável por controlar bloqueios de contas, sincronismo do relógio do domínio e relação de confiança com outros domínios.

RID Master

Cada objeto (usuários, grupos, contas de computador), tem que possuir um identificador único, chamado de SID, então o RID Máster tem a função de controlar a distribuição de SID, para os Controladores de Domínios, que os utilizarão ao serem criados os objetos.

Infrastructure Master

Imagine um usuário que é membro de vários grupos, ao alterarmos o atributo referente ao Nome deste usuário, isto refletira em todos os grupos aos quais ele pertence, e adivinhem que é o responsável por está tarefa, isso mesmo o Infrastructure Master . E a tarefa se torna mais importante ainda quando temos um ambiente de múltiplos domínios.

Problemas Relacionados as regras FSMOs

Os efeitos de falhas na operação das regras FSMOs, podem gerar problemas em diversas atividades dentro da infra-estrutura de rede. Veja algumas ocorrências que podem ter sua causa originada de falhas na operação das regras FSMO:

MUITO IMPORTANTE!!! Só execute um Seize, somente se tiver certeza que o Domain Controller Principal não ficará operacional novamente. Uma vez que o mesmo se torna operacional e estiver na rede, você terá sérios problemas com seu ambiente.

Bem...vamos as etapas!!!!

1) Conecte no seu Domain Controller Adicional com credenciais de  administrador > abra um prompt de comando e digite o comando netdom query fsmo. Esse comando irá retornar  o nome do servidor onde atualmente estão hospedadas suas FSMO's.

Como podemos observar na imagem acima, as 5 FSMO's ainda estão hospedadas no SRV-DC-01. Com isso vamos ao segundo passo.

2) Ainda a partir do DC Adicional, abra um prompt e digite os comandos abaixo:

ntdsutil
roles
connections
connect to server fqdn do servidor que receberá as FSMOs
q
seize schema master (Comando leva em torno de 25 segundos)

Após o comando Seize schema master, você deverá confirmar a operação clicando em Yes

3) Agora vamos executar o comando Seize para as demais FSMOs, digite seize naming master (Comando leva em torno de 60 segundos)

Clique em Yes para confirmar o Seize

4) Digite seize PDC (Comando leva em torno de 50 segundos)

Clique em Yes para confirmar o Seize

5) Digite seize RID master  (Comando leva em torno de 60 segundos)

Clique em Yes para confirmar o Seize

6) Digite seize infrastructure master (Comando leva em torno de 45 segundos)

Clique em Yes para confirmar o Seize

7) Digite q e pressione enter (2 vezes). Após isso as FSMOs já estarão no SRV-DC-02

8) Para verificar se as FSMOs realmente estão hospedadas no SRV-DC-02, vamos rodar o comando

netdom query fsmo.

Como podemos observar na imagem acima, todas as FSMOs agora estão em nosso SRV-DC-02, sendo assim concluímos as etapas referentes ao Seize. 

Porém, existe mais uma série de procedimentos que consiste em limpar "sujeiras" referentes ao antigo Controlador de domínio (SRV-DC-01). Esse procedimento é chamado de Metadata Cleanup.

1) Conecte no Domain Controller, abra um prompt e entre com os comandos:

ntdsutil 

metadata cleanup 

connections

connect to server fqdn do Domain Controller atual

q

select operation target

2) Digite list domain em seguida select domain 0. (Onde o 0 é referente ao domínio listado no comando       list domain)

3) Digite list sites em seguida select site 0. (Onde o 0 é referente ao site listado no comando list sites)

4) Digite list servers in site para listar todos Domain Controllers no site selecionado. Em seguida devemos selecionar o DC que queremos remover (em nosso caso o SRV-DC-01) a partir do comando 

select server 0

5) Digite q e pressione enter em seguida digite remove selected server

6) Após o comando remove selected server, você deverá que realmente quer remover o servidor selecionado, clique em Yes

7) digite q e pressione enter (2 vezes)

8) Após rodar todos os comandos do metadata cleanup, agora devemos apagar o objeto servidor do Active Directory Site and Services. Note que o servidor SRV-DC-01, após os comandos do metadata cleanup estará com a coluna Domain vazia.

