Windows Server 2008 R2 Umzug Domäne, Usernamen ändern und Profile auf Server kopieren

[shortround]

Hi Zusammen,
ich arbeite zur Zeit in einer Firma in der ziemliches Chaos herrscht. Serverhardware ist überlastet, Domänenname ist willkürlich gewählt worden, Benutzernamen sind nicht konsistent und die Profile liegen alle Lokal auf den Rechnern.

Nun wäre mein Wunsch dieses Chaos einmal aufzuräumen. Das ganze soll natürlich für die User mit so wenig Aufwand wie möglich geschehen.

Der Ist-Zustand sieht wie folgt aus:
Server ist Windows 2008 R2
Clients sind Win7 Prof
Domänenname ist Hamburg
Profile liegen lokal auf den Rechnern
Anmeldenamen sind Willkürlich und nicht konsistent.

Das Ziel wäre aktuell:
Neuen Server mit Windows 2012 R2
Client OS bleibt mit Win 7 Prof bestehen
Domänename soll "firmenname.stadtname.de" werden
Profile sollen auf den Server umziehen damit die User auch den Arbeitsplatz wechseln können, um z.B. defekte Hardware schneller tauschen zu können.
Anmeldenamen sollen vereinheitlicht werden (also z.B. erster Buchstabe vom Vornamen + Nachname)

Ich hab nun damit mit begonnen ein Drehbuch für diese Umstellung zu schreiben. Die Frage wäre allerdings, ist das ganze überhaupt umsetzbar, bzw. habt ihr evtl. andere Vorschläge wie das ganze sich lösen lässt.

Schritt
1. Neuen Server aufsetzen (Hardware und Windows 2012 R2 sind bereits bestellt)
2. AD einrichten und neue Benutzer anlegen
3. Profile von den Rechnern auf den Server in die entsprechenden Ordner kopieren und Berechtigungen für die neuen Usernamen setzen
(Evtl. kann man auch Windows die Profile automatisch kopieren lassen indem man die Rechner erst in die neuen Domäne bringt, dann die Profile kopiert, dann den Benutzernamen ändert. Das müsste ich im Detail noch mal prüfen und in einer Testumgebung ausprobieren)
4. Rechner aus der alten Domäne entfernen und in die neue einbinden
5. User mit neuen Benutzernamen anmelden

Nun die Frage, ist das ganze überhaupt möglich? Schritt 1 und 2 wären im Vorfeld zu erledigen, 3-5 müssten dann von einem kleinen Team an einem Wochenende erledigt werden.

Habt ihr evtl. andere Vorschläge dieses Projekt zu bewältigen? Zur Not könnte man wohl auf die Servergespeicherten Profile auch verzichten, da es ja bei Heterogenen Rechnerlandschaften auch viele Probleme mit sich bringt.

Danke und Gruß!

 

[phi]

mal ne frage, der netbios-domänenname ist wohl "hamburg", welche dns-domäne wird verwendet?

 

[Evil Master]

Auch ne Frage: über viel User sprechen wir hier? Ist ein Exchange Server mit dabei?

 

[shortround]

Kein exchange, ist zum Glück hosted. Und es sind Ca. 60 user.
Vollständiger Domänenname ist Hamburg.ham.local
Möchte nochmal betonen dass das ganze nicht auf meinem Mist gewachsen ist . Ich darf es jetzt nur aufräumen

 

[phi]

"Domänename soll "firmenname.stadtname.de" werden" - vermute mal hamburg.de usw gehört euch nicht;-) .local ist also schonmal nicht so verkehrt.
die benutzer kann man ja relativ einfach umbenennen. diese profilkopiererei wird nur unruhe bringen...würde einfach bei nächstem hardwaretausch den user so anlegen wie gewünscht, also romaing profile und richtiger name.

 

[shortround]

Ah ja umgekehrt natürlich. hamburg.firmenname.de

 

[Evil E-Lex]

Usernamen lassen sich anpassen, Domänennamen sind Schall und Rauch. Solange es da nur um Kosmetik geht, würde ich das nicht ändern wollen. Kostet nur Zeit und damit Geld, bringt aber nichts. Servergespeicherte Profile lohnen sich nur, wenn man exzessiv mit Group-Policies arbeitet, damit man das Profilwachstum in grenzen hält.

