Migration zu Windows Server 2019/2022 mit dem ADMT Das Microsoft Active Directory Migration Tool im Einsatz

Anbieter zum Thema

Microsoft Deutschland GmbH

Lenovo Global Technology Germany GmbH

Paessler AG

Southern Tech GmbH

Mit dem Microsoft Active Directory Migration Tool können Admins von vorhergehenden Versionen zu Windows Server 2019/2022 migrieren. Sinnvoll ist das, wenn im Rahmen der Migration von Windows Server 2012/2016 eine neue Umgebung aufgebaut werden soll.

Für die Migration von Benutzerkonten aus Active Directory zwischen verschiedenen, getrennten Domänen, sind in den meisten Fällen keine teuren, externen Tools von Drittanbietern notwendig. Auch die komplette Neuanlage von Benutzern in der neuen Domäne lässt sich vermeiden. Wenn bei der Migration von Windows Server 2012/2016 zu Windows Server 2019/2022 die Benutzerkonten in eine neue Domäne installiert werden sollen, kann das Microsoft Active Directory Migration Tool (ADMT) genau das richtige Werkzeug sein.

Migration für das ADMT vorbereiten

Da für die Migration auf einem Domänencontroller der Quell-Domäne Anwendungen installiert werden müssen, zum Beispiel das ADMT, SQL Server Express und das SQL Server Management Studio, kann es sinnvoll sein, für die Migration einen weiteren Domänencontroller in der Quell-Domäne zu installieren, zum Beispiel als VM. Dieser Computer wird für die Migration genutzt und stellt sicher, dass durch die Installation von Programmen nicht die vorhandenen Domänencontroller Probleme bekommen. Sinnvoll ist es an dieser Stelle, entweder Windows Server 2016 zu verwenden, wenn der Funktionsmodus der Domäne das erlaubt, oder das gleiche Betriebssystem das auch auf den anderen Domänencontrollern installiert ist.

Bildergalerie

Bildergalerie mit 12 Bildern

AD-Funktionsmodus von Windows Server 2016 gilt auch für Server 2019/2022

Der Klassiker wurde ursprünglich zwar für Windows Server 2008/2012 entwickelt, steht aber in der aktuellen Version auch für neuere Serverversionen zur Verfügung. Schlussendlich liegt das auch daran, dass in Windows Server 2019 und in Windows Server 2022 immer noch der Funktionsmodus "Windows Server 2016" für Active Directory die aktuelle Version ist, und sich bei der Installation problemlos auch ein älterer Modus einstellen lässt, der nach der Migration aktualisiert werden kann. Das ist für das ADMT nicht unbedingt notwendig, aber möglich, wenn in einzelnen Umgebungen die Migration in diesem Fall besser läuft.

Active Directory Migration Tool 3.2 nutzen

Die aktuelle Version des Active Directory Migration Tool (ADMT) ist die Version 3.2 aus 2020. Da das Tool ohnehin nur im Rahmen der Migration eingesetzt wird, und nicht dauerhaft läuft, sind Sicherheitspatches nicht notwendig. Hinzu kommt, dass das Tool ohnehin nur in internen Netzwerken eingesetzt wird. Wenn die Migration abgeschlossen ist, kann das Tool einfach deinstalliert werden.

Das ADMT lässt sich problemlos zur Migration von alten Domänen auf Basis von Windows Server 2008/2012/2016 zu Windows Server 2019 und Windows Server 2022 nutzen.

Einschränkungen des ADMT beachten

Wer das Tool auf aktuelleren Serverversionen einsetzt, sollte sich zunächst auf der Seite "Supportrichtlinie und bekannte Probleme für das Active Directory-Migrationstool" die Einschränkungen, Probleme und Voraussetzungen für das ADMT genauer anschauen.

Ein bekanntes Problem beim Einsatz von ADMT ist die Sicherheitsfunktion "Windows Defender Credential Guard". Die Schutzfunktion gab es bereits in Windows Server 2016 und sie ist ebenfalls in Windows Server 2019/2022 aktiv. Im Rahmen der Migration kann es in der neuen Domäne daher sinnvoll sein, Windows Defender Credential Guard zeitweise zu deaktivieren. Wie das geht ist im Dokument "Deaktivieren Sie Windows Defender Credential Guard" zu finden. Die Deaktivierung lässt sich über Gruppenrichtlinien, über eine Änderung der Registry oder per Skript ausführen.