9) Clique sobre o objeto SRV-DC-01 e exclua o mesmo.

10) Console do Active Directory Site and Services depois do objeto SRV-DC-01 deletado.

Novamente vou ressaltar a importância de executar todo processo de Seize somente se tiver certeza que o Domain Controller Principal não ficará operacional novamente. Uma vez que o mesmo se torna operacional e estiver na rede, você terá sérios problemas com seu ambiente.

Se o hardware onde estava o Domain Controller Principal ficar ativo novamente. Você deverá mante-lo fora da rede (tirar o cabo de rede do mesmo) e formatar esse server para poder reutiliza-lo.


Abraços!!!!

Office 365 - Atualizar certificado SSL no ADFS e Exchange Online

Boa noite galera!

A grande maioria das empresas que já utilizam o Office 365 (Exchange Online) se beneficiam do recurso de federação para utilizar o Single Sign-on e agilizar a autenticação dos cliente Office 365 com as credencias utilizadas em seu Active Directory. Como alguns já sabem, para esse cenário é necessário um certificado SSL publico para realizar essa comunicação e consecutivamente esse mesmo tem um prazo de validade ( geralmente 1 ano, isso é escolhido no ato da compra, ou renovação do certificado). 

Portanto abaixo, vou mostrar os passos para atualizar esse certificado uma vez que o mesmo está próximo do seu vencimento ou até mesmo vencido!

Trocando o certificado expirado pelo novo no IIS 7.0

Com o novo certificado em mãos renovado, abra a console do IIS7.0 e vá até Certificates 

Vamos importar o certificado no IIS, clique em import > escolha o local do onde o certificado está salvo, digite a senha para concluir a importação. (A senha é exigida no caso de certificados exportados para arquivos *.pfx)

Depois que o certificado já estiver importado no IIS, selecione o Default Website, Clique em Bindings, Selecione tipo https (443) e clique em Edit...

Aqui devemos alterar o certificado vencido pelo novo certificado. Para ter certeza do certificado selecionado, clique em View...ele mostrará da data de vencimento bem como a Autoridade Certificadora que emitiu o mesmo.

Trocando o certificado expirado pelo novo no AD FS

Agora vamos trocar o certificado atual expirado pelo novo revogado. Abra a console de gerenciamento do seu ADFS 2.0, Expanda Service > clique com o botão direito Certificates e selecione Set Service Communications Certificate...

Escolha o novo certificado revogado (em nosso caso vencimento em 2014 da AlphaSSL)

Atualizando informações do ADFS para Office 365

Através do módulo Power Shell do Microsoft Online Services, digite os comandos abaixo:

$LiveCred = Get-Credential 

(Após isso é necessário inserir credenciais de administrator do onmicrosoft) 

$Session = New-PSSession -ConfigurationName Microsoft.Exchange -ConnectionUri https://ps.outlook.com/powershell/ -Credential $LiveCred -Authentication Basic -AllowRedirection

Import-PSSession $Session

Connect-MsolService 

(Aqui novamente será necessário inserir credenciais de administrator do onmicrosoft) 

Update-MsolFederatedDomain -DomainName seudominio.com.br

(Esse comando irá atualizar as informações do novo certificado no Office 365) 

Após a confirmação de atualização destacado em verde na imagem acima, o processo de atualização do novo certificado está concluída e você já pode testar a sua federação.

Abraços!!!

Troubleshooting TMG 2010 - Console de Administração não conecta ao respositório de configuração

Hoje me deparei com uma situação no TMG onde ao tentar abrir a console de gerenciamento do ForeFront TMG (conectado diretamente no server via Remote Desktop), recebia a mensagem abaixo:

ForeFront TMG Management was unable to connect to configuration storage server. The server is not operational

Bem...essa foi a maneira que encontrei para resolver esse problema. Entre no serviços do Windows e procure pelo serviço ISASTGCTRL. Perceba que o mesmo não está parado e atualmente como conta de Serviço de Rede (Network Service). Abra as propriedades desse serviço.

