MAGRET V8 Mise à niveau et migration du contrôleur de domaine sous Windows 2008 R2

Transcription

1 2011 MAGRET V8 Mise à niveau et migration du contrôleur de domaine sous Windows 2008 R2 Mission TICE 05/2011

2 Sommaire 1. PRELIMINAIRES PREPARATION D ACTIVE DIRECTORY MISE A NIVEAU DU CONTROLEUR WINDOWS 2003 EN WINDOWS 2008 R Installation de Windows 2008 R Opérations de post-installation Vérification des rôles et des fonctionnalités de sécurité Activation de Windows Vérification des pilotes de périphériques Ajout de la fonctionnalité Gestion des stratégies de groupe MIGRATION DU CONTROLEUR DE DOMAINE SOUS WINDOWS 2003 VERS UN NOUVEAU CONTROLEUR SOUS WINDOWS 2008 R Préparation du nouveau serveur Réplication d Active Directory Suppression de services sur le Serveur Services MAGRET Service DNS Service DHCP Service IIS Transfert des données de Serveur01 vers Serveur Installer le Ressource Kit Tools sur le serveur Recopier les fichiers de Magret Sauvegarder les partages Sauvegarde des applications du Serveur Copie de la partition Utile du Serveur01 vers Serveur Transfert des rôles FSMO de Serveur01 à Serveur Transférer le rôle de contrôleur de schéma Transférer le rôle Maître d'attribution de noms de domaine Transférer les rôles de Maître RID, d'émulateur PDC et de Contrôleur d'infrastructure Rétrograder l ancien contrôleur de domaine Finaliser le nouveau contrôleur de domaine Supprimer Serveur01 dans Sites et Services Supprimer Serveur01 dans le Gestionnaire DNS Adresser et renommer Serveur02 en Serveur Installation du service DHCP Installation des services Magret Remise en place des partages Finitions diverses

3 1. PRELIMINAIRES Deux cas seront développés dans ce document : La mise à niveau d un contrôleur de domaine de Windows 2003 Server à Windows 2008 R2. Attention cette mise à niveau ne peut pas modifier l architecture x86 ou x64 du système initial. La migration d un contrôleur de domaine sous Windows 2003 Server vers un nouveau contrôleur de domaine sous Windows 2008 R2 (32 ou 64b si le processeur est compatible). Le premier cas ne comporte aucun caractère obligatoire, et ne doit être envisagé que pour des situations particulières où l on dénombre une grande proportion de stations Windows Seven Professionnel sur le réseau. Plusieurs impératifs sont à respecter : Serveur récent et puissant : 4 Go RAM mini, processeur multi-cœurs, espace libre minimal de 6,4 Go sur la partition système. Présence d un support et d une licence officielle pour Windows 2008 R2 de type MAK en 32 ou 64b selon l architecture initiale de la machine disponible. Tout programme «exotique» dont la présence n est pas fondamentale sur le serveur doit être au préalable supprimé, pour éviter les problèmes de compatibilité avec Windows Le deuxième cas sera celui plus fréquent où l établissement reçoit un serveur pédagogique en dotation, accompagné d une licence OEM de Windows 2008 R2 (en général 64b). Dans tous les cas il est fortement conseillé d éviter la présence d autres contrôleurs secondaires de domaine en Windows 2000 ou 2003 : s il en existe, ils devront être dégradés en serveurs membres avec la certitude que l ensemble des rôles FSMO sont bien assumés par le contrôleur à mettre à niveau ou à migrer. Le passage à Magret V8 peut s effectuer avant ou après la mise à niveau ou la migration vers le serveur Windows Néanmoins la modification des stratégies de groupe sera plus facile sous Windows 2003, si l on ne maîtrise pas encore l outil GPMC de Windows De plus il est essentiel qu aucun utilisateur ne soit connecté sur le domaine pendant ces opérations. Une précaution minimale consiste, avant toute opération, à réaliser une sauvegarde du System State du contrôleur à mettre à niveau ou à migrer. Le «System State» regroupe en une sauvegarde l ensemble du dossier Windows\Sysvol qui inclut Active Directory, la base de registres et les dll de Windows\System32. On utilise l outil de sauvegarde inclus dans les outils système. 2

