Active Directory. Migration Tool 2.0. La migración de cuentas y contraseñas de forma más fácil EN PORTADA

Transcripción

1 La migración de cuentas y contraseñas de forma más fácil Active Directory Migration Tool 2.0 BITTOR 0 MAYO 2004 WINDOWS TI MAGAZINE

2 Microsoft presentó Active Directory Migration Tool (ADMT) 2.0 conjuntamente con Windows Server La mayoría de nosotros asocia esta herramienta con la migración de una versión a otra de Windows, y, de hecho, ADMT es la herramienta favorita de las grandes empresas que han migrado de instalaciones anteriores de Windows a Windows 2003 o Windows 2000 Server. Sin embargo, ADMT fue diseñada para migrar una estructura de Active Directory (AD) de un bosque a otro, tanto si esto conlleva un cambio del sistema operativo como si no. ADMT no sólo soporta la migración de Windows NT 4.0 a AD, sino que también realiza la migración entre los bosques (es decir, consolidando dominios que viven en bosques independientes) y en el interior de los bosques (es decir, migrando dominios que forman parte del mismo bosque). ADMT 2.0 cuenta con nuevas funcionalidades, incluida una interfaz de secuencia de mandatos y una interfaz ligeramente mejorada para trabajar con Microsoft Exchange Server. Además, ADMT 2.0 soporta la migración de contraseñas de cuentas de usuario. La función de ADMT como herramienta para mover estructuras es importante, porque una vez implementada una estructura de Active Directory, será imposible modificarla directamente. Si necesita realizar un cambio, debe borrar la estructura y empezar desde cero, a menos que utilice ADMT, que le permite migrar a distintas estructuras sin tener que empezar de nuevo. Una vez destacado este punto importante, intentaremos demostrar cómo utilizar ADMT 2.0 para migrar un dominio NT 4.0 a Windows Hemos creado un entorno virtual sencillo, y luego hemos añadido un dominio de origen NT 4.0 denominado IKDOM01, y un dominio de destino Windows 2003, cuyo nombre completo de dominio (FQDN) es IKDOM2.ORG.ADMT, que deberá ejecutarse en el PDC de destino. Si el directorio de destino está replicado, el servidor elegido también deberá ser el maestro de operaciones a efectos de replicación (es decir, el servidor designado debe tener la función de operación de maestro único flexible FSMO-). ADMT 2.0 es compatible tanto con Windows 2000 como con Windows 2000 Server. Puede descargarse la herramienta desde la página web de Microsoft [ Tras descargar el archivo admt2.exe, extraiga sus contenidos a un directorio con un nombre como el de ADMT. Uno de los archivos extraídos, administration.msi, instala ADMT en el servidor elegido. Por defecto, ADMT se instala en la raíz del sistema, en \Archivos de Programas\Active Directory Migration Tool. Una vez instalada la herramienta, será el momento de preparar los dos dominios para la migración. Figura 1: Asistentes del ADMT 2.0 PREPARACIÓN PARA LA MIGRACIÓN Windows 2003 ofrece dos modos de operación para AD: nativo y mixto. También ofrece algunas funcionalidades de seguridad que las versiones anteriores no soportaban. Si su entorno está controlado exclusivamente con Windows 2003, puede configurar AD para que se ejecute en modo nativo, que si bien es más seguro, no es compatible con controladores de dominio anteriores. El modo mixto o compatibilidad permite a los administradores ejecutar AD y servidores NT 4.0 en un entorno de seguridad compartido. Sin embargo, hace que muchas de las mejoras de seguridad del modo nativo no estén disponibles. ADMT requiere que el nuevo dominio se ejecute en modo nativo. Si no está seguro de si el nuevo dominio está utilizando el modo nativo, abra un complemento de administración AD de Microsoft Management Console (MMC), como Usuarios y Equipos de Active Directory, y haga clic derecho en el objeto del dominio. En el menú contextual, seleccione Elevar el nivel funcional si esa opción está disponible; de modo contrario, seleccione Todas las tareas, Elevar el nivel funcional. El cuadro de diálogo resultante muestra el nivel funcional actual del dominio y le permite subir el nivel del modo compatibilidad al modo nativo. Tenga en cuenta que después de subir el nivel, ya no podrá bajarlo. A continuación, debe crear una confianza bidireccional entre los dominios de origen y de destino. En el sistema de Windows 2003 abra el complemento Dominios y Confianzas de Active Directory de MMC y haga clic derecho en el objeto del dominio de destino (IK- DOM2.ORG). Seleccione Propiedades desde el menú contextual para abrir el cuadro de diálogo Propiedades. En la pestaña Confianzas, haga clic en Nueva Confianza para abrir el asistente Nueva Confianza, que le guiará a través de los pasos de la instalación de la primera mitad de su confianza bidireccional con el dominio NT 4.0 IKDOM01. Para instalar la segunda mitad de la confianza (desde el dominio de origen al do- WINDOWS TI MAGAZINE MAYO

