Back to basics. C’est la saison des projets d’upgrade des infrastructures basées sur Windows 2003. l’OS a presque dix ans. Dans le cadre d’un projet de mise à niveau des infrastructure d’annuaire, nous aurons donc des contrôleurs de domaine Windows 2003 qui devront coexister avec des contrôleurs de domaine Windows Server 2012 R2. Selon le technet, cela ne devrait pas poser de problème.

Pourtant, l’équipe en charge du support Active Directory avait publié ce billet en Juillet 2014 : It turns out that weird things can happen when you mix Windows Server 2003 and Windows Server 2012 R2 domain controllers. La coexistence entre les deux générations de contrôleurs de domaine posait problème au niveau de Kerberos. D’un coté Windows Server 2012 R2 ne supporte plus DES (par défaut) et Windows Server 2003 ignore les nouveaux algorithmes proposés par Windows Server 2012 R2. Bref, on avait une certaine cacophonie au niveau de Kerberos qui pouvait conduire à l’impossibilité de changer le mot de passe des systèmes raccordés au domaine. Pour adresser cette problématique, Microsoft proposait une méthode de contournement (en attendant de finaliser le démantèlement des contrôleurs de domaines Windows 2003).

Depuis fin Aout, la méthode de contournement proposé par Microsoft n’est plus d’actualité puisqu’un correctifs est enfin disponible : KB2989971 – Can’t log on after changing machine account password in mixed Windows Server 2012 R2 and Windows Server 2003 environment. A installer sur tous vos contrôleurs de domaine Windows Server 2012 R2.

benoîtS – Simple and Secure by Design but Business compliant

Comme déjà abordé dans ce précédent billet, la migration vers Orchestrator 2012 R2 peut réserver quelques surprises. Il en va de même pour la migration de la base de données qui y est associée. L’équipe produit vient de publier un billet concernant un problème de migration. La KB qui y est associée KB2920037 recommande de supprimer une clé de registre pour corriger le problème de licence rencontré.

Avant de se lancer dans cette migration (et se tirer une balle dans le pied), encore faut-il avoir pensé à exporté la SQL Server service master key avec la ligne de commande suivante :

Sqlcmd –Q”BACKUP SERVICE MASTER KEY TO FILE =’C:\BACKUP\MASTER_KEY.BAK’ ENCRYPTION BY PASSWORD = ‘password’” 

Il est vivement recommandé de sauvegarder cette clé avant de se lancer dans le processus de migration de la base de données. Sans elle, les données chiffrées qu’elle contient sont elles aussi perdues. Je pense par exemple aux mots de passe que l’on stocke dans les variables Orchestrator.

Si la sauvegarde de cette clé n’est pas encore faite, c’est le moment.

BenoîtS – Simple and Secure by Design but business compliant.

Les migration Active Directory se suivent et se ressemblent à quelques exceptions près. Chaque nouvelle version de système d’exploitation Microsoft vient apporter son lot de nouvelles fonctionnalités que les clients pourront mettre en œuvre à loisir. C’est lors d’une ces ces migrations que j’ai eu l’occasion de travailler sur la migration de namespaces DFS-N et groupes de réplication DFS-R, le tout hébergé sur plateforme Windows Server 2008 R2.

Quelques points à connaitre

Une racine DFS-N de domaine est basées sur le nom du domaine. Lors de la migration, la racine DFS recréée portera donc un nouveau nom. A priori, cela ne semble pas poser de problème, sauf quand il existe des liaisons. C’est par exemple le cas entre des classeurs Excel. C’est le chemin UNC qui est référencé, pas le lecteur réseau. Il existe bien des outils sur le marché pour traiter ces problème, mais cela implique que l’utilisateur n’ait pas verrouillé son fichier avec un mot de passe.

La configuration d’une racine de domaine DFS-N est stockée dans partition de domaine de l’Active Directory. Lorsque le serveur migrera vers le domaine “cible”, les informations relatives à la racine ne migreront pas, voir : About the DFS Namespaces service and its configuration data on a computer that is running Windows Server 2003 or Windows Server 2008 pour savoir comment effacer les informations proprement.

