Substituindo um controlador de domínio W2K3 - o que preciso saber?

Question

Eu tenho uma rede de aproximadamente 70 máquinas, atualmente com dois DCs executando o Windows Server 2003 (DC0 e DC1). O DC0 é um Poweredge 1850 de cinco anos de idade e recentemente se tornou cada vez mais flácido, e na última quinzena caiu duas vezes.

Eu quero substituir essa máquina, mas sou cauteloso, pois há uma enorme margem para esse tipo de coisa dar errado. A maneira que eu imagino fazer isso é construir uma nova máquina, em seguida, fazer um DCPROMO e executar três controladores de domínio por um mês ou mais, até que eu esteja feliz que tudo está funcionando como deveria ser antes de retirar a máquina antiga.

Áreas particulares de preocupação são a replicação de papéis dos controladores atuais (configurações do GP, por exemplo) e as ramificações de desligar a máquina que, até agora, era a 'primária'.

Se houver razões convincentes para usar o Server 2008, estou disposto a fazê-lo, mas não sei se isso causaria problemas em minhas máquinas existentes em 2003.

Qualquer conselho sobre as melhores práticas ou experiências anteriores seria muito bem-vindo.

    

Answer 1

A Microsoft tem uma grande quantidade de artigos relacionados a mover funções e serviços de um servidor para outro. Com o DC você precisa ser particularmente cuidadoso para que as coisas aconteçam normalmente e você está bem orientado para postar a pergunta aqui, porque não é um simples desligar ou excluir o servidor de usuários e usuários do AD e computadores.

Se você estiver indo para construir um novo servidor - neste momento eu precisaria de uma razão convincente para não se basear em 2K8 R2. Certifique-se de que seus aplicativos de suporte também suportam o 2K8 R2 - Antivírus, Backup, etc. Se o custo do sistema operacional e do Cals não for um problema, acho que não verificaria o raciocínio para manter um sistema de longo prazo baseado em um 7 ano velho OS? Eu acho que os requisitos para o 2K8 R2 existir em um domínio 2K3 devem estar no modo Native de 2K3 e os DCs de 2K3 podem precisar ser o SP2 ou mais recente.

Primeiro, crie seu novo servidor, adicione-o ao domínio e dcpromo - não há motivo para esperar por isso. Verifique se o novo servidor ou o servidor antigo restante estão definidos como servidores de catálogo global: link

Sua principal área de preocupação deve ser garantir que as funções FSMO sejam devidamente entregues a outro DC. Este artigo informará exatamente o que e como de cada etapa você precisará executar: link .

A replicação de GPOs é tratada automaticamente pelo FRS na árvore Sysvol - portanto, você não deve ter nenhuma preocupação lá.

Você provavelmente também precisará lidar com os serviços DHCP e DNS. Aqui está um bom artigo sobre como mover seu banco de dados DHCP, se necessário: link . Certifique-se de desativar o serviço DHCP depois de mover o banco de dados dhcp para um novo servidor e iniciá-lo lá. É importante mover o banco de dados dhcp em vez de simplesmente parar o serviço no servidor antigo e iniciá-lo em outro - você terá sistemas clientes em todo o lugar com endereços IP duplicados.

Eu sempre prefiro desativar as funções FSMO e DHCP e esperar vários dias antes de remover o sistema como um controlador de domínio.

Quando você tem suas funções FSMO e o DHCP foi movido (e qualquer outro software), execute dcpromo a partir da linha de comando para removê-lo como um DC. Em seguida, use Adicionar / Remover Programas - > Componentes do Windows para desinstalar o serviço DNS. Por fim, remova o sistema do domínio e desligue-o.

Boa sorte!

    

Answer 2

A replicação é totalmente automática entre os controladores de domínio no mesmo domínio, então você não precisa se preocupar com isso, a menos que algo dê errado; todo o conteúdo do AD (usuários, computadores, UOs, GPOs, etc.) será replicado para qualquer novo DC adicionado ao domínio e cada DC sempre armazenará uma cópia completa do banco de dados de domínio.

Há duas coisas com as quais você deve se preocupar (além de qualquer outro aplicativo que possa estar sendo executado no servidor, é claro): funções FSMO e DNS.

Se você DC é um servidor DNS, você deve tomar cuidado para habilitar esse serviço em outros DCs e ter todos os seus computadores membro do domínio (servidores e ) apontando para eles em vez daquele que você está se aposentando; Em uma instalação padrão do AD, a instalação do serviço DNS em um DC é suficiente: você não precisa definir e preencher as zonas DNS, pois a zona de domínio principal será integrada ao AD e, portanto, replicada para todos os servidores DNS que também são DCs.

As funções de FSMO são funções especiais que podem ser mantidas apenas por um único DC por vez, e geralmente são de propriedade do primeiro DC criado no domínio; eles serão automaticamente movidos para outro se você rebaixar o DC que os possui, mas você não terá controle sobre o posicionamento deles, então é sempre melhor movê-los manualmente; você pode fazer isso usando as várias ferramentas do AD (Usuários e Computadores, Sites e Serviços, Domínios e Confianças, Esquema) ou usando o NTDSUTIL.

Além disso, tenha o cuidado de rebaixar o antigo DC (usando dcpromo ) antes de retirá-lo; Isso garantirá que todas as informações referentes à sua função anterior, como DC, sejam removidas adequadamente do Active Directory.

    

Answer 3

Se você não estiver planejando migrar para 2008, não me importarei em atualizar. Há muitas ressalvas dependendo de quais outros aplicativos você tem. Se você planeja atualizar para 2008, a primeira coisa que você precisa fazer é uma atualização de esquema. Você também precisa garantir que seus aplicativos sejam compatíveis com os controladores de domínio de 2008 (em particular, você precisa garantir que, se tiver RODCs no ambiente ou planejar que os aplicativos saibam como chegar a um GC ou DC gravável, caso seja necessário) . Como exemplo, foi apenas a partir da última edição que a bolsa 2008 r2 foi suportada com troca.

Verifique se este link para as preparações do domínio e este link para preparações de floresta

    

Answer 4

Eu concordaria com o que Jeff disse. Para adicionar, os registros DNS replicam entre os servidores DNS, apenas o banco de dados DHCP que você pode fazer backup e restaurar entre diferentes servidores DHCP. Com apenas manaing a duração da concessão você pode fazer essa mudança suave. Apenas não amarre todos os parafusos até ter certeza de que tudo está definido. Do jeito que eu fiz, demora de 2 a 3 dias para cobrir todas as funções (FSMO) e registros (DNS / DHCP).

    

Answer 5

Como já foi dito, certifique-se de que todas as funções antigas sejam removidas do servidor antigo e migradas para a outra / nova. você não poderá executar o DCPROMO até que ele não seja mais um servidor de catálogo global. Dê uma festinha - o pior que pode acontecer? gatinhos não vão se machucar se tudo der errado.