4 3

5 Cocher System State. Indiquer un emplacement sécurisé pour la sauvegarde. 4

6 Choisir Terminer pour lancer la sauvegarde. Celle-ci s effectue en quelques minutes. 5

7 2. PREPARATION D ACTIVE DIRECTORY La mise à niveau ou la migration du contrôleur de domaine passe d abord par la préparation d Active Directory dont le schéma doit passer de la structure 31 à 47. On introduit le DVD de Windows Server 2008 R2 64b Standard Edition et l on se positionne en ligne de commande sur le dossier Support\Adprep. Généralement, le contrôleur de domaine à mettre à niveau est sous Windows 2003 en version 32b (architecture x86). On lance la préparation de la forêt par adprep32 /forestprep. Si le contrôleur Windows 2003 possède déjà une architecture x64, on exécute la commande adprep /forestprep Dans tous les cas, après lecture du message d avertissement, taper «C» pour continuer. L annuaire va être mis à niveau schéma par schéma jusqu à la structure 47. 6

8 7

9 8

10 Si la commande de préparation de la forêt aboutit correctement, on peut lancer la préparation du domaine par adprep32 /domainprep (adprep /domainprep sur un système 64b): Il est ensuite nécessaire de mettre à jour les objets GPO existants par la commande adprep32 /domainprep /gpprep (adprep /domainprep /gpprep sur un système 64b) : 9

11 La mise à niveau d Active Directory est terminée. Remarque : une quatrième commande est disponible pour l utilitaire adprep (/domainprep /rodcprep) mais elle n a aucune utilité sur nos réseaux pédagogiques classiques, car elle permet de préparer AD pour des contrôleurs de domaine en lecture seule. 3. MISE A NIVEAU DU CONTROLEUR WINDOWS 2003 EN WINDOWS 2008 R Installation de Windows 2008 R2 Le support de Windows 2008 R2 étant présent dans le lecteur du serveur, lancer son exécution automatique. Pour une opération de durée raisonnable, on ne téléchargera pas les dernières mises à jour. 10

12 11

13 On choisit de mettre Windows à niveau, mais l opération échouera si l espace libre de la partition système est insuffisant : 12

14 Si l espace est suffisant, le processus continue et affiche un rapport sur la compatibilité. 13

15 Laisser tranquillement s opérer la mise à niveau. Au moins un redémarrage aura lieu pendant celle-ci Opérations de post-installation Vérification des rôles et des fonctionnalités de sécurité Au premier démarrage sous Windows 2008, s ouvre le gestionnaire de serveur, qui permet de vérifier les rôles et fonctionnalités de celui-ci. Les fonctionnalités sous Windows 2003 (Contrôleur de domaine, serveur DNS, serveur DHCP, serveur Web,...) sont systématiquement conservées et ont été mises à niveau. 14

16 Certaines fonctionnalités de sécurité sont néfastes pour le serveur MAGRET, en particulier les trois pare-feu intégrés. Si le service pare-feu était désactivé sous Windows 2003, les trois pare-feu de 2008 (privé, public et de domaine) sont normalement désactivés. On le vérifie dans le gestionnaire de serveur : 15

17 Si nécessaire le lien Propriétés du Pare-feu Windows permettra de les désactiver. Il est également préférable de désactiver le contrôle de compte utilisateur (UAC). Depuis le panneau de configuration, on ouvre les comptes Utilisateurs (locaux du serveur) et on suit le lien Activer ou désactiver le contrôle des comptes utilisateurs. On décoche dans l écran suivant la case Utiliser le contrôle des comptes utilisateurs. Le redémarrage est requis Activation de Windows La mise à niveau vers Windows 2008 nécessite une activation, sauf si utilisation d un DVD OEM fourni par le fabricant. Depuis les outils système on lance le processus d activation et l on saisit la clef d activation : 16