 

[shortround]

naja gut aber in einem firmenumfeld ist der domänenname eben nicht nur schall und rauch. der bedeutet schon was und die geschäftsführung möchte den gerne geändert haben.
ich habe nun mal mit einem testuser getestet wie es sich verhält wenn ich den usernamen ändere und das ging auch erstmal problemlos. allerdings bleibt der profilordner auf dem rechner davon unbeeinflusst. kann man den auch ändern? einfach umbennen geht natürlich nicht. (wäre im schlimmsten fall auch nicht so schlimm, weil da eh nie jemand nach guckt).
das andere ist, wie verhält es sich wenn ich die user jetzt ins neue AD importiere? der domänenname würde sich ja von hamburg.ham.local auf z.b. hamburg.abcd.local ändern. beim einloggen gibt man ja aber eh immer nur hamburg\username ein. wäre da eine anmeldung weiterhin möglich wenn ich die rechner in die neue domäne bringe?

 

[Evil E-Lex]

Nein, neue Domäne, neue SID. Du darfst alles per Hand umziehen. Früher gab es die ADMT, die sind aber immer noch nicht für Server 2012 angepasst, soweit ich weiß. Das ist auch der Grund warum alle meine Kunden das Ansinnen einer Domänenumbennung wieder aufgegeben haben, nachdem ich ihnen erklärt hatte, das dies einem kompletten Neuaufbau des AD gleichkommt.

 

[phi]

Wenn es denn sein muss, würde ich mit dem renamen der domäne anfangen. MS bietet dafür natürlich tools, aber ohne jegliche Garantie. Ich würde empfehlen, das ganze in einer virtuellen Umgebung mit ausgewählten Clients zu testen. Wenn Zweifel aufkommen sollte man schon einen AD-Spezialisten hinzuziehen, bevor der Laden steht....

 

[disco dogg]

Du hast aber hoffentlich geplant den alten DC weiterhin zu betreiben oder ?
Ich würde den neuen 2012er als weiteren DC hinzufügen, den alten Server aber entlasten, je nachdem was da läuft.
Ne Domäne umziehen ist schon n Stück Arbeit, es gibt von MS übrigens ein elendig langes Whitepaper dazu mit Best Practices, musst du mal googlen.

Für Profile gibt es u.a. (kostenpflichtige) Tools die dir das abnehmen. Ich würd mir vllt aber den Stress gar nicht so machen wollen und mit der GF abklären, dass es neue servergespeicherte Profile gibt und du zB nur Dokumente und Verknüpfungen kopierst, ggf. noch Favoriten aus dem IE. Ansonsten ziehste da n Rattenschwanz mit dir mit, ganz ohne den Anwender zu gängeln geht es sowieso nicht wirklich.

 

[Satzzeichen]

Würde mit der GF klären ob es nicht Sinn macht eine vernünftiges AD inkl.Domänen Umgebung einzurichten. Und wie vor ab erwähnt, eine DC umzuziehen muss sauber geplant werden, da kann auch schnell vieles schief gehen.
Wenn du neue Domäne einrichtest ist die Frage zu klären ob du die alte behalten willst oder gleich auf 2012 R2 gehen.

Machst du das Ganze alleine?

 

[shortround]

Die alte Domäne soll abgeschaltet werden, der Server ist auch einfach durch, der pfeift aus dem letzten Loch.
Mein Vorgänger hatte viel zu wenig erfahrung im Umgang mit Domänen und Netzwerken und es muss einfach mal aufgeräumt werden. Ich zerbreche mir seit Tagen den Kopf darüber was für Optionen wir haben und welche Umsetzbar sind. Für die Planung bin ich erstmal weitestgehend alleine. Bei der Umsetzung werde ich Hilfe haben (müssen), weil es ja alles an einem Wochenende umgestellt werden muss.
Problematisch sind für mich momentan die Aussendienstler. Die 50 Rechner hier, kann man zur Not alle von Hand umziehen sind übern Daumen dann 30 Minuten pro Rechner = 25 Stunden / 4 Leute = 6.5 Stunden.
Wäre es denkbar die Profile von Hand zu kopieren? Also Rechner aus der alten Domäne in die neue und dann das alte Profil auf das neue kopieren. z.B mit dem User State Migration Tool, Easy Transfer o.ä.

Aber wie ich Remote die Aussendienstler umstellen soll ist mir noch ein Rätsel.

Was wäre denn die andere Option? Der Server muss in jedem Fall ausgetauscht werden.

Zweiten Server als Secondary DC einrichten, alle Daten migrieren, dann alten Server abschalten und den neuen zum Primary DC hochstufen?

