samrein
Goto Top

Neues ActiveDirectory - Neuer Firmennamen

Hallo zusammen,

gerne hole ich mir mal wieder Rat im Forum ein.

Folgendes Szenario

Es gibt eine vorhandene Domäne mit dem Namen firma_alt.de
Die Firma fusioniert und es gibt einen neuen Namen "firma_neu.de

Die neuen Kollegen richte ich in der neuen Domäne direkt ein, wie würdet Ihr mit den vorhanden Kollegen verfahren? Migrieren oder neu anlegen? Den Exchange werde ich wohl auch neu aufsetzen, Postfächer Domänenübergreifend migrieren (40 User / 100 Postfächer) oder auch hier einen Schnitt machen und neu machen? Bekanntlich gibt es immer viele Weg zum Ziel, freue mich daher über Erfahrungswerte...

Grüße
Stefan

Content-Key: 526239

Url: https://administrator.de/contentid/526239

Ausgedruckt am: 01.10.2022 um 06:10 Uhr

Mitglied: itisnapanto
itisnapanto 17.12.2019 um 11:51:26 Uhr
Goto Top
Moin ,

da ich deine Umgebung nicht kenne , schmeiß ich mal die Vertrauensstellung zwischen Domänen mal in den Raum .

https://www.windowspro.de/roland-eich/domaenenmigration-vertrauensstellu ...

Gruss
Mitglied: samrein
samrein 17.12.2019 um 12:02:15 Uhr
Goto Top
Dank Dir, die Vertrauenstellung hab ich bereits gemacht um überhaupt ein gemeinsames Arbeiten zu ermöglichen.
Die Frage wäre jetzt ob ich Benutzer migriere oder neu sauber neu anlege, gerade auch im Hinblick auf die Exchange Postfächer.
Ich muss das mal testen ob migrierte Benutzer weiterhin Problemlos auf Ihre Mailkonten zugreifen können, das hab ich nie gemacht face-smile
Mitglied: Dani
Dani 17.12.2019 um 12:17:14 Uhr
Goto Top
Moin,
Die Firma fusioniert und es gibt einen neuen Namen "firma_neu.de
Ein Unterstrich im FQDN würde mir etwas sorgen machen. Ich weiß zwar nicht, ob es supportet ist. Aber alleine schon ausgewohnt bei Internetdomains mit einem Bindestrich einzugeben, wird früher oder später für Unmut sorgen. Abgesehen davon, wirst du für den FQDN nie ein SSL-Zertifikat im Internet kaufen können. Ob eine Zertifizierungsstelle unter Microsoft den Unterstrich supportet, weiß ich ehrlich gesagt nicht.

Die Frage wäre jetzt ob ich Benutzer migriere oder neu sauber neu anlege, gerade auch im Hinblick auf die Exchange Postfächer.
Naja, wer möchte schon zwei Infrastrutkuren auf die nächsten Jahre pflegen und aufrecht erhalten. Irgendwann stehen die Migration von Server 2012 auf 2019 an, etc... Mit ADMT ist das eigentlich kein Hexenwerk - kostet Zeit und evtl. das eine oder andere Haar. face-wink


Gruß,
Dani
Mitglied: emeriks
emeriks 17.12.2019 um 12:26:06 Uhr
Goto Top
Hi,
Zitat von @samrein:
Die Frage wäre jetzt ob ich Benutzer migriere oder neu sauber neu anlege, gerade auch im Hinblick auf die Exchange Postfächer.
Wer keine Langeweile hat, der migriert mit ADMT, ganz klar.
Ich muss das mal testen ob migrierte Benutzer weiterhin Problemlos auf Ihre Mailkonten zugreifen können, das hab ich nie gemacht face-smile
Ich lese aus Deinem Text, dass das neue AD ist auch ein eigener Forest ist.
Suche mal im Web nach "Exchange Cross Forest Migration".

E.
Mitglied: aqui
aqui 17.12.2019 um 12:28:40 Uhr
Goto Top
Ich weiß zwar nicht, ob es supportet ist.
Nein, ist wie bei DNS Namen nicht supportet:
https://support.microsoft.com/de-de/help/909264/naming-conventions-in-ac ...
Mitglied: Matsushita
Matsushita 17.12.2019 um 12:32:19 Uhr
Goto Top
Der Name Deiner AD Domäne sollte Deinem externen DNS Namen untergeordnet sein. Wenn Deine Firma also die DNS Domäne: "firma.de" besitzt, dann sollte Dein AD DNS Name z.b. "ad.firma.de" lauten. Ansonsten hast Du Split Brain-DNS Probleme oder ein nicht routingfäjiges Suffix (z.B. ".local, *.zz, *.intern und all der andere Unsinn, den man so machen kann).
Mitglied: samrein
samrein 17.12.2019 um 12:34:57 Uhr
Goto Top
Super dank Euch...

Der DNS Name war mit dem Unterstrich war nur zur Unterscheidung face-smile

Ich glaube Eure Vorschläge mit dem ADMT Tool und Exchange Cross Forest Migration gehen in meine Richtung...