18 Si cette clef est valide, le processus aboutit. 17

19 Vérification des pilotes de périphériques Depuis le gestionnaire de périphériques (clic droit sur Ordinateur, Gérer), on contrôle si tous les composants ont bien été reconnus lors de la mise à niveau vers Windows Si nécessaire, on recherche les nouveaux pilotes sur le site du fabricant Ajout de la fonctionnalité Gestion des stratégies de groupe Windows 2008 R2 intègre la version 2 de GPMC (Group Policy Management Console) qui va permettre de gérer les stratégies de groupe mais également de prévoir les stratégies résultantes sur les objets de l Active Directory. 18

20 Depuis le gestionnaire de serveur, qui permet de lister les fonctionnalités installées, on lance l assistant d ajout de nouvelles fonctionnalités. On choisit la fonctionnalité Gestion des stratégies de groupe. 19

21 Installation réussie. 20

22 Le composant Gestionnaire des stratégies de groupe est alors disponible dans les outils d administration. 21

23 4. MIGRATION DU CONTROLEUR DE DOMAINE SOUS WINDOWS 2003 VERS UN NOUVEAU CONTROLEUR SOUS WINDOWS 2008 R Préparation du nouveau serveur Elle s effectue selon la documentation MagretV8_Installation_Serveur, mais ce dernier sera dénommé Serveur02. Dans un premier temps, il faut promouvoir Serveur02 en contrôleur de domaine supplémentaire. Il s intègrera de lui-même dans l unité d organisation «Domain Controlers» et ne récupèrera que les stratégies nécessaires. Donner une adresse fixe TCP/IP et mettre comme DNS l adresse IP du serveur01. Faire un DCPROMO (Démarrer -> Exécuter ->taper "dcpromo" puis Entrée) sur le Serveur02. 22

24 Choisir d ajouter un contrôleur de domaine à un domaine existant. 23

25 Cliquer sur Définir, pour s authentifier en administrateur du domaine. 24

26 25

27 Avertissement expliquant que le nouveau contrôleur ne pourra être en lecture seule. On continue. On est amené ensuite à sélectionner des options supplémentaires pour le contrôleur : Serveur DNS et Catalogue global sont proposés par défaut. On conserve ces options. 26

28 Le serveur n ayant pas encore contacté le domaine, sa zone DNS parente n est pas joignable. C est normal, on continue. 27

29 On indique un mot de passe pour la restauration d Active Directory. Il y a lieu de choisir un mot de passe usuel pour un éventuel démarrage en mode de restauration... 28

30 29

31 Fin de l installation. Le redémarrage est requis. Pour s authentifier sur ce nouveau contrôleur au redémarrage, il faudra s authentifier en D_Etab\Administrateur : 4.4. Réplication d Active Directory Pour que cette réplication s effectue d une façon optimale, les deux contrôleurs doivent être synchronisés temporellement. 30

32 Sur le Serveur02 exécuter en ligne de commande : Net time \\Serveur02 /Set \\Serveur01 Attendre le remplissage du dossier Sysvol sur serveur02. La réplication d Active Directory vers un contrôleur sous Windows 2008 est bien plus rapide que vers un contrôleur Windows Si des problèmes surgissent, il faudra suivre les indications du journal d évènement Système, qui donne des pistes pour leur résolution. Par exemple : Dans tous les cas, il faudra obtenir une réplication complète avant d entamer les opérations suivantes. 31

