สอบถามเรื่องการ Active Directory Migration ครับ (Client)

[Mongkol Kitithananuwat]

บริษัท A ต้องการเปลี่ยนแปลง Infra ภายในโดยย้าย User จาก Domain A.local ไปยัง Domain B.local ซึ่งทั้ง 2 Domain ไม่เกี่ยวข้องใดๆกัน เป็น New Forest เลยครับ

1. การย้าย User จาก Domain A ไปยัง Domain B สามารถใช้ ADMT ได้ใช่ไหมครับ และมีข้อกำหนดอะไรบ้างครับ

2. เครื่อง Client ของ User C ซึ่ง Joint อยู่ Domain A.local ต้องทำอย่างไรบ้างครับ หลังจากที่ User ใน AD โดนย้ายไป B.local

- User Profile ที่อยู่ในเครื่อง Client ของ User C (My Document, Video, Picture, ... ) ต้องทำอย่างไรบ้างครับ หลังจากที่ Login Domain B เพื่อที่จะสามารถใช้งานได้ดังเดิม

- ถ้า Client จำเป็นต้อง Joint เข้า Workgroup ก่อนไหม แล้วจึง Joint เข้า Domain B เลย จะสามารถใช้ User Profile ที่เคยเป็นของ Domain ได้เลยไหมครับ

[Thanyapon Sananakin]

วิธีการ migrate user ข้าม forest สามารถทำได้ง่ายๆ ขั้นตอนสรุปมีดังนี้ครับ
1. ทำ Forest Trust ระหว่าง domain ทั้ง 2 domain
2. ทำการใช้ ADMT (Active Directory Migration Tools) ใน version ที่เหมาะสมกับ OS ของ AD เพื่อทำการย้าย domain object จาก forest ต้นทางไปยัง forest อีก forest หนึ่ง
ซึ่งการย้าย domain object นั้นประกอบด้วยขั้นตอนสรุป ดังนี้
2.1 migrate group ต่างๆ
2.2 migrate user และ group membership
2.3 migrate computer object

ซึ่งในการ migrate computer object นั้น ADMT จะทำการ replace permission ต่าง ๆ เช่น file, folder, profile จาก forest ต้นทาง ไปยัง forest ปลายทาง ให้โดยวอัตโนมัติ ดังนั้นหากการ migrate เสร็จสมบูรณ์ จะทำให้ user สามารถใช้งานได้ โดยไม่รู้สึกถึงความเปลี่ยนแปลงใดๆ ครับ

ปล. ในระหว่างการ migrate ต้องมีการ สร้าง sid history ขึ้นด้วย เช่นสมมุติว่า user1 อยู่ domainA.com จะมี SID เป็นเบอร์ SID1 เมื่อใช้ ADMT ย้ายไปอยู่ domainB.com แน่นอนว่า SID ของ object ต้องเปลี่ยน สมมุติว่าเป็น SID2

ดังนั้น user1 ที่ domainB จะไม่สามารถไปเข้าถึง resource ที่ domainA ได้ เนื่องจาก SID เปลี่ยนไป ดังนั้นการใช้งาน SID History จึงเป็นการสร้าง SID อีกหมายเลขหนึ่งไว้ให้กับ user1 ดังนั้น user1 จะมี SID เป็น SID2 และ SID History เป็น SID1 ดังนั้นคราวนี้ user1 จะสามารถไปใช้งานทรัพยากรต่างๆ ที่ domainA ได้ตามสิทธิที่เคยได้รับไว้

ทั้งนี้ domainA และ DomainB จะต้องกำหนดให้ ปิดการใช้งาน Domain Quarantine ด้วย ไม่เช่นนั้นจะไม่สามารถใช้งาน SID History ในลักษณะดังกล่าวได้ครับ

ตอบโดยสรุปประมาณนี้นะครับน่าจะครอบคลุมคำถามทั้งหมดแล้วครับ ส่วนที่ถามว่าจะต้อง join workgroup ก่อนหรือไม่ นั้น ตอบได้ว่าไม่จำเป็นครับ ใช้ ADMT ก็ครอบคลุมแล้วครับ

หาข้อมูลเกี่ยวกับการใช้งาน ADMT ได้ใน ADMT Guide: Migrating and Restructuring Active Directory Domains

[Mongkol Kitithananuwat]

ขอบคุณมากครับพี่

ไว้ขอไปทดลองดูก่อนนะครับ ติดปัญหาอะไรจะรบกวนถามอีกนะครับ

[Atomdoline]

เราว่าจะไปสอบถามพรุ่งนี้