Windows Server 2008 R2 als DC im 2003 Active Directory

[Gross, Michael]

Hi,

ich möchte in den nächsten Tagen einen von sechs Windows Server 2003
Domänencontrollern aus dem Active Directory (native 2003) entfernen
und durch einen neuen DC auf Basis von 2008 R2 ersetzen.

Laut des Dokuments " Upgrading Active Directory Domains to Windows
Server 2008 and Windows Server 2008 R2 AD DS Domains"


http://www.microsoft.com/downloads/details.aspx?FamilyID=fa629de2-f4dd-47ac-8d80-3db46b2877a2&DisplayLang=en

würde sich das in meinem Fall auf folgende Schritte beschränken:

* alten 2003 DC demoten, ggf. Metadaten entfernen
* neuen Memberserver mit 2008 R2 installieren
* Active Directory mit adprep vorbereiten
* 2008 R2 Memberserver zum DC hochstufen

Soweit, so gut. Hat das schon mal jemand gemacht und kann bestätigen,
dass das in der Regel reibungslos über die Bühne geht? Insbesondere
bei Hinweisen wie

"Resetting permissions on containers and objects throughout the
directory for improved security and interoperability"

infolge der Schemaerweiterung bin ich ein bisschen vorsichtig.

Im Active Directory (nur aus eine Domäne bestehend) existiert übriges
auch eine Exchange 2003 Installation. Laut Versionsmatrix von MS ist
das kein Problem - falls allerdings noch etwas zu beachten ist, würde
ich mich über entsprechende Hinweise freuen.

Hat ansonsten noch jemand einen funktionierenden Link zu KB-Artikel

"2002034 Deploying the 1st Windows Server 2008 R2 DC in an existing
forest my halt AD replication to strict mode destination DCs for up
to 12 hours"

Ich kann den nicht mehr aufrufen.

Danke
Michael

[Yusuf Dikmenoglu [MVP]]

Servus,

Post by Gross, Michael
Hat das schon mal jemand gemacht und kann bestätigen,
dass das in der Regel reibungslos über die Bühne geht?

so ist es. Wenn man weiß was man tut, dann funktioniert das
in der Regel. Die "Basis" sollte natürlich ordnungsgemäß und
fehlerfrei funktionieren.

[LDAP://Yusufs.Directory.Blog/ - Den ersten Windows Server 2008 R2 DC zur
Gesamtstruktur hinzufügen]
http://blog.dikmenoglu.de/Den+Ersten+Windows+Server+2008+R2+DC+Zur+Gesamtstruktur+Hinzuf%c3%bcgen.aspx


Gruß, Yusuf

========================================
##### Microsoft MVP - Directory Services #####
Blog: http://blog.dikmenoglu.de
MVP-Profil: https://mvp.support.microsoft.com/profile/Yusuf
Twitter: http://twitter.com/YusufsDSBlog
========================================

[Gross, Michael]

On Wed, 24 Feb 2010 17:06:23 +0100, "Yusuf Dikmenoglu [MVP]"

Post by Yusuf Dikmenoglu [MVP]
so ist es. Wenn man weiß was man tut, dann funktioniert das
in der Regel. Die "Basis" sollte natürlich ordnungsgemäß und
fehlerfrei funktionieren.

Danke für die Info. Ich bin gerade dabei, anhand Deiner Anleitung
einen Test in einer Testumgebung auszuprobieren. Sieht soweit gut
aus - bis jetzt (gerade ist das adprep durch) keine Probleme.

Auf dem Microsoft Exchange Team Blog hat allerdings jemand von
Problemen beim Erstellen von Mailboxen berichtet, nachdem er
einen 2008 R2 DC hinzugefügt und Domain/Forst Level ebenfalls
auf 2008 R2 hochgestuft hat: Das ganze ist hier beschrieben:


http://steve.heyvan.com/2010/01/03/exchange-2003-sp2-on-2008-r2-domain-not-so-fast/

Hast Du schon mal von so einem Problem gehört? Ich tippe und hoffe
mal auf einen Einzelfall.R2

Danke und Grüße

Michael

[Yusuf Dikmenoglu [MVP]]

Du weißt doch, in der IT gibt es keine Garantie.
Es kann immer und jederzeit zu Problemen kommen.