Vertrauensstellung einrichten, SQL Server Express installieren

Für die Installation von Benutzerkonten zwischen zwei Domänen, muss zuerst eine bidirektionale Vertrauensstellung zwischen Quell- und Ziel-Domäne eingerichtet werden. Damit das funktioniert, müssen sich die Server vom Namen gegenseitig auflösen können. Es ist daher wichtig, dass die Namensauflösung zwischen den beiden Domänen funktioniert, zum Beispiel mit bedingten Weiterleitungen des DNS-Servers. Erst wenn die Namensauflösung stabil und zuverlässig funktioniert, sollten Sie die Vertrauensstellung einrichten. Können sich die beiden Domänen gegenseitig auflösen, kann die Vertrauensstellung eingerichtet werden:

• Ruf Sie im Snap-In "Active Directory-Domänen und Vertrauensstellungen" die Eigenschaften der Domäne auf, von der die Vertrauensstellung ausgehen soll.

• Wechseln Sie in den Eigenschaften zur Registerkarte "Vertrauensstellungen".

• Klicken Sie auf die Schaltfläche "Neue Vertrauensstellung". Geben Sie auf der zweiten Seite den Namen der Domäne an, zu der Sie eine Vertrauensstellung einrichten wollen.

• Wählen Sie als Nächstes die Art der Vertrauensstellung aus.

Für das Speichern seiner Daten braucht das ADMT Zugriff auf einen SQL-Server. Hier ist es problemlos möglich, die aktuelle Version von SQL Server Express herunterzuladen und zu installieren. Darüber hinaus ist es zur Verwaltung von SQL Server Express sinnvoll, das SQL Server Management Studio zu nutzen. Dieses lässt sich ebenfalls kostenlos herunterladen und installieren https://aka.ms/ssmsfullsetup.

ADMT auf dem Quell-Server installieren

Die Installation des ADMT 3.2 erfolgt auf dem Quell-Server, von dem Benutzerkonten zum Ziel-Server umgezogen werden sollen. Im Rahmen der Installation ist die Angabe des SQL-Servers notwendig. Handelt es sich dabei nicht um den lokalen Server, muss darauf geachtet werden, dass die Firewallregeln vom Domänencontroller zum Datenbankserver so gesetzt sind, dass der Zugriff über das Netzwerk funktioniert. Hinweise dazu sind im Beitrag "Firewallregeln für SQL Server steuern" zu finden. Wichtig ist vor allem das Öffnen der Ports TCP/UDP 1433-1434 in der Windows-Firewall auf dem SQL-Server.

Wurde SQL Express auf dem Domänencontroller installiert, von dem die Daten aus der Quell-Domäne migriert werden sollen, kann auch einfach ".\SQLEXPRESS" im Fenster eingetragen werden. Bei "Database Import" verwenden Sie "No, do not import data…". Nach der erfolgreichen Installation sollte im SQL Server Management Studio überprüft werden, ob die Datenbank "ADMT" angelegt wurde.

Erste Schritte mit dem ADMT

Nach der Installation des ADMT auf dem Quell-Server ist das Tool in der Programmgruppe "Windows-Verwaltungsprogramme" zu finden. Nach dem Start können über das Kontextmenü von "Active Directory Migration Tool" innerhalb der Konsole die verschiedenen Assistenten gestartet werden, mit denen die Migration durchgeführt werden kann.

Grundsätzlich ist es sinnvoll das Benutzerkonto, mit dem die Migration durchgeführt wird, zu den Domänen-Admins auf der Ziel-Domäne hinzuzufügen und darauf zu achten, dass dieses Konto auch bei der Quell-Domäne zu den Domänen-Admins gehört. In der Ziel-Domäne kann dazu ein eigenes Konto angelegt werden, das in beiden Domänen (Quelle und Ziel) in die Gruppe der Domänen-Admins aufgenommen werden sollte.

Der Benutzer sollte darüber hinaus im SQL Server Management Studio bei "Security -> Logins" angelegt werden. Dazu wird in der Quell-Domäne auf dem Quell-Server in der SQL-Datenbank der Admin-Benutzer angelegt, der in der Ziel-Domäne angelegt wurde. Das stellt gleichzeitig auch sicher, dass die Namensauflösung und die Kommunikation zwischen den beiden Domänen funktioniert. Der Benutzer muss in seinen Eigenschaften bei "User Mapping" das Recht "db_owner" für die Datenbank "ADMT" erhalten. Sobald die Einstellungen vorgenommen wurden, lässt sich die Migration über das Kontextmenü von "Active Directory Migration Tool" innerhalb der Konsole starten.

(ID:49331523)