Danke und Grüße
Stefan
Mitglied: aqui
aqui 17.12.2019 um 12:53:42 Uhr
Goto Top
(z.B. ".local,
.local ist als Root Domain absolut Tabu ! Das wird weltweit vom mDNS Dienst verwendet und wird früher oder später Probleme machen.
https://de.wikipedia.org/wiki/Zeroconf#Multicast_DNS
Welche sinnvollen Namen man intern wählen sollte steht hier:
https://www.heise.de/select/ct/2017/26/1513540412603853
Mitglied: Dirmhirn
Dirmhirn 17.12.2019 um 13:33:41 Uhr
Goto Top
Hi,

mirgrier alles und wirf die alte Domain schnell weg face-big-smile

wir haben hier 4 zu 1 und seit 3 Jahren wursten die alten Domains weiter....
User haben wir mirgiert, abe so manch ein legacy system nicht. Exchange fährt alt/neu+O365.

Es ist ein Graus und kein Ende in Sicht.

sg Dirm
Mitglied: samrein
samrein 17.12.2019 um 14:40:03 Uhr
Goto Top
Zitat von @Matsushita:

Der Name Deiner AD Domäne sollte Deinem externen DNS Namen untergeordnet sein. Wenn Deine Firma also die DNS Domäne: "firma.de" besitzt, dann sollte Dein AD DNS Name z.b. "ad.firma.de" lauten. Ansonsten hast Du Split Brain-DNS Probleme oder ein nicht routingfäjiges Suffix (z.B. ".local, *.zz, *.intern und all der andere Unsinn, den man so machen kann).


den Punkt habe ich tatsächlich nicht berücksichtigt.... sondern den AD Namen mit dem DNS Namen der Firma angelegt...
In der Vergangeheit habe ich somit 2 DNS Server gepflegt, einmal für die DMZ und einmal intern. Allerdings ist der Aufwand hierfür relativ überschaubar, bzw. sehr gering. Wenn ich das ändern wollte, müsste ich den Forrest umbenennen, da ich hier schon einiges konfiguriert habe würde ich mir die Arbeit lieber sparen... Suffixe wie .local, zz habe nie verwendet
Mitglied: Dani
Dani 17.12.2019 um 19:04:07 Uhr
Goto Top
Moin,
den Punkt habe ich tatsächlich nicht berücksichtigt.... sondern den AD Namen mit dem DNS Namen der Firma angelegt...
das ist allerdings halb so wild. Denn beides hat seine Vor- und Nachteile.

In der Vergangeheit habe ich somit 2 DNS Server gepflegt, einmal für die DMZ und einmal intern.
Habt wirklich den autoritativen DNS-Server für eure Domain(s) in der DMZ stehen oder pflegst du die ein und selbe DNS-Zone nur zweimal mit den selben Inhalten? Falls es letzteres ist, kann man mit Master-Slave zwischen LAN und DMZ viel automatisieren und vereinfachen.


Gruß,
Dani
Mitglied: samrein
samrein 17.12.2019 um 20:02:00 Uhr
Goto Top
Zitat von @Dani:

Habt wirklich den autoritativen DNS-Server für eure Domain(s) in der DMZ stehen oder pflegst du die ein und selbe DNS-Zone nur zweimal mit den selben Inhalten? Falls es letzteres ist, kann man mit Master-Slave zwischen LAN und DMZ viel automatisieren und vereinfachen.

Dani

In der DMZ steht ein BIND DNS Server mit denen wir u.a. die Zonefiles zum Provider übertragen, intern steht der zweite DNS Server, der bearbeitet entsprechend auch nur interne Abfragen. Die Inhalte sind also völlig unterschiedlich, daher macht die Trennung für mich auch Sinn. Lediglich um zu vermeiden, das interne Seiten über das Internet aufgelöst werden, pflege ich diese doppelt... das ist echt überschaubar bei uns

Grüße
Stefan
Mitglied: 7Gizmo7
7Gizmo7 18.12.2019 um 22:34:34 Uhr
Goto Top
Hi,

Ich würde die User neuanlegen. PST Export /Import machen , alte Domain wegwerfen.

Mfg
Mitglied: emeriks
emeriks 19.12.2019 aktualisiert um 08:30:40 Uhr
Goto Top
Zitat von @7Gizmo7:
Ich würde die User neuanlegen. PST Export /Import machen , alte Domain wegwerfen.
Bei 40 Benutzern? Das wäre mir zu viel. Da hängen doch sicher auch ne Menge Zugriffrechte dran. Ehe ich das alles erfasst und als Script verfasst habe, habe ich mit ADMT die Benutzer, Gruppen und Computer zig Mal migriert. Ohne Verlust der Zugriffsberechtigungen. Von den Benutzerprofilen ganz zu schweigen.
Mitglied: samrein
samrein 20.12.2019 um 08:37:44 Uhr
Goto Top
Zitat von @emeriks:

Zitat von @7Gizmo7:
Ich würde die User neuanlegen. PST Export /Import machen , alte Domain wegwerfen.
Bei 40 Benutzern? Das wäre mir zu viel. Da hängen doch sicher auch ne Menge Zugriffrechte dran. Ehe ich das alles erfasst und als Script verfasst habe, habe ich mit ADMT die Benutzer, Gruppen und Computer zig Mal migriert. Ohne Verlust der Zugriffsberechtigungen. Von den Benutzerprofilen ganz zu schweigen.


Moinsen,
ich glaube ich werde mich mal daran versuchen es mit ADMT umzusetzen. Hab noch keine Erfahrung damit sammeln können, aber es gibt im www ja reichlich Artikel dazu.
Danke