La configuration d’un groupe de réplication DFS-R est nécessairement stocké dans l’annuaire Active Directory. Ici encore, la configuration ne suivra pas lors de la migration vers le domaine ”cible”. Si la configuration ne suit pas, c’est qu’il faudra reconstruire le groupe de réplication DFS-R. On peut reconstruire à partir de zéro avec un processus de réplication initial standard mais on peut aussi utiliser le Pre-seeding pour accélérer le processus. La procédure est un peu particulière mais bien documentée : http://blogs.technet.com/b/askds/archive/2010/09/07/replacing-dfsr-member-hardware-or-os-part-2-pre-seeding.aspx. Veuillez à respecter scrupuleusement la procédure, sinon, on perd l’avantage du pre-seeding.

Il n’est pas possible de désinstaller les sous-rôles DFS-N et DFS-R si le rôle ADDS est aussi installé. Conclusion, si le serveur est aussi contrôleur de domaine, une rétrogradation en simple serveur membre et une désinstallation du rôle sont nécessaires avant de commencer.

Lorsque deux membres d’un groupe de réplication DFS-R sont connectés à un réseau local et que les fichiers à répliquer sont de petites tailles, désactiver le protocole RDC, c’est bien plus efficace.

Avant de commencer

Cela peut paraitre bête à dire mais si on ne supervise pas DFS-R, on ne sait pas si tous les serveurs membres du groupe de réplication DFS-R sont synchronisés. Pour cela quelques outils :

• “DFSRDIAG.EXE Replication state” : Permet de déterminer si des réplications sont en cours
• “DFSRDIAG.EXE BACKLOG” : Pour suivre précisément ce qui est en cours et en attente de réplication entre deux membres d’un même groupe de réplication DFS-R
• Le Health Report proposés par la console DFS Management

Dès lors qu’on est assuré de la bonne synchronisation de tous les membres d’un groupe de réplication DFS-R on peut s’attaquer à la migration. Chaque serveur devra être migré individuellement. L’objectif est de désactiver progressivement les target DFS-N correspondants pour que les clients ne puissent plus utiliser qu’un seul target DFS-N, c’est ce serveur qui sera migré en dernier et utilisé comme maitre pour la réplication initiale ainsi que le pre-seeding.

Lors d’une migration inter-forêt, il est nécessaire de remplacer les références aux objets de sécurité du domaine “source” par celles équivalentes dans le domaine “cible”. Cette opération nommée Reacling va avoir un impact sur le processus de réplication DFS-R dans la mesure ou les ACL de tous les fichiers vont être modifiées. Ces modifications devant être répliquées vers les autres membres du groupe de réplication DFS-R, elles peuvent saturer le staging folder. Il conviendra donc de prévoir une taille suffisante pour celui-ci. Si possible se reposer sur le SID-History, à moins d’être contraint de le faire, on économise ainsi une phase de reacling. L’erreur serait de réaliser une opération de reacling alors que le groupe de réplication DFS-R vient de finir sa synchronisation initiale.

Réalisation de l’opération

• Supprimer les objets connexions DFS-R pour les serveurs à migrer
• Supprimer les “membership” DFS-R pour les serveurs à migrer
• Supprimer les “replicated Folder” avant de supprimer les “Replication Group”
• Si le serveur est “Root Namespace server” pour une racine DFS-N, penser à le supprimer avant la migration, sinon, il ne pourra plus le redevenir une fois migré
• Désinstaller DFS-R et DFS-N des serveurs à migrer
• Supprimer les données contenues dans le “staging folder” des groupes de réplication DFS-R, elles ne serviront plus.
• Migrer les serveurs vers le nouveau domaine
• Réinstaller les sous-rôles DFS-N et DFS-R
• S’assurer que les correctifs relatifs à DFS-N et DFS-R sont bien installés sur les serveurs migrés : KB968429
• Si on pense effectuer le pre-seeding des futurs membres DFS-R avec ROBOCOPY.EXE, alors s’assurer qu’on dispose bien de la dernière version : KB979808
• Recréer la racine DFS-N
• N’activer qu’un seul “target DFS” le temps que le groupe de réplication DFS-R ne réalise sa synchronisation initiale
• Recréer le groupe de réplication DFS-R
• Bien penser à configurer des tailles de “staging folder” suffisantes, sinon, la réplication initiale ne pourra être réaliser
• Sur les serveurs membres du groupe de réplication DFS-R qui n’ont pas été désignés comme primaire, on droit trouver trace de l’évènement ci-dessous indiquant le début de la synchronisation initiale :

Puis, si le processus de preseeding s’est bien déroulé, on doit trouver trace de l’évènement ci-dessous indiquant la fin de la phase de synchronisation initiale.

