Hide navigation sidebar
Hide table of contents sidebar
Skip to content
SAMBA 4.24
Back to top
View this page
Toggle table of contents sidebar

# Migrer un domaine Samba vers un domaine Microsoft

Si vous avez des soucis avec votre Samba-AD, avant de vouloir vous compliquer la vie avec un MS-AD, passez nous un coup de fil pour en parler !

## Présentation de la procédure

Dans la documentation suivante, on suppose :

- Que le dernier serveur Samba-AD que l’on conservera dans le domaine jusqu’à la bascule vers MS-AD s’appelle samba-ad1.mydomain.lan.

- Que le serveur MS-AD temporaire nécessaire pour initier le processus de migration s’appelle ms-ad-temp.mydomain.lan.

- Que le premier MS-AD définitif qui sera conservé au terme de la migration s’appelle ms-ad-final1.mydomain.lan.

- Que le deuxième MS-AD définitif qui sera conservé au terme de la migration s’appelle ms-ad-final2.mydomain.lan.

Dans les instructions décrites ci-dessous, vous remplacerez mydomain.lan avec votre propre nom de domaine et les noms des machines par ceux de votre choix ;

La première machine Windows ms-ad-temp.mydomain.lan sera une machine de transition car il existe actuellement un soucis avec l’attribut `ntSecurityDescriptor` quand on joindra ms-ad-temp.mydomain.lan avec samba-ad1.mydomain.lan. On utilisera donc ms-ad-temp.mydomain.lan comme pivot. Ensuite on joindra ms-ad-final1.mydomain.lan à ms-ad-temp.mydomain.lan, ce qui assurera le bon fonctionnement de la réplication et la bonne application des ACLs sur la LDAP et le SYSVOL. Ensuite, on supprimera le contrôleur ms-ad-temp.mydomain.lan. Enfin, on joindra un deuxième contrôleur de domaine Windows ms-ad-final2.mydomain.lan au domaine Windows 2012R2, ce qui permettra de valider le bon fonctionnement global.

### Joindre un premier contrôleur de domaine MS-AD au domaine Samba-AD

- Syspréper une première machine Windows 2012R2 ms-ad-temp.mydomain.lan en suivant la documentation officielle de Microsoft .

- Intégrer ms-ad-temp.mydomain.lan dans le domaine Samba-AD en suivant la documentation pour joindre un AD Windows dans un domaine Samba-AD.

### Démoter les contrôleurs de domaine Samba-AD

Une fois que le MS-AD est joint correctement il faut démoter les serveurs Samba-AD. Pour cela il est préférable de supprimer toutes les références au domaine Samba-AD directement sur ms-ad-temp.mydomain.lan.

Note

Conceptuellement il est préférable de supprimer les références sur le serveur qui reste actif plutôt que de le faire sur le serveur que l’on veut supprimer.

- Supprimer tous les contrôleurs de domaine sauf samba-ad1.mydomain.lan. Pour cela, et pour chaque contrôleur du domaine Samba-AD, on execute la ligne de commande suivante sur samba-ad1.mydomain.lan :

      samba-tool domain demote  --remove-other-dead-server=<other-samba-servers>

- Eteindre les services Samba sur le dernier Samba-AD samba-ad1.mydomain.lan. Toutefois, on maintiendra encore un petit moment samba-ad1.mydomain.lan en fonctionnement pour continuer à bénéficier de la souplesse des commandes samba-tool pour certaines opérations ultérieures, et aussi pour rendre moins douloureux votre deuil de Samba .

      systemctl stop samba
      systemctl disable samba

- Supprimer le dernier contrôleur de domaine Samba-AD en lançant la commande suivante samba-ad1.mydomain.lan. On pointe l’exécution de la commande sur le MS-AD ms-ad-temp.mydomain.lan :

      samba-tool domain demote --remove-other-dead-server=samba-ad1 -H ldap://ms-ad-temp.mydomain.lan -U administrator