33 4.5. Suppression de services sur le Serveur Services MAGRET Depuis le gestionnaire de services arrêter les services Magret. On pourra les désinstaller en exécutant les commandes : - Exécuter -> C:\Magret\Services\SrvLogPwd.exe /uninstall - Exécuter -> C:\Magret\Services\SrvMag2Slis.exe /uninstall - Exécuter -> C:\Magret\Services\SrvAtelIWeb.exe /uninstall Pour ne pas ralentir les opérations ultérieures, on pourra arrêter les services dédiés à l antivirus Service DNS Serveur02 étant également serveur DNS, il a récupéré l ensemble des enregistrements de Serveur01. Néanmoins il faut lui configurer ses redirecteurs. Dans les outils d administration, lancer la console DNS et les propriétés du Serveur02. 32

34 Dans l onglet redirecteurs, choisir Modifier. 33

35 Pour les lycées reliés au réseau ASTER saisir les adresses et et attendre leur résolution (3 secondes normalement). Pour les collèges ou établissements non reliés à Aster, saisir uniquement l adresse du proxy SLIS. Modifier les propriétés TCP/IP de Serveur01, son DNS devenant le Serveur02 et modifier les propriétés de Serveur02 car son serveur DNS devient lui-même (on peut éventuellement utiliser l adresse de «loopback» ). Une fois ces modifications terminées, on peut supprimer le service DNS de Serveur01. On ouvre le gestionnaire de serveur et l on choisit ajouter/supprimer des rôles. 34

36 On sélectionne DNS dans la liste des rôles. 35

37 On coche Supprimer le rôle du serveur DNS. 36

38 Service DHCP Après avoir relevé les paramètres de l étendue DHCP du serveur01, pour pouvoir les reproduire ultérieurement sur le nouveau contrôleur de domaine, on peut supprimer ce rôle à partir du même assistant «Configurer votre serveur». On coche Supprimer le rôle du serveur DHCP. 37

39 Service IIS Selon l usage futur de l ancien serveur, on pourra conserver le service IIS, mais il faut supprimer les Webdav publiés sur celui-ci dans le site ENTMagret après son arrêt. S il n a plus d utilité le service IIS peut être supprimé à l aide du même assistant «Configurer votre serveur». 38

40 4.6. Transfert des données de Serveur01 vers Serveur02 A ce stade, le Serveur02 est le second contrôleur de domaine du domaine. Il possède donc une réplique de l'active Directory. Les actions suivantes vont consister à copier l'ensemble du contenu de la partition D sur Serveur01 vers celle du Serveur02 en conservant les droits et les partages, et recopier les fichiers propres à Magret Installer le Ressource Kit Tools sur le serveur01 Télécharger ce kit de ressources et l installer à partir du lien : B18C4790CFFD&displaylang=en On disposera ainsi en ligne de commandes de l utilitaire Robocopy. Celui-ci sera lancé systématiquement avec les options suivantes : Robocopy Source Destination /E /SEC /R:1 /W:1 /E : pour recopier les sous-dossiers même vides /SEC : pour recopier les sécurités NTFS (ACL sans les flux d audit) /R:1 un seul essai de recopie pour un élément (10 6 par défaut...) /W:1 une seconde entre essais (30s par défaut...) Recopier les fichiers de Magret A partir du Serveur01, le dossier à recopier sur le Serveur02 est C:\Magret. Il faut mapper le disque C du Serveur02 sous la lettre X : En ligne de commande, saisir Robocopy C:\Magret X:\Magret /E /SEC /R:1 /W:1 Les fichiers et dossiers sont recopiés avec les mêmes sécurités que sur le Serveur Sauvegarder les partages Il est indispensable de récupérer les partages pour pouvoir facilement les rétablir sur le Serveur02. Sur le Serveur01 arrêter tous les services qui pourraient gêner la copie de fichier comme MSDE ou Apache. Puis Démarrer, Exécuter, taper "regedit" puis Entrée. Développer le registre selon le chemin suivant : HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\Shares 39