Clique na aba Log On e mude o serviço para Local System account

Após a alteração, inicie o serviço 

Abra a console do TMG, e agora já é possivel conectar na storage de configuração

abraços!

Windows Azure - Publicando serviços de sua VM na internet com Endpoint

Nesse post vou mostrar como podemos utilizar o recurso de Endpoint do Windows Azure para publicar serviços que rodam em um  porta especifica dentro de uma VM (Ex. Sites HTTP, HTTPS, FTP, etc...)

Basicamente o Endpoint trabalha como um Port Forwading. Com isso, é possível que usuários externos (da Internet) consigam acessar recursos que estão rodando dentro de uma VM no Windows Azure.
A imagem abaixo, exemplifica esse esquema.

Em nosso exemplo, vamos publicar um site IIS hospedado em uma VM dentro do Azure na porta 80.

1) A partir do portal do Azure, clique em cima da VM.

2) Clique na guia ENDPOINT. 
Por padrão, já vamos ter um Endpoint criado para a conexão remota RDP (3389) com a nossa VM.
Vamos criar um novo clicando em + ADD ENDPOINT

3) Como vamos publicar somente um servidor, vamos utilizar a opção ADD POINT.

A opção LOAD-BALANCE TRAFFIC ON AN EXISTING ENDPOINT, é utilizada quando vamos publicar serviços baseados em balanceamento de carga. Nos próximos posts vou demonstrar como publicar ambientes nesse cenário de NLB.

4) No campo NAME devemos preencher com o nome de nosso Endpoint

PROTOCOL: Devemos escolher entre os protocolos TCP ou UDP

PUBLIC PORT: Porta pela qual a aplicação será acessada por requisições a partir da internet.

PRIVATE PORT: Porta interna utilizada pelo serviço na VM

5) Nosso Endpoint na porta TCP 80 criado.

6) Na guia DASHBOARD, é possível ver o nome de DNS Público, portanto  vamos utilizar esse nome para testar nossa endpoint.

7) Ao abrir o nosso navegador e digitar o endereço de nosso DNS, perceba que já é possivel acessar o nosso site hospedado no IIS de nossa VM no Azure na porta 80 graças ao Endpoint criado

Vale a pena lembrar que quando utilizamos qualquer browser para acessar uma URL, o acesso ocorre por padrão na porta 80. Por isso não é necessário informar a porta após o endereço de DNS.

Abraços!!!

Windows Azure - Anexando discos na Maquina Virtual

Hoje vou demonstrar o processo de anexar discos na Maquina Virtual do Windows Azure.

Antes de começar, é importante saber que para cada tamanho de instância contratada para VM, temos um numero limite de discos extras que podemos anexar como podemos observar na image abaixo:

Bem...vamos colocar a mão na massa!!!

1) No portal do Azure clique sobre a Maquina Virtual e escolha o botão Attach > Attach empty disk

2) Aqui temos o nome da VM que estamos anexando um novo disco. No campo Storage Location, temos o nome da storage que irá armazenar esse disco.

O campo File Name, trata-se do nome do nosso disco. Em nosso exemplo vamos mudar o nome para SRV-IIS-01-DISCO-2.

No campo Size, vamos entrar com o valor do disco que queremos criar, em nosso caso 20Gb

As opções de Host Cache Preference, são opções novas disponibilizadas pelo Azure para melhorar o desempenho em alguns casos. vamos deixar o padrão e clicar em OK.

3) Perceba que o status da VM esta como Updating, aguarde esse processo terminar.

4) Assim que o disco for anexando, o status da VM volta a ser Running

Já anexamos o novo disco a nossa VM, mas agora temos que inicializar o mesmo dentro de nosso Sistema Operacional, para isso conecte em sua VM e abra o gerenciador de discos do Windows.

5) Confira as opções de inicialização do disco, e clique em OK

6) Clique com o botão direito sobre o disco não alocado e depois em New Simple Volume...

Clique em next

Next

Selecione uma letra para a unidade

Next

Finish

Nova partição pronta para uso 20Gb

abraços!!!