Oder

Zweiten Server mit neuer Domäne für die Mitarbeiter Vor Ort, alten Server mit alter Domäne weiterlaufen lassen bis nach und nach alle Aussendienstler und Stores umgestellt sind?

Hab jetzt schon Bauchschmerzen

 

[Evil E-Lex]

Was wäre denn die andere Option? Der Server muss in jedem Fall ausgetauscht werden.

Zweiten Server als Secondary DC einrichten, alle Daten migrieren, dann alten Server abschalten und den neuen zum Primary DC hochstufen?

This. Vorrausgesetzt deine GF kann sich damit anfreunden, dass der bisherige Domänenname bleibt. Und weil ich es immer wieder lese und jedesmal Schreikrämpfe bekomme: Es gibt seit Windows 2000 keine Primary und Backup DCs mehr. Ein DC ist ein DC, die sind alle gleichberechtigt. Einzige Ausnahme sind die FSMO-Rollen, die müssen auf den neuen DC übertragen werden, bevor der alte DC heruntergestuft wird.

 

[shortround]

Ja klar, ist halt so in den Sprachgebraucht übergegangen

Ok aber da wäre doch theoretisch auch das Szenario denkbar Alle User entsprechend der neuen Regelung umbennen, den neuen Server als DC einrichten, FSMO Rollen übertragen, alten DC herunterstufen, Domäne umbenennen.
Das Whitepaper zum Thema Domänen umbenennen les ich grad, und da wir weder einen Exchange noch SQL Server o.ä. auf dem Server laufen haben, seh ich da erstmal so direkt kein Problem. Einzig die Sophos Endpoint Protection könnte sich zum Problem entwickeln, weil die auch die Rechner in unseren Stores verschlüsselt und die an die Domäne gekoppelt ist. Dazu würde ich dann aber noch mal den Key Accounter von Sophos anrufen.

 

[Evil E-Lex]

Ok aber da wäre doch theoretisch auch das Szenario denkbar Alle User entsprechend der neuen Regelung umbennen, den neuen Server als DC einrichten, FSMO Rollen übertragen, alten DC herunterstufen, Domäne umbenennen.
Das Whitepaper zum Thema Domänen umbenennen les ich grad, und da wir weder einen Exchange noch SQL Server o.ä. auf dem Server laufen haben, seh ich da erstmal so direkt kein Problem. Einzig die Sophos Endpoint Protection könnte sich zum Problem entwickeln, weil die auch die Rechner in unseren Stores verschlüsselt und die an die Domäne gekoppelt ist. Dazu würde ich dann aber noch mal den Key Accounter von Sophos anrufen.

Nicht nur theoretisch, auch praktisch. Den alten DC würde ich bei der Netzwerkgröße neu installieren und als zweiten DC verwenden. Die Sophos-Problematik solltest du vorher klären, nicht das du auf einmal mit verschlüsselten Rechnern dastehst, die du nie wieder entschlüsselt bekommst. Ich könnte mir vorstellen, dass du Sophos vor der Domänenumbenennung von allen Rechnern entfernen musst und nach Abschluss der Umbenennug wieder neu ausrollen darfst.

 

[shortround]

Genau das hab ich heute mit der Konzernrevision geklärt. Denn eigentlich dürfen die Rechner keine Sekunde ohne Verschlüsselung sein. Aber aus Technischen gründen geht es kaum anders. Darum werden die Rechner am Samstag Morgen entschlüsselt, das geht im laufenden Betrieb, dann wird die Umstellung vollzogen und abends werden sie neu verschlüsselt.

Den alten Server als zweiten DC wird nicht nötig und auch nicht möglich sein. Wie gesagt die Kiste ist durch und eigentlich nur noch schrott reif. Ausserdem bekommen wir eh 3 neue Server + SAN und XenServer.

 

[disco dogg]

Ich hoffe du wirst gut bezahlt für dieses Projekt, das ist für einen alleine schon n Hammer.

Zu den Außendienstlern: Was haben die mit der Domäne zu tun ? Profile sind lokal, Einwahl via VPN, Exchange habt ihr nicht wie du schriebst. Seh ich kein Problem. Wenn sie mal da sind würd ich sie aus der alten Domäne schmeißen und dann einfach in die neue. Lokalen Admin wirst du hoffentlich haben, ansonsten seh ich das wenig kritisch. Profil ließe sich rüberkopieren.