41 Dans le cadre de gauche, faire un clic droit sur "Shares" puis "Registre" "Exporter un fichier du registre" Nommer le fichier de façon explicite ("SauvePartagesServeur01.reg" par exemple) et le conserver précieusement, il nous servira plus tard. 40

42 Sauvegarde des applications du Serveur01 Sauvegarder les applications «Client Serveur» implantées sur Serveur01. Par exemple : BCDI : dossier complet BCDIserv Antivirus : exécuter une tâche de sauvegarde de la base de données Console Ghost : exécuter l utilitaire de sauvegarde de la base de données Autres applications à vérifier : Licences Manager Tool pour les licences d AutoCAD, etc Copie de la partition Utile du Serveur01 vers Serveur02 Même méthode que pour le dossier Magret. A partir du Serveur01, le dossier à recopier sur le Serveur02 est D:\Utilisat. Il faut mapper le disque D du Serveur02 sous la lettre Y: 41

43 Avant d effectuer la copie complète des ressources des utilisateurs, et selon la version de Magret qui est employée (V6 ou V7), un nettoyage des espaces élèves (musique téléchargée, vidéos, fichiers temporaires, corbeilles) ainsi qu éventuellement une suppression complète des profils, s il existe un profil centralisé, peuvent faire gagner énormément de temps. En ligne de commande, saisir : Robocopy D:\Utilisat Y:\Utilisat /E /SEC /R:1 /W:1 On peut également utiliser Robocopy pour recopier les dossiers des applications : Robocopy D:\Winappli Y:\Winappli /E /SEC /R:1 /W:1 Robocopy D:\Outils Y:\Outils /E /SEC /R:1 /W:1 42

44 4.7. Transfert des rôles FSMO de Serveur01 à Serveur Transférer le rôle de contrôleur de schéma Les manipulations suivantes sont à faire sur le Serveur02. Cliquez sur Démarrer, cliquez sur Exécuter, tapez regsvr32 schmmgmt.dll dans la zone Ouvrir, puis cliquez deux fois sur OK. Cliquez sur Démarrer, cliquez sur Exécuter, tapez mmc dans la zone Ouvrir, puis cliquez sur OK. - dans le menu Fichier, cliquez sur Ajouter/Supprimer un composant logiciel enfichable. - cliquez sur Schéma Active Directory, cliquez sur Ajouter, cliquez sur Fermer, puis cliquez sur OK. - dans l'arborescence de la console, cliquez avec le bouton droit sur Schéma Active Directory, puis cliquez sur Changer de contrôleur de domaine. 43

45 - Dans la boîte de dialogue «Changer de serveur d annuaire», spécifier le nom du contrôleur de domaine qui va être le nouveau détenteur du rôle : Serveur02.<D-etab>.local, puis valider. - Revenir avec le bouton droit sur Schéma Active Directory, choisir Maître d'opérations et Modifier, valider. 44

46 Il est probable d obtenir le message d avertissement suivant, car Serveur02 est déjà serveur de catalogue global : On passe outre et on valide Transférer le rôle Maître d'attribution de noms de domaine Les manipulations suivantes sont à faire sur le Serveur02. - Démarrer, Programmes, Outils d'administration, puis cliquez sur Domaines et approbations Active Directory. - dans l'arborescence de la console, cliquez avec le bouton droit sur Domaines et approbations Active Directory, puis cliquez sur Maître d'opérations... - cliquez sur Modifier. - cliquez sur OK pour confirmer que vous voulez transférer le rôle, puis cliquez sur Fermer 45

47 Transférer les rôles de Maître RID, d'émulateur PDC et de Contrôleur d'infrastructure Les manipulations suivantes sont à faire sur le Serveur02 - Démarrer, Programmes, Outils d'administration, puis cliquez sur Utilisateurs et ordinateurs Active Directory - dans l'arborescence de la console, cliquez avec le bouton droit sur le domaine, puis cliquez sur Maître d'opérations. - cliquez sur l'onglet approprié pour le rôle que vous voulez transférer (RID, CDP et Infrastructure), puis cliquez sur Modifier - cliquez sur OK pour confirmer que vous voulez transférer le rôle, puis cliquez sur Fermer 46