3 Figura 3: Opciones de contraseñas Figura 2: Selección de las cuentas de usuario a migrar minio de destino), en el PDC de NT 4.0 para el dominio IKOM01, abra Administrador de Usuarios para Dominios desde el menú de Herramientas Administrativas. Desde el menú Directivas seleccione la opción Relaciones de confianzas, y luego defina una relación de confianza bidireccional con el dominio de destino. Tras modificar ambos dominios, cierre la consola Dominios y Confianzas de Directorio y Activo en el PDC (Controlador de dominio principal) de Windows 2003, pero deje Administrador de Usuarios para Dominios abierto en IKDOM01. El siguiente paso consiste en asegurar que las cuentas de usuario administrativo que utilizarán el proceso de migración tengan derechos en ambos dominios. En Administrador de Usuarios para Dominios, haga doble clic en el objeto Administradores bajo el objeto IKDOM01, luego añada los administradores para el dominio de destino (IKDOM2.ORG\Domain Adminis) para concederles permiso sobre el dominio de origen. El proceso de configuración del dominio de origen tiene la opción de crear este grupo en el mismo y ponerle el nombre del dominio (en nuestro escenario de ejemplo, el nombre sería IKDOM01$$$). A continuación, cierre Administrador de Usuarios para Dominios. Ahora debe establecer privilegios de administración en el dominio Windows Abra el componente Usuarios y Equipos de Active Directory en el sistema Windows 2003, y expanda el nodo Builtin (que contiene los grupos locales del servidor) en IKDOM2.ORG. En el grupo local de administradores, añada el dominio administradores desde el dominio de origen (IKDOM01\Domain Admins). El siguiente paso preparatorio consiste en editar el registro para el soporte del cliente TCP/IP en el PDC de IKDOM01. Abra un editor de registros, vaya a la subclave HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa, y añada TcpipClientSupport como nueva entrada DWORD. Asegúrese de que el nuevo valor de la entrada está establecido en 1, y luego reinicie el PDC IKDOM01. En este momento ya estará listo para comenzar a migrar información de la cuenta de usuario. En el PDC Windows 2003, abra el componente Herramienta de migración de Active Directory de MMC. Cuando la consola MMC de la herramienta esté desplegada, observará que su contenido es escaso. En la pantalla verá un nodo Herramienta de migración de Active Directory, un nodo marcador de posición para informes y poco más. ADMT es una herramienta habilitada para asistente y deberá utilizar uno de los 11 asistentes para iniciar cada acción que ADMT realice. Haga clic derecho en el nodo Herramienta de Migración de Active Directory para ver la lista de asistentes disponibles, tal y como muestra la Figura 1. Los asistentes son los siguientes: User Account Migration Wizard (Asistente de migración de cuentas de usuario) Group Account Migration Wizard (Asistente de migración de cuentas de grupos) Computer Migration Wizard (Asistente de migración de equipos) Security Translation Wizard (Asistente de conversión de seguridad) Reporting Wizard (Asistente de informes) Service Account Migration Wizard (Asistente de migración de cuentas de servicios) Exchange Directory Migration Wizard (Asistente de migración del directorio Exchange) Undo Last Migration Wizard (Asistente para deshacer la última migración) Retry Task Wizard (Asistente para reintento de tareas) Trust Migration Wizard (Asistente de migración de confianzas) Group Mapping and Merging Wizard (Asistente para el mapeo y la fusión de grupos) Algunos de estos asistentes, como el Asistente de migración de confianzas, le permite elegir dominios de origen, y luego desplegar una pantalla que actúa co- 2 MAYO 2004 WINDOWS TI MAGAZINE