Zumindest ist ein Exchange 2003 in einem 2008 R2 AD supportet.

[Exchange Server Supportability Matrix: Exchange 2007 Help]
http://technet.microsoft.com/en-us/library/ee338574(EXCHG.80).aspx


Es /können/ theoretisch noch weitere Probleme auftreten.
Siehe dir dazu in dem folgenden Link ganz unten die
Linksammlung (Probleme die nach dem...) an. Das gilt auch
für 2008 R2:

[LDAP://Yusufs.Directory.Blog/ - Den ersten Windows Server 2008 DC zu einer
Windows 2000/2003/R2 Gesamtstruktur hinzufügen]
http://blog.dikmenoglu.de/PermaLink,guid,58a3c79f-f34e-4635-bc5f-0bfc67045b91.aspx

Aber das muss man dann sehen, wenn es soweit ist.
Wenn deine Tests in deiner Testumgebung funktionieren,
heißt es ja noch lange nicht das es in der produktiven Umgebung
ebenfalls reibungslos funktioniert. Ein gewisses, wenn auch geringes
Risiko bleibt immer und ist jederzeit gegeben.


Gruß, Yusuf

========================================
##### Microsoft MVP - Directory Services #####
Blog: http://blog.dikmenoglu.de
MVP-Profil: https://mvp.support.microsoft.com/profile/Yusuf
Twitter: http://twitter.com/YusufsDSBlog
========================================

[Gross, Michael]

On Wed, 24 Feb 2010 19:59:51 +0100, "Yusuf Dikmenoglu [MVP]"

Post by Yusuf Dikmenoglu [MVP]
Es /können/ theoretisch noch weitere Probleme auftreten.
Siehe dir dazu in dem folgenden Link ganz unten die
Linksammlung (Probleme die nach dem...) an. Das gilt auch

Danke, viele weitere hilfreiche Informationen finden sich übrigens
auch hier:


http://blogs.technet.com/glennl/archive/2009/08/21/w2k3-to-w2k8-active-directory-upgrade-considerations.aspx

Wobei sich von dem nichts konkret auf den Einsatz von 2008 bzw R2
mit Exchange 2003 bezieht und ich eigentlich auch nur da Probleme
sehe. Nur hier steht etwas dazu:

http://msexchangeteam.com/archive/2007/08/16/446709.aspx
http://msexchangeteam.com/archive/2008/03/05/448338.aspx
http://msexchangeteam.com/archive/2009/11/30/453327.aspx

Post by Yusuf Dikmenoglu [MVP]
Aber das muss man dann sehen, wenn es soweit ist.
Wenn deine Tests in deiner Testumgebung funktionieren,
heißt es ja noch lange nicht das es in der produktiven Umgebung
ebenfalls reibungslos funktioniert. Ein gewisses, wenn auch geringes
Risiko bleibt immer und ist jederzeit gegeben.

Das stimmt allerdings. Eigentlich führe ich die Schritte in der
Testumgebung auch nur durch, um es vor Durchführung in der
Produktivumgebung schon mal gemacht zu haben. Tatsächlich lässt
sich die Produktivumgebung natürlich nie oder nur in seltenen
Fällen 1:1 in eine Testumgebung übertragen (technisch wäre das
zwar theoretisch möglich, wirtschaftlich wohl aber nur in den
wengisten Fällen angebracht).

Im Vorfeld informieren schadet aber sicher nie :)

We'll see.

Danke, Michael

[Gross, Michael]

So, in meiner Testumgebung gab es zumindest noch keine Probleme mit
Exchange - das Anlegen von Mailboxen klappt weiterhin.