• Réactiver les “Target DFS” pointant sur les membres de groupes de réplication DFS-R qui ont été identifiés comme synchronisés.

Bonne fêtes.

BenoîtS – Simple and Secure by design but Business compliant

J’avais déjà évoqué les première problématiques autour d’ADMT 3.2 dans un précédent billet. Cette première série concernait principalement des problèmes d’installation du produit. Cela n’empêche pas qu’il puisse y avoir des boques lorsqu’on utilise le produit.

Lorsqu’on utilise le “Computer Migration Wizard” avec une liste d’ordinateurs, l’assistant ne permet pas de poursuivre. C’est un blogue de l’interface d’ADMT 3.2. La problématique est décrite dans la KB2327195 qui heureusement propose un contournement. Celui-ci consistant à réaliser l’opération en ligne de commande :

ADMT computer /F:<include file> /IF:YES /SD:"<source_domain>” /TD:"<target_domain>" /TO:"<target_OU>"

Bonnes migrations malgré ce petit problème.

BenoîtS – Simple and Secure by Design  but Business compliant.

Il aura mis le temps à sortir de sa phase beta mais il est enfin disponible à cette adresse. Pour ceux qui ont réalisé des migrations avec ADMT 3.1, il ont certainement du faire face à la KB976659 ou même à la KB974625 (juste pour le fun!).

A noter qu’il n’y a pas de nouvelle version concernant l’agent Password Export Server.

Attention cependant à deux subtilités :

– Pas de prise en charge de Windows 2000 comme domaine source, ce qui peut rendre la trajectoire de migration nettement plus complexe.

– ADMT 3.2 n’est disponible que pour les plateformes X64

Benoîts – Simple and Secure by Design (J’insiste sur le Secure)

Ce type de migration est loin d’être aussi simple qu’il n’y parait. Il faut distinguer la migration du rôle ainsi que les usages qui en sont fait.

Pour la migration du rôle ADCS (et versions précédentes), l’équipe PKI chez Microsoft vient de mettre à disposition un guide de migration de ADCS. A noter que l’équipe met à disposition un script VBScript destiné à automatiser l’installation du rôle ADCS.

Maintenant, reprenons le cours de notre série Smart Card.

Benoîts – Simple and Secure by Design (J’insiste sur le Secure)

Après le marathon DirectAccess (qui aura une suite dès que j’ai un peu plus de temps), j’avais besoin d’un peu de temps pour le prochain billet, un peu moins technique, plus axé sur les challenges des futurs projets de migration.

Multiplicité des sources de migration

C’est un fait, les infrastructure AD/Exchange mises en œuvre depuis Windows 2000 n’ont pas permit de réduire le nombre de domaines et donc de serveurs. On a souvent migré à l’identique, en conservant le nombre de domaine. Pour quelles raisons?

• Techniques : En France, la principale limitation a été le coût du WAN. Maintenant, ce facteur et beaucoup moins important avec la généralisation des technologies DSL et le déploiement de la fibre optique.

• Conformisme : C’est tellement plus simple de refaire ce qu’on a déjà fait dans le passé.

De ce fait, lorsqu’on migre ces infrastructures, on a plusieurs “sources” de migration. Qui dit plusieurs sources dit conflits de noms lors de la migration. Pour adresser cette problématique, on a deux possibilités  :

• Traiter la problématique à la source : C’est la méthode la plus simple. On renomme les objets dans le domaine “source” de la migration. Par contre, renommer un compte utilisateur a un certain nombre d’impacts. Il faut donc pouvoir anticiper cette phase au plus tôt.