4 mo un cuadro de diálogo. Otros, como el Asistente de Migración de cuentas de usuario, son más complicados, pero todos utilizan el mismo proceso básico. MIGRACIÓN DE CUENTAS DE USUARIO A continuación, le enseñaremos a utilizar el Asistente de Migración de Cuentas de usuario, que como su propio nombre indica, sirve para migrar las cuentas de usuario. (La migración de contraseñas se hace aparte). Después de iniciar el Asistente de Migración de Cuentas de usuario, verá una pequeña pantalla. La siguiente pantalla ofrece la opción de ejecutar dicho asistente en modo de prueba. Esta opción, que no ofrecen los demás asistentes, le permite configurar todos los valores de configuración asociados con la migración de sus usuarios, probar la migración y ver un informe en el que se muestran los problemas potenciales. Le recomendamos que primero ejecute el asistente en modo de prueba, para que antes pueda suprimir cualquier problema con la migración de la cuenta de usuario, luego ejecute los pasos de la configuración de la migración de contraseñas (que describimos en la siguiente sección), y por último, vuelva a ejecutar el Asistente de Migración de Cuentas de usuario para migrar tanto las cuentas como las contraseñas de usuarios. A continuación, el Asistente de Migración de Cuentas de usuario le pedirá que proporcione los dominios de origen y de destino. Tenga en cuenta que el asistente sólo busca dominios AD y que no incluye el dominio NT 4.0, que con el que hemos establecido una confianza en la casilla desplegable de dominios disponibles. Debe introducir el nombre del dominio NT 4.0. La siguiente pantalla le permite seleccionar cuentas de usuario. Haciendo clic en Agregar, podrá abrir un cuadro diálogo bastante reducido para seleccionar objetos AD. Si no desea introducir cada nombre de usuario, haga clic en Avanzado para ver un cuadro de diálogo Seleccionar Usuarios expandido, que muestra la Figura 2. Haga a clic en Buscar ahora para que aparezcan todas las cuentas del dominio de destino. No obstante, no puede filtrar cuentas incorporadas, como las de Administrador e Invitado, así deberá evitar seleccionar dichas cuentas o eliminarlas de la lista cuando vuelva al asistente. Una vez seleccionadas las cuentas a migrar, el siguiente paso consiste en verificar la localización en el dominio de destino en el que desea crear dichas cuentas. El asistente muestra el FQDN de la ubicación, y puede editar una unidad organizacional de destino (OU) para las cuentas. Una vez especificada la ubicación, la siguiente pantalla, que muestra la Figura 3, le permite especificar cómo gestionar las contraseñas de las cuentas de usuario. La opción por defecto, Contraseñas complejas, crea nuevas contraseñas complejas basadas en una secuencia de caracteres aleatorios. De manera alternativa, puede optar por crear contraseñas iguales a los nombres de las cuentas. Con ambas opciones, el asistente crea un archivo histórico que asocia cada cuenta de usuario Figura 4: Opciones de transición de lsa cuentas de usuario con su nueva contraseña. Deberá pedir a los usuarios que cambien sus contraseñas después de que éstos accedan al dominio. La tercera alternativa consiste en migrar contraseñas de cuentas de usuarios desde el dominio de origen, aunque hasta que no haya ejecutado los pasos descritos en la siguiente sección de este artículo, la opción Migrar contraseñas no estará plenamente disponible. Si lo selecciona y hace clic en Siguiente, aparecerán mensajes de error. Por ahora, acepte la configuración por defecto y pase a la siguiente pantalla del asistente. Figura 5: OPciones de usuario WINDOWS TI MAGAZINE MAYO

5 Figura 6: Configuración del dominio destino para la migración de contraseñas Esta pantalla presenta las opciones de activación de cuentas, tal y como muestra la Figura 4. Le recomendamos que seleccione la opción Origen igual que destino, de manera que ADMT cree cuentas en el dominio de destino con el mismo estado de activación que en el dominio de origen. Esta configuración le ofrece cierta seguridad de que aunque migre accidentalmente una cuenta no deseada y desactivada, dicha cuenta seguirá desactivada. También puede optar por que ADMT señale automáticamente las cuentas de origen para su desactivación. Esta pantalla también le ofrece la opción de migrar los SIDs de cuenta de usuario. Por defecto, cuando ADMT cree una cuenta de usuario en el dominio de destino, AD asignará un nuevo SID a la nueva cuenta y desconectará los privilegios y limitaciones de usuario de dicha cuenta, tal y como se define en el dominio de origen. Si selecciona la opción Migrar los SID al dominio de destino