Domänenmigration

[qmaestroq 10]

Hallo Board,

 

ich habe folgende Frage:

 

Ich bereite gerade eine Domänenmigration vor. Folgende Ausgangssituation:

 

Alte Struktur:

(Domäne) alt.int

 

Neue Struktur

 

(Root Domäne) neu.local

(Child Domain) vw.neu.local

(Child Domain) ab.neu.local

 

So, jetzt möchte ich die Computer der Domäne alt.int in die Domäne vw.neu.local migrieren. Dazu verwende ich das Tool admtv3 von Microsoft.

 

Ich habe jetzt zweischen den Domänen alt.int und neu.local eine Gesamtstrukturvertrauenssetllung erstellt, die Transitiv ist --> geprüft, ok

 

Nun habe ich eine externe, bidirektionale Vertrauensstellung zwischen der alt.int und der vw.neu.local erstellt --> geprüft, ok

 

Ich bin nun davon ausgegangen, dass ich in der alt.int eine Universelle Gruppe erstellen kann, der ich dann Benutzer aus der Domäne vw.neu.local hinzufügen kann. Das klappt aber nicht.

Ich kann nur Domänenlokale Gruppen in der Domäne alt.int erstellen, der ich dann Benutzer aus der Domäne vw.neu.local hinzufügen kann.

 

Hintergrund.

 

Um die Clients zu migrieren, muss ich es schaffen, einen Benutzer aus der Domäne vw.neu.local zur Gruppe der DomänenAdmins der Domäne alt.int hinzuzufügen, um Zugriff auf den AdminShare der Clients zu bekommen.

 

Mache ich hier irgendwo einen Denkfehler, oder geht es so nicht???

 

Danke und Gruß

 

qmaestroq

[grizzly999 11]

Ich bin nun davon ausgegangen, dass ich in der alt.int eine Universelle Gruppe erstellen kann, der ich dann Benutzer aus der Domäne vw.neu.local hinzufügen kann. Das klappt aber nicht.

Diese Überlegung war nicht korrekt, wie du selber festgestellt hast. Mitglieder universaler Gruppen können nur aus dem selben Forest stammen.

 

Um die Clients zu migrieren, muss ich es schaffen, einen Benutzer aus der Domäne vw.neu.local zur Gruppe der DomänenAdmins der Domäne alt.int hinzuzufügen

Das geht schon zweimal nicht, denn Mitglieder einer Globalen Gruppe können nur aus der eigenen Domäne stammen. Und Universale Gruppen können überhaupt nicht Mitglied einer Globalen Gruppe werden. Nur Benutzer- und Computerkonten und in den zwei höheren Modi auch Globale Gruppen der selben Domäne.

 

[....], um Zugriff auf den AdminShare der Clients zu bekommen

Korrekter Ansatz: Gruppenrichtlinie für "Eingeschränkte Gruppen" auf die Computer in der alten Domäne anwenden. In dieser GPO der lokalen Administratoren-Gruppe die Domänen-Admins der neuen Domäne hinzufügen. Eine prinzipielle Anleitung findest du hier: Windows Server How-To Guides: Lokale Gruppenmitgliedschaften in der Domäne (Restricted Groups) - ServerHowTo.de ;)

 

 

grizzly999

[qmaestroq 10]

Hallo grizzly,

 

sorry, dass ich erst so spät antworte:

 

Du hast natürlich mit deinen Tipps recht gehabt und mir super geholfen.

 

Vielen Dank dafür.

 

Schönen ABend noch

 

Gruß

 

qmaestroq