• Traiter la problématique à la cible : Renommer sur le domaine “cible” demande autant de travail mais on peut communiquer aux utilisateurs au plus tôt, ce qui permet de minimiser l’impact.

Un conflit peut aussi donner lieu à la fusion des objets (contacts en double, groupes en double). Cela ne pose pas de problème particulier sauf que plus on multiplie les sources, plus nos utilisateurs migrés seront membres de groupes (via le Sid-History). Cas concret, la fusion de sept domaines en un seul, l’utilisateur migré est membre au minimum du groupe “Utilisa. Du domaine” mais aussi des mêmes groupes issus des groupes des domaines sources (cas de migration vers Windows 2000). Que va t’il se passer si nos utilisateurs sont membres de trop de groupes? Y a t’il une limité? Et bien oui, 1015 KB328889, et cela a un impact sur les GPO : KB263693. L’impact sur les utilisateurs sera multiple.

Limitations autour du Sid-History

Le fait qu’un utilisateur migré puisse accéder à ses données dans l’environnement “source” repose uniquement sur le “Sid-History”. Encore faut-il que les applications soient capables de l’utiliser. Un exemple chez Microsoft? SharePoint :

• KB896593
• KB896161

Mais sans aller aussi loin, il y a une limitation propre à Windows. Si on regarde ADMT, il n’est pas capable de migrer l’appartenance aux groupes “Built-in”. Or, il arrive souvent qu’on ait utilisé des groupes tels que ‘”Utilisa. du domaine”. Et là, ADMT bloque. Pas de problème me direz-vous, la solution de migration de Quest elle y arrive. Vrai, sauf si la source est Windows Server 2003. La raison est toute simple : The security IDs for built-in domain groups are filtered in Windows Server 2003. Pour adresser cette problématique, il n’y a que deux solutions :

• Corriger les permissions positionnées sur les ressources à la source et les remplacer par de nouveaux groupes (Démarche ADMT)

• Migrer ces groupes sous un autre nom dans le domaine “cible”

Les serveurs d’impression

Migrer un serveur d’impression, c’est facile, super facile avec Windows Server 2008. Il y a un assistant qui fait cela très bien. Pour que la migration fonctionne, encore faut-il disposer du pilote d’imprimante équivalent sous Windows Server 2008 qui ne fonctionne pas en mode noyau (car impossible sous Windows Server 2008 64bits). En plus, l’outil de migration est bien capable de migrer mais depuis Windows Server 2003, pas Windows 2000. Pour ce dernier, il faut passer par un serveur pivot Windows Server 2003 et le bon vieux Print Migrator. Dispose t’on des pilotes pour les imprimantes pour Windows 2008? Bonne question. Il y a un risque pour que non ou que le pilote ne reprenne pas toutes les fonctionnalités du pilote initial.

GPO installation d’applications

Lorsqu’on utilise les stratégies de groupe pour installer des applications, la migration peut poser problème. Lorsque le poste va migrer, l’application va automatiquement être réinstallée si on migre aussi la stratégie de groupe. Comment éviter la réinstallation sur les postes migrés et continuer à déployer l’application sur les nouveaux postes? Pour cela, pas d’autre solution que d’identifier la population des postes migrés par un groupe que l’on va utiliser sur la stratégie de groupe pour en filtrer l’application (en refus).

DFS

C’est là le pire. Certains clients ont découvert DFS avec Windows 2000 (pas brillant sur la réplication) et surtout avec Windows Server 2003 (bien mieux avec DFS-R). Migrer une racine DFS est impossible, il faut la recréer. On a deux problèmes :

• Le changements de chemin UNC

• La réplication

En recréant une racine de domaine dans le domaine “cible”, c’est un nouveau chemin UNC. Que va t’il se passer pour les documents Office qui font référence à d’autres documents? La réponse est simple, la référence ne fonctionne plus car elle est exprimée avec le chemin UNC de la racine DFS. Donc l’utilisateur vient se plaindre que ses fichiers Excel avec multiples références ne fonctionnent plus. Il est a noter que la problématique est identique sans DFS, le simple fait de migrer les données de l’utilisateur sur un autre serveur de fichiers produit le même effet.