copiará un SID de una cuenta de origen a un historial asociado con la nueva cuenta. Windows utilizará entonces este valor histórico para enlazar la nueva cuenta con la antigua, y permitirá que el usuario mantenga los mismos privilegios y restricciones que tenía en el dominio de origen. Esta opción también desencadena ciertos requisitos de auditoría, que el asistente habilita automáticamente en los dominios de origen y de destino. Obviamente, la migración de SIDs tendrá sentido si desea que los privilegios en el domino de destino para los mismos grupos se definan en el dominio de origen. La migración de SIDs introduce un paso más en el proceso, en el que el asistente le pide que proporcione credenciales válidas de administrador para el dominio de origen (IKDOM01). ADMT necesita credenciales explícitos porque acceder a los SIDs de la cuenta es una operación con privilegios. La siguiente pantalla de Asistente de Migración de Cuentas de usuario, que muestra la Figura 5, le permite definir otras opciones de usuario, incluidas dos opciones de grupo. Seleccione la primera opción Migrar grupos de usuarios asociados- para migrar, junto con las cuentas de usuario, los grupos personalizados definidos en el dominio de origen que no ha definido en el dominio de destino. También debería seleccionar la subopción adjunta - Update previously migrated objects)- para decir a ADMT que después de que cree un grupo personalizado para el primer usuario migrado que pertenezca al grupo, deberá actualizar dicho grupo en lugar de crear otro nuevo, cuando migre otros usuarios a dicho grupo. ADMT mantendrá la pertenencia de los usuarios a los grupos personalizados. Si también está migrando SIDs, todos los permisos permanecerán invariables. La segunda opción de grupos es Fix User s group membership, que asigna cuentas de usuario a los grupos pertinentes en el dominio de destino, basándose en su pertenencia al dominio de origen. (Por lo tanto, fijar, en este caso, significa incorporar, en lugar de reparar). Por ejemplo, si una cuenta de usuario pertenece al grupo Administradores de dominio en IKDOM01, la nueva cuenta pertenecerá al grupo Administradores de dominio en IKDOM2 después de la migración. ADMT es lo suficientemente inteligente para no crear duplicados de dichos grupos incorporados (cuando se migran grupos), y le ofrece la opción de decidir si dichos encargos deberían transferirse de manera automática. La última pantalla le pide que defina una opción por defecto para renombrar cualquier cuenta de usuario que duplique las cuentas existentes en el dominio de destino. Después de hacerlo, haga clic en Terminar para comenzar la migración o probar su proceso. Durante la migración, una ventana de estado mostrará que el asistente ha realizado la migración y que no se ha producido ningún error. El asistente también genera un archivo de registro que podrá revisar al final de la migración. Dicho archivo está disponible sólo hasta que cierre la ventana del asistente. Una vez hecho esto, tendrá acceso únicamente a los informes generados por ADMT. MIGRACIÓN DE CONTRASEÑAS Una de las funcionalidades más interesantes de ADMT 2.0 es su capacidad de migrar contraseñas. Merece la pena prestar una atención especial a la migración de contraseñas, porque requiere unos valores de configuración adicionales tanto en los DC de origen como de destino, además de un servicio que se ejecute en el dominio de origen. El servicio depende de una clave que suministra el dominio de destino al de origen, para codificar y descodificar la información de contraseña. La separación del proceso de configuración de la migración de contraseñas de la configuración de migración de cuentas de usuarios suele reportar menos problemas, y podrá aislar los mismos de una manera más rápida. La configuración de la migración de con- 4 MAYO 2004 WINDOWS TI MAGAZINE