Hier gibt es übrigens zum Thema Schemaerweiterung noch einen ganz
interessanten Artikel mit Hinweisen zum Testen:


http://blogs.technet.com/deds/archive/2009/03/30/so-kann-beim-schema-upgrade-fuer-windows-2008-fast-nichts-schiefgehen.aspx

Was anderes: Kann es sein, dass man ein einmal aktualisiertes Schema
nicht wieder auf den alten Stand zurücksichern kann?

Ich habe das vorhin mal mit zwei Domänencontrollern (Server 2003)
getestet - auch bei einem authoritative restore der gesamten
Datenbank wird das alte Schema (30) sofort wieder mit dem neuen
(47) überschrieben.

Es bleibt nur auf 30, wenn der andere DC nicht erreichbar ist.

Im Dokument "Active Directory Backup and Restore" heißt es auch:

"Authoritative restores of schema-naming contexts are not
supported"
http://technet.microsoft.com/en-us/library/bb727048.aspx

Damit wäre eine exakte Rückkehr zur alten Umgebung mittels Backups
ja ziemlich aufwendig (z.B. in dem man alle DC zur selben Zeit
offline sichert und diese Sicherungen dann wieder in Betrieb nimmt,
unter Berücksichtigung von USN Rollback).

Oder gibt es hier noch einen anderen Weg?

[Yusuf Dikmenoglu [MVP]]

Post by Gross, Michael
Hier gibt es übrigens zum Thema Schemaerweiterung noch einen ganz

Der Link ist zwar schon "total verstaubt", aber hilfreich für
andere ist er sicherlich. ;-)

Post by Gross, Michael
Oder gibt es hier noch einen anderen Weg?

Ungefähr so wie du es erwähnt hast ist es. Das AD-Schema kann
nicht zurückgesichert werden, auch nicht autoritativ! Die einzige
Möglichkeit in den alten Domänenzustand zu kommen, ist ein
Forest-Recovery durchzuführen. Das will man in größeren
Umgebungen aber nicht freiwillig durchführen.

Für Windows 2000:

[Download details: Best Practices: Active Directory Forest Recovery]
http://www.microsoft.com/downloads/details.aspx?displaylang=en&familyid=3eda5a79-c99b-4df9-823c-933feba08cfe


Für Windows Server 2008:

[Download details: Planning Active Directory Forest Recovery]
http://www.microsoft.com/downloads/details.aspx?displaylang=en&FamilyID=326c8a7a-dcad-4333-9050-a6303ff3155c#tm


Gruß, Yusuf

========================================
##### Microsoft MVP - Directory Services #####
Blog: http://blog.dikmenoglu.de
MVP-Profil: https://mvp.support.microsoft.com/profile/Yusuf
Twitter: http://twitter.com/YusufsDSBlog
========================================

[Gross, Michael]

Post by Yusuf Dikmenoglu [MVP]
Der Link ist zwar schon "total verstaubt", aber hilfreich für
andere ist er sicherlich. ;-)

Wenn ich das richtig sehe, hat sich aber am Prinzip nicht viel
geändert und insbesondere den Tipp mit dem Deaktivieren der
Replikation finde ich ganz gut. So kann man erst mal relativ
gefahrlos testen, ob es bei der Schmaerweiterung zu Problemen
kommt, ohne die anderen DC ggf. damit zu verseuchen.

Treten Probleme auf, würde ich ein Image des DC zurücksichern
(mit unverändertem Schema) und vor dem Booten eine aktuelle
Sicherung vom Systemstate zurücksichern (um ein USN Rollback
zu vermeiden, weil der DC zwischen der Erstellung des Images
und Rücksicherung online war).

Das müsste eigentlich hinhauen.

