Automatisch aktivierte SID-Filterung
Der SID-Filter wird automatisch aktiviert, wenn eine Vertrauensstellung zu einer externen Domäne eingerichtet wird. Wenn Sie also mit Windows Server 2012 R2 eine neue Vertrauensstellung einrichten, um Daten zu übernehmen, müssen Sie die SID-Filterung beachten. Mit ihr werden ausgehende Vertrauensstellungen gesichert. Dadurch soll verhindert werden, dass Administratoren in der vertrauten (trusted) Domäne unberechtigt Berechtigungen innerhalb der vertrauenden (trusting) Domäne vergeben.
Das Filtering stellt sicher, dass sich in der vertrauenden Domäne ausschließlich Benutzer aus der vertrauten Domäne authentifizieren dürfen, deren SID die Domänen-SID der vertrauten Domäne enthalten. Wenn die SID-Filterung deaktiviert ist, könnte ein außenstehender Benutzer, der Administratorrechte in der vertrauten Domäne besitzt, den Netzwerkverkehr der vertrauenden Domäne abhören und die SID eines Administrators auslesen. Im Anschluss kann er diese SID seiner eigenen SID-History anhängen. Durch diesen Vorgang würde also ein Administrator der vertrauten Domäne zu Administratorrechten in der vertrauenden Domäne gelangen. Durch die Aktivierung der SID-Filterung ist es allerdings auch möglich, dass die SID-History der Anwender ignoriert wird, die diese unter Umständen aus anderen Domänen durch eine Migration erhalten haben. In diesem Fall könnten Probleme bei der Authentifizierung bei Ressourcen auftreten.
Daher kann der SID-Filter nicht immer eingesetzt werden. Wenn Sie für Ressourcen in der vertrauenden Domäne Berechtigungen für eine universale Gruppe aus Active Directory der vertrauten Domäne vergeben, müssen Sie zuvor sicherstellen, dass diese universale Gruppe auch in der vertrauten Domäne erstellt wurde und nicht in einer anderen Domäne von Active Directory. Wurde die universale Gruppe nicht in der vertrauten Domäne erstellt, enthält sie auch nicht die SID dieser Domäne und darf durch die SID-Filterung nicht auf die Ressourcen in der vertrauenden Domäne zugreifen. Aus den genannten Gründen, vor allem bei Migrationen oder Vertrauensstellungen zu Domänen eines anderen Active Directorys, kann es sinnvoll sein, die SID-Filterung zu deaktivieren.
Die Deaktivierung der SID-Filterung erfolgt über das Befehlszeilen-Tool netdom. Um die SID-Filterung zu deaktivieren, geben Sie in der Eingabeaufforderung den folgenden Befehl ein:
netdom trust <VertrauendeDomäne> /domain:<VertrauteDomäne> /quarantine:no /userD:<Domänenadministrator> /passwordD:<KennwortDesDomänenAdministrators>
Sie können die SID-Filterung wieder ganz einfach aktivieren, indem Sie die Option /quarantine auf yes setzen, also mit dem Befehl:
netdom trust <VertrauendeDomäne> /domain:<VertrauteDomäne> /quarantine:yes /userD:<Domänenadministrator> /passwordD: <KennwortDesDomänenAdministrators>
Dateien und Freigaben migrieren
Eine wichtige Aufgabe bei der Migration ist die Übernahme der Dateien und der Freigaben auf neue Server. Microsoft empfiehlt die Übernahme der Daten mit Robocopy, das zu den Bordmitteln von Windows Server 2012 R2 gehört. Verwenden Sie zum Beispiel folgenden Befehl:
robocopy \\<Quellserver>\Users \\<Zielserver>\UserShares /E /COPY:DATSOU /R:10 /LOG:C:\migration.txt
Wenn Sie Datei- oder Ordnernamen kopieren, die ein Leerzeichen enthalten, geben Sie den Pfad in Anführungszeichen an, zum Beispiel
Robocopy "\fs01\einkauf\lieferanten 2011" \fs01\archiv\einkauf
Alle Optionen verwendet das Tool von links nach rechts. Nach unserer Erfahrung verwenden die meisten Administratoren die Option /MIR, weil damit schnell und einfach eine Spiegelung eines Ordners angelegt wird. Um die Daten in einer Freigabe auf einen anderen Rechner zu spiegeln, schreiben Sie am besten ein Skript mit dem Befehl:
robocopy <Quellordner> <Sicherungslaufwerk>:\<Sicherungsordner> /mir
Mit dem Befehl
robocopy c:\users\thomas\documents y:\backup /mir
kopiert Windows die Ordner und Dateien aus dem Dokumente-Ordner auf das Laufwerk Y: in den Ordner backup. Die Option /mir kopiert nur geänderte Dateien und löscht Dateien im Zielordner, die im Quellordner nicht mehr vorhanden sind. Das heißt, der erste Kopiervorgang dauert recht lange, da erst alle Dateien kopiert werden müssen. Der zweite geht dann deutlich schneller, da nur geänderte Dateien kopiert werden. Löschen Sie im Quellordner eine Datei, löscht der Kopiervorgang diese auch im Backup-Ordner.
So erhalten Sie immer eine 1:1-Kopie Ihrer wichtigsten Daten. Sie können ohne Weiteres auch mehrere Ordner sichern. Verwenden Sie in diesem Fall einfach mehrmals den Befehl nacheinander in einem Skript.