La réplication DFS. Un cauchemar sous Windows 2000, nettement mieux sous Windows Server 2003. Le problème, c’est qu’un groupe de réplication ne peut contenir des membres que de la même forêt. Dans le cadre d’une consolidation de forêts, il y a donc un problème. Mais alors comment migrer? Il n’y a pas de réponse “Microsoft” à cette problématique, sinon un exemple. Comment migrer la racine DFS SYSVOL de la réplication. Avec DFSRMIG, tel que je l’avais présenté dans le billet DFSRMIG & SYSVOL. Voila l’idée de base qu’il faut reproduire. Cette fois on ne migre pas quelques mégaoctets mais des giga-octets. L’erreur est ici interdite.

La virtualisation

C’est devenu un composant essentiel pour tous les projets de migration, que ce soit plus la plateforme de pré-production ou même la plateforme de migration. Cependant, la virtualisation pose aussi un certain nombre de problèmes. Premièrement, tous les logiciels ne sont pas entièrement supportés. Le cas Exchange est le plus connu, mais c’est aussi valable pour MOCS.

Conclusion

Les projets de migration seront d’autant plus compliqués qu’il y aura plusieurs domaines à consolider. L’aspect technique peut être traité. Cependant, il ne faut pas sous-estimer la communication aux utilisateurs et l’assistance à fournir en avance de phase de la migration. Plus les domaines “sources” seront rationnalisés, plus la migration s’en trouvera simplifiée.

BenoîtS – Simple and Secure by Design (J’insiste sur le Secure)

Dans un projet de migration Active Directory, il est nécessaire d’établir un lien entre le compte utilisateur du domaine “source” avec un compte utilisateur dans le domaine “cible” de migration.

Pour établir le lien entre les deux, on dispose de l’attribut “Sid-History. Lorsque l’utilisateur du domaine “cible” accède à une ressource dans le domaine “source” de la migration, celui-ci se présente sous son identité du domaine “source”. C’est de cette manière qu’on peut préserver l’accès aux ressources pendant la migration.

Maintenant si on associe un mauvais utilisateur dans le Sid-History, on pourrait croire qu’il suffit simplement de supprimer l”information à l’aide de la console ADSIEDIT.MSC. Depuis Windows 2003, la réponse sera invariablement :

Accès refusé, même si on utilise un compte administrateur. Pourtant, pour ceux qui comme moi ont réalisé des migration NT4 vers Windows 2000 se souviennent que cela ne posait pas de problème. Pourquoi?

La première raison, c’est que depuis Windows 2003, la manipulation de l’attribut Sid-History passe nécessairement par une nouvelle API : DsAddSidHistory. La seconde raison, c’est que la console d’administration ne réalise pas la bonne opération.

L’API : DsAddSidHistory a été introduite pour parer à une problématique d’élévation de privilèges lors de la migration. Prenons un utilisateur d’un domaine “cible” de migration” capable de modifier son propre attribut Sid-History (je l’avoue c’est assez rare). Il peut s’associer le SID d’un utilisateur dans le domaine “source” (tant que celui-ci n’est pas encore associé à un autre utilisateur du domaine “cible”). Donc, un simple utilisateur peut se faire passer pour un administrateur du domaine “source”.  Voila donc le pourquoi de l’API.

Maintenant, question comment corriger l’association d’un mauvais SID à un utilisateur. La console ne réalisant qu’une opération LDAP UPDATE et non LDAP DELETE, c’est donc vers le scripting qu’il faut se tourner. La réponse se trouve dans la KB295758 qui propose une solution en Vbscript qui réalise une opération “DELETE” :

vArray = oDirObject.GetEx(« sIDHistory »)

For Each vSid in vArray

oDirObject.PutEx ADS_PROPERTY_DELETE, « sIDHistory », array(vSid)

oDirObject.SetInfo

Next

Avec un peu de développement, il est possible de rechercher à quel utilisateur correspond le SID dans le domaine source. Encore faut-il être capable de manipuler les SID en VbScript, ce qui n’est pas une sinécure.

Benoîts – Simple and Secure by Design