48 4.8. Rétrograder l ancien contrôleur de domaine Sur Serveur01, Démarrer / Exécuter / dcpromo DECOCHER IMPERATIVEMENT "Ce serveur est le dernier contrôleur de domaine du domaine" puis Suivant. 47

49 Renseigner un mot de passe pour le futur administrateur local de la machine. 48

50 Si l opération échoue, avec le message suivant il faut vérifier l adressage de Serveur01 et le redémarrer pour recommencer l opération. 49

51 Pour terminer la rétrogradation, il faut modifier l adresse IP et renommer Serveur01 en Serveur03 ou tout autre nom au choix. Si X.Y est l adresse du réseau des serveurs du plan d adressage académique : Serveur Adresse IP Masque Passerelle DNS1 Pare-feu X.(Y+14) Routeur ADSL Serveur X.(Y+13) X.(Y+14) X.(Y+13) SLIS X.(Y+12) X.(Y+14) X.(Y+13) Serveur X.(Y+11) X.(Y+14) X.(Y+13) 4.9. Finaliser le nouveau contrôleur de domaine Supprimer Serveur01 dans Sites et Services Menu démarrer / Programmes / Outils d administration / Sites et services Active Directory. Clic droit sur Serveur01 et Supprimer Supprimer Serveur01 dans le Gestionnaire DNS Ouvrir le gestionnaire DNS et supprimer toutes les occurrences Serveur01 dans les zones de recherches directes et inversées. 50

52 51

53 Adresser et renommer Serveur02 en Serveur01 Modifier l adresse IP du Serveur02 en X.(Y+13), même adresse pour le DNS primaire. Depuis les paramètres système avancés, modifier le nom de l ordinateur en Serveur01. On passera outre l avertissement suivant. 52

54 Le redémarrage est impératif Installation du service DHCP A partir du gestionnaire de serveur ajouter le rôle Serveur DHCP et reprendre les paramètres de l étendue relevés au chapitre Installation des services Magret Installer les services magret : - Exécuter -> C:\Magret\Services\SrvLogPwd.exe /install - Exécuter -> C:\Magret\Services\SrvMag2Slis.exe /install - Exécuter -> C:\Magret\Services\SrvAtelIWeb.exe /install Avant de les démarrer, mettre ces trois services dans la connexion de D-Etab\Administrateur : dans le gestionnaire de services, on ouvre les propriétés des services Magret : 53

55 L onglet Connexion montre que le service utilise la session du compte System local. On choisit «Ce Compte», que l on ne remplit pas manuellement, et l on recherche via Parcourir, l Administrateur du domaine dans Active Directory : 54

56 On renseigne le mot de passe. Attention, en cas de changement de celui-ci pour l Administrateur du domaine, il faudra penser à le mettre à jour ici : 55

57 Remise en place des partages Normalement tous les partages présents sur D sont disponibles puisque le disque D a été complètement répliqué. Par contre si vous aviez des partages sur C, il faut replacer les dossiers de l'ancien serveur sur le nouveau pour que tout se passe bien. Une fois ces précautions prises, il ne vous reste plus qu'à copier le fichier SauvePartagesServeur01.reg extrait de la base de registre de l'ancien serveur sur le bureau du nouveau. Un double-clic dessus, à la question "Voulez-vous ajouter les informations..." répondre «Oui» puis redémarrer le serveur et tous les partages sont à nouveau disponibles Finitions diverses - Remplacer les raccourcis sur le bureau et dans le menu démarrer. - Réinstallation de l'antivirus serveur. - Réinstallation des applications Clients Serveur destinées à être encore hébergées sur Serveur01 (BCDI, autres,...) - Réimplanter les Webdav selon documentation MagretV8_Installation_Magret. 56