Инструменты миграции

Четыре инструмента миграции облегчают развертывание AD

Компания Microsoft прекратила работу над исправлениями для Windows NT 4.0 и постепенно сворачивает ее поддержку. Одновременно выпущен пакет Windows Server 2003 Service Pack 1 (SP1), и для администраторов, все еще не отказавшихся от доменов NT, пришло время задуматься о переходе к Active Directory (AD). Чтобы упростить процесс миграции, Microsoft выпустила бесплатный инструмент Active Directory Migration Tool (ADMT), который можно загрузить на сайте компании. Продукты независимых поставщиков, таких как Quest Software, BindView и NetIQ, располагают функциями управления проектами, удаления истории SID и более удобным графическим интерфейсом. Все эти достоинства действительно способны окупить затраты на их приобретение.

В процессе миграции учетные записи пользователей и компьютеров из одного или нескольких исходных доменов перемещаются в целевой домен. Предприятия выполняют миграцию при переходе с NT либо для консолидации двух или нескольких доменов AD. Перемещенные учетные записи получают новый SID в целевом домене, поэтому инструменты миграции должны обеспечить новым учетным записям наследование всех прежних разрешений доступа к ресурсам. Все испытанные инструменты отслеживают предысторию SID и заново генерируют разрешения для файлов, папок и реестра, а также располагают типовой функциональностью для выполнения необходимых задач миграции. С помощью всех рассмотренных продуктов можно переносить учетные записи пользователей, пароли, локальные и глобальные группы, учетные записи компьютеров и доверительные отношения; восстановить прежние разрешения для файловой системы, реестра и почтовых ящиков Microsoft Exchange Server; вводить рабочие станции в новый домен; отслеживать историю SID и запускать сценарии миграции. В табл. 1 представлена сводка характеристик каждого продукта.

В ходе тестирования каждый продукт применялся для миграции пользователей и групп NT, общего каталога и рабочей станции в AD-домен Windows 2003. Каждый продукт оценивался с точки зрения простоты использования, удобства планирования (управление проектом миграции) и возможности доступа из новых учетных записей целевого домена к нужным ресурсам как в общем каталоге, так и в рабочей станции после миграции.

ADMT

ADMT обеспечивает все базовые функции, необходимые для миграции пользователей и компьютеров между доменами, но располагает минимальными процедурами настройки и незатейливым графическим интерфейсом. Особенно заметно отсутствие функций управления проектом, очистки истории SID и исчерпывающей отчетности. ADMT приемлем для миграции небольших масштабов, но если нужно отслеживать сотни пользователей, то администратору потребуется выполнить дополнительную работу как по диагностике, так и по управлению проектом.

Установить ADMT не так просто, как может показаться на первый взгляд. Поначалу мне казалось, что необходимо лишь развернуть пакет Windows Installer. Однако после внимательного изучения документации выяснилось, что требуется настроить множество разрешений и параметров реестра, назначить и настроить Password Export Server в исходном домене и перезагрузить контроллер домена (DC) как в исходном, так и в целевом домене. Оглядываясь назад, можно сделать вывод, что по сравнению с простыми процедурами настройки других инструментов, установка ADMT была самой сложной и в ней чаще возникали ошибки.

Экран 1. Набор мастеров ADMT

Как показано на экране 1, ADMT состоит из набора мастеров, с помощью которых можно протестировать или выполнить любую задачу миграции. Однако инструмент не позволяет сохранить тестовые параметры, поэтому приходится заново запускать мастеров и восстанавливать параметры, выбранные в ходе тестирования. Из-за отсутствия функций управления проектом на тестах с малыми группами пользователей трудно выбрать из каждой группы пользователей, чьи системы подлежат миграции.

ADMT располагает минимальным, но полезным набором отчетов. Отчет Account Name Conflicts помог предсказать некоторые ошибки, а благодаря отчетам Migrated User and Groups и Migrated Computer Accounts проще отслеживать действия пользователей, уже прошедших процедуру миграции. Хотелось бы получить отчеты со сравнительными данными об исходном и целевом доменах (например, с информацией о еще не перемещенных учетных записях).

Я потратил много времени на диагностику миграции. Если в процессе миграции встречается ошибка, то ADMT генерирует только текстовый журнал выполненных операций. Среди встретившихся мне ошибок были неполадки с настройками разрешений Password Export Server и SID History. В составе ADMT есть мастер Retry Task Wizard, но с его помощью нельзя изменить параметры неудачной операции перед повторным запуском задания. Кроме того, мастер позволяет повторить только некоторые задания, такие как миграция компьютеров; мне не удалось воспользоваться мастером для повторения неудавшихся переносов учетных записей пользователей или успешных тестовых миграций. Кроме того, ADMT обеспечивает отмену только последней миграции. Однако после отладки ADMT успешно перемещал учетные записи пользователей, без проблем с общими каталогами или локальными профилями.