6 traseñas comienza en el DC de origen. El primer paso consiste en extender los permisos asociados con el grupo Todos del dominio de origen para incluir usuarios anónimos. Para hacerlo, abra el componente Directiva de Seguridad de Dominio de MMC. Expanda Opciones de Seguridad y Directivas Locales para obtener la lista de las opciones de seguridad disponibles Habilite la opción Acceso a red: Permitir que los permisos a Todos se apliquen a los usuarios anónimos, tal y como muestra la Figura 6. El siguiente paso consiste en generar un archivo de claves de contraseñas en el DC de destino (IKDOM2, en nuestro escenario de ejemplo). ADMT ofrece una utilidad de secuencia de mandatos para generar dicha clave. Un ejemplo de mandato para generar una clave es el siguiente: Admt key ikdom01 c:\test * donde el que key especifica que desea generar una clave, ikdom01 indica el dominio de origen, C:\test especifica la carpeta en la que se crea el archivo de la clave, y * activa un indicador para introducir una contraseña para el archivo de la clave durante el proceso de generación de clave. La Figura 7 muestra que el mandato de ejemplo ha creado el archivo de clave C:\test\4A662TSJ.pes. Además, en la secuencia de mandatos en el DC de destino deberá introducir lo siguiente en una secuencia: net localgroup Pre-Windows 2000 Figura 7: Ejecución del mandato Admt Key Compatible Access Everyone \Add y luego reiniciar el DC de destino. A continuación, preste atención a dominio de origen. Aunque hemos utilizado el PDC del dominio IKDOM01 como el equipo de origen durante la migración de las cuentas de usuario, Microsoft recomienda utilizar un BDC de producción como servidor de exportación de la contraseña. De esta manera tendrá menos probabilidades de que se produzca un error: el BDC normalmente tiene ciclos no utilizados y la configuración requiere reiniciar el equipo, que deberá realizar en su BDC en lugar de en su PDC. No obstante, utilizar un BDC no es obligatorio, ya que puede instalar el software necesario en un PDC. Encontrará el software en la subcarpeta pwdmig de la carpeta que creó el archivo admt2.exe cuando ejecutó el archivo en el DC de destino. Copie la carpeta pwdmig y el archivo de clave que generó en el DC de destino al DC de origen, luego ejecute el archivo de instalación de servidor de exportación de contraseñas en el DC de origen. En un sistema NT 4.0 deberá ejecutar el archivo \pwdmig\pwdmig.exe para instalar el servidor de exportación de contraseñas (en un sistema Windows 2003 o Windows 2000 deberá ejecutar el archivo \pwdmig\pwdmig.msi). La instalación del servidor de exportación de contraseñas le indicará la ruta del archivo de claves *.pes. La instalación también le instará a que introduzca la contraseña (en caso de haberla) que especificó para este archivo. Una vez instalado el servidor de exportación de contraseñas, deberá reiniciar el sistema, pero primero tendrá que editar el registro en el DC de origen, por lo que sólo tendrá que reiniciarlo una vez. Establezca el valor DWORD AllowPasswordExport en la subclave de registro HKEY_LO- CAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa para habilitar la exportación de contraseñas. Después de cambiar esta configuración, reinicie el DC de origen. A continuación, puede utilizar el Asistente de Migración de Cuentas de usuario en el DC de destino para migrar contraseñas junto con las cuentas de usuario. Nos hemos dado cuenta de que el proceso de migración de contraseñas tiende a producir errores. AVANZANDO CON ADMT Ya hemos visto cómo trabajar con ADMT 2.0 desde su GUI y, en menor medida, su interfaz de secuencia de mandatos. Una nueva funcionalidad de la versión 2.0 que no le hemos mostrado es como utilizar su interfaz de programación. Esta interfaz no sólo le confiere la capacidad de referenciar el conjunto de comandos de la secuencia de mandatos de ADMT desde un script, sino que expone un conjunto completo de interfaces de objetos a los que pueden referenciar los scripts administrativos. Si desea utilizar ADMT en un script, comience con el ejemplo que se instala con la herramienta. Templatescript.vbs muestra los parámetros estándar para trabajar con las distintas interfaces, además de ofrecer un código de ejemplo que crea y manipula la interface ADMT.Migration. ADMT 2.0 es una herramienta potente que soporta no sólo la transición desde una versión de Windows a otra nueva, sino que también permite mantener y consolidar los dominios de su empresa d euna manera continua. Si aprovecha estas capacidades mejoradas para migrar objetos de directorio, podrá soportar los cambios en su directorio de producción y el crecimiento dinámico de su infraestructura empresarial. Las próximas versiones de ADMT sin duda mejorarán la capacidad de consolidar e incluso quizás separar elementos de su estructura de directorios. ADMT seguirá siendo un elemento de gran importancia dentro de su caja de herramientas de mantenimiento de AD. WINDOWS TI MAGAZINE MAYO