Post by Yusuf Dikmenoglu [MVP]
Ungefähr so wie du es erwähnt hast ist es. Das AD-Schema kann
nicht zurückgesichert werden, auch nicht autoritativ! Die einzige
Möglichkeit in den alten Domänenzustand zu kommen, ist ein
Forest-Recovery durchzuführen. Das will man in größeren
Umgebungen aber nicht freiwillig durchführen.

Klingt auch nicht unbedingt erstrebenswert...

Mal sehen - morgen Abend ist es soweit!

Grüße, Michael

[Yusuf Dikmenoglu [MVP]]

Post by Gross, Michael
So kann man erst mal relativ
gefahrlos testen, ob es bei der Schmaerweiterung zu Problemen
kommt, ohne die anderen DC ggf. damit zu verseuchen.

Also wenn man im AD nicht /gepfuscht/ oder sonstige eigenwillige
Schemaänderungen durchgeführt hat, braucht man vor der
Schemaaktualisierung die mit ADPREP bei einer Domänenaktualisierung
durchgeführt wird, keine Bedenken zu haben.

[LDAP://Yusufs.Directory.Blog/ - Hinweise zu ADPREP]
http://blog.dikmenoglu.de/Hinweise+Zu+ADPREP.aspx

Post by Gross, Michael
Das müsste eigentlich hinhauen.

/Müsste/, ja. Du wirst es Live erleben. ;-)

Post by Gross, Michael
Klingt auch nicht unbedingt erstrebenswert...

Ne, keineswegs.

Post by Gross, Michael
Mal sehen - morgen Abend ist es soweit!

Dann viel Glück und du weißt wo du uns findest. :-)


Gruß, Yusuf

========================================
##### Microsoft MVP - Directory Services #####
Blog: http://blog.dikmenoglu.de
MVP-Profil: https://mvp.support.microsoft.com/profile/Yusuf
Twitter: http://twitter.com/YusufsDSBlog
========================================

[Gross, Michael]

Post by Yusuf Dikmenoglu [MVP]

Post by Gross, Michael
Das müsste eigentlich hinhauen.

/Müsste/, ja. Du wirst es Live erleben. ;-)

So - fertig. Glücklicherweise hat alles geklappt und es gab keine
Probleme. Auch das Erstellen von Mailboxen mit Exchange 2003
klappt weiterhin, wobei die Funktionsebene von Forest und Domäne
bei mir noch auf 2003 sind und Steve van Domelen (Link aus
meinem Originalposting) das Mailbox-Problem mit Funktionsebene
2008 R2 hatte (leider kann er nicht sagen, ob das Problem auch
mit 2003er Level aufgetreten ist, da er die Funktionsebenen
wohl sofort hochgestuft hat).

Zu dem Thema fällt mir noch eine Frage ein: Kann man einen alten
Funktionslevel eigentlich authorativ wiederherstellen?

Grüße

Michael

[Yusuf Dikmenoglu [MVP]]

Post by Gross, Michael
So - fertig. Glücklicherweise hat alles geklappt und es gab keine
Probleme.

So muss das sein.

Post by Gross, Michael
Zu dem Thema fällt mir noch eine Frage ein: Kann man einen alten
Funktionslevel eigentlich authorativ wiederherstellen?

Nur wenn du ein Forest-Recovery durchführst!
Erst mit Windows Server 2008 R2 kann man unter *bestimmten*
Voraussetzungen den Modus auf höchstens "Windows Server 2008"
zurückstufen.

[LDAP://Yusufs.Directory.Blog/ - Den Domänen- und Gesamtstrukturfunktionsmodus
zurückstufen]
http://blog.dikmenoglu.de/Den+Dom%c3%a4nen+Und+Gesamtstrukturfunktionsmodus+Zur%c3%bcckstufen.aspx


Gruß, Yusuf

========================================
##### Microsoft MVP - Directory Services #####
Blog: http://blog.dikmenoglu.de
MVP-Profil: https://mvp.support.microsoft.com/profile/Yusuf
Twitter: http://twitter.com/YusufsDSBlog
========================================