BindView bv-Admin for Windows Migration

bv-Admin for Windows Migration — инструмент миграции на базе проектов с хорошими функциями планирования, который обеспечивает превосходную трансляцию параметров исходных учетных записей и сложное отображение перемещаемых объектов в организационные единицы (OU). Продукт — самый гибкий в данном обзоре с точки зрения организации учетных записей в целевой структуре AD и стандартизации имен и свойств учетных записей. Однако в ходе пробных миграций не были выявлены ошибки, встретившиеся при реальной миграции. Диагностика не была трудной, но досадно, что искать неисправности пришлось в ходе реальной миграции, а не во время испытательного прогона. Этот изъян, наряду с высокой ценой, не позволяет признать bv-Admin лучшим продуктом в данном обзоре.

Консоль bv-Admin состоит из набора проектов, организованных по типу перемещаемых объектов. Каждый подготовленный проект представлял набор учетных записей пользователей, групп, компьютеров и параметров миграции. Как показано на экране 2, можно выбрать отдельную целевую OU в целевом домене для каждого перемещаемого объекта и настроить свойства учетной записи, в том числе стандартное имя (common name, CN), SAM и полное имя пользователя (user principal name, UPN) с помощью выражения, охватывающего параметры исходной учетной записи. Кроме того, bv-Admin автоматически заполняет поля первого и последнего имен в AD, разбивая поле по пробелам в полном имени Full Name системы NT. Ни один другой продукт не заполняет эти поля AD автоматически.

Экран 2. BindView bv-Admin for Windows Migration

После подготовки проекта можно провести тестовую или реальную миграцию. Несмотря на успех тестовой миграции, при первой реальной попытке произошли две ошибки, одна была связана с разрешениями активизации истории SID, другая — с длиной поля CN. bv-Admin выдает полезные сообщения об ошибках, поэтому обе проблемы удалось быстро устранить, но, к сожалению, после успешного испытательного прогона в процессе миграции происходили сбои. После успешного проведения реальной миграции я превратил проект в шаблон и смог использовать те же параметры для нового проекта с другими учетными записями пользователей.

Для перемещения общего каталога и рабочей станции bv-Admin автоматически устанавливает агентов, чтобы применить списки управления доступом (ACL) и ввести рабочую станцию в новый домен. Перезагрузка после миграции необязательна, а ошибок в ходе процедуры не возникало.

Впечатляют функции подготовки отчетов. Инструмент под названием Action Reports располагает полезным набором настраиваемых шаблонов как для доменных, так и для миграционных проектов. В отчетах приводятся данные о неперемещаемых объектах, история SID, успешно выполненные проекты и ресурсы, пропущенные в ходе выполнения проекта. Отчеты можно настроить на получение данных из нескольких доменов или проектов. Кроме того, из отчетов можно запускать соответствующие операции. Например, по щелчку правой кнопки мыши на отчете SID History запускается операция очистки SID History.

NetIQ Migration Suite

Компания Microsoft купила первоначальную версию ADMT у компании NetIQ, поэтому ADMT и NetIQ Domain Migration Administrator, компонент комплекта NetIQ Migration Suite, имеют общую родословную, ясно различимую в пользовательских интерфейсах продуктов. Однако NetIQ Migration Suite располагает рядом существенных усовершенствований по сравнению с ADMT, как в функциональности, так и в графическом интерфейсе. NetIQ Migration Suite — инструмент корпоративного уровня, пригодный для планирования и проведения крупномасштабных миграций. Изо всех протестированных продуктов он располагает самыми мощными функциями планирования, а при проведении миграций потребовалась лишь незначительная диагностика. Благодаря этим функциям и доступной цене (6 долл. для одного пользователя) он был признан лучшим средством миграции в данном обзоре.

Как и ADMT, NetIQ Migration Suite требуется несколько ручных операций настройки доменов. Компонент Domain Migration Administrator (экран 3) располагает отличной поэтапной документацией, и первая попытка миграции была выполнена без ошибок. После установки NetIQ Migration Suite дал четкие указания по порядку запуска необходимых мастеров. На первых двух этапах был построен Migration Project и выбраны объекты для миграции. В любой момент можно увидеть статус всех выбранных объектов и изменить свойства, назначаемые во время миграции. Из главного вида проекта можно получить отчеты о числе перемещенных пользователей, групп и компьютеров, а также журнал каждого выполненного задания со ссылкой на функцию отмены (где это возможно).

Экран 3. Компонент Domain Migration Administrator из NetIQ Migration Suite

Функции подготовки отчетов NetIQ Migration Suite — самые полезные среди всех продуктов в данном обзоре. Пользоваться отчетами удобно, они содержат специализированную информацию по миграции и позволяют запрашивать информацию из исходных и целевых доменов, в частности о необходимых преобразованиях параметров безопасности и служебных учетных записей. Продукт не только предоставляет данные об истории SID и непереносимых объектах в доменах, но и сравнивает несколько проектов, отыскивая объекты, запланированные для миграции несколько раз. Превосходное управление проектами и подробные отчеты обеспечивают гибкость при создании проектов «на ходу». Впоследствии в проекты можно внести изменения, чтобы охватить все необходимые объекты и этапы.