- Vérifier que les rôles FSMO ont été transférés lors du dernier demote. Il restera les rôles DomainDnsZones et ForestDNSZones qui n’auront pas été transférés, on force le transfert :

      samba-tool fsmo show -H ldap://ms-ad-temp.mydomain.lan -U administrator
      samba-tool fsmo seize --role=all -H ldap://ms-ad-temp.mydomain.lan -U administrator

- Nettoyer les entrées DNS. Dans une console DNS ouverte sur ms-ad-temp.mydomain.lan vérifier que les entrées DNS pour ms-ad-temp.mydomain.lan sont bien toutes présentes (champs A, NS, SRV, CNAME) et supprimer les références DNS à samba-ad1.mydomain.lan. On corrigera aussi les GLUE records (champ de type NS) pour le champ _msdcs dans la zone mydomain.lan (pas dans la zone _msdcs.mydomain.lan).

- Créer la zone inverse si elle n’existe pas encore puis créer le champ PTR pour ms-ad-temp.mydomain.lan ;

Désormais nous avons un domaine full Microsoft avec un seul contrôleur de domaine.

- Mettre à jour la forêt en niveau 2012R2 avec un Powershell :

      Set-ADDomainMode -identity mydomain.lan -DomainMode Windows2012R2Domain
      Set-ADForestMode -identity mydomain.lan -ForestMode Windows2012R2Forest

### Joindre le premier contrôleur de domaine Windows définitif

Pour finir la migration il est nécessaire de mettre un deuxième MS-AD en place et de réinitialiser la partie DFS-R pour la réplication du `SYSVOL` :

- Syspréper une deuxième machine Windows 2012R2 ms-ad-final1.mydomain.lan en suivant la documentation officielle de Microsoft.

- Joindre ms-ad-final1.mydomain.lan au contrôleur de domaine ms-ad-temp.mydomain.lan.

- Avec une console DNS ouverte sur ms-ad-final1.mydomain.lan, vérifier que les champs DNS sont bien tous présents.

- Sur ms-ad-final1.mydomain.lan, vérifier la réplication :

      repadmin /kcc
      repadmin /showrepl

- Démoter ms-ad-temp.mydomain.lan en exécutant la commande suivante sur samba-ad1.mydomain.lan (avec bien sûr les services Samba toujours arrêtés et désactivés) ;

      samba-tool domain demote --remove-other-dead-server=ms-ad-temp -H ldap://ms-ad-final1.mydomain.lan -U administrator

- Nettoyer les DNS ;

- Regénérer le DFS-R ;

      dfsrmig /createglobalobjects
      net stop dfsr
      net start dfsr

- Vérifier que le dcdiag est propre (Attention : le dcdiag peut afficher des erreurs eventlog qui peuvent être obsolètes et qui ne concernent pas la migration) ;

      dcdiag

### Joindre le deuxième contrôleur de domaine Windows définitif

Cette étape permet de valider le bon fonctionnement du domaine en environement MS-AD.

- Syspréper une troisième machine Windows 2012R2 ms-ad-final2.mydomain.lan en suivant la documentation officielle de Microsoft.

- Intégrer ms-ad-final2.mydomain.lan dans le domaine Windows en suivant la documentation pour joindre un AD Windows dans un domaine en s’arrêtant après la jonction. Après redémarrage le répertoire `SYSVOL` doit être correctement répliqué et les partages `SYSVOL` et `NetLogon` créés sans avoir à modifier la clef `SysvolReady`.

- Nettoyer les DNS (attention au champ CNAME _msdcs).

- Vérifier que la réplication est bonne en créant un fichier dans le dossier `SYSVOL` et en vérifiant qu’il se réplique bien.

### Eteindre définitivement votre Samba

- Sur votre samba-ad1.mydomain.lan, lancer la commande :

      shutdown -h now

- Optionnellement : mettre à jour votre CV.

Note

Désormais, vous avez un domaine Microsoft qui fonctionne de la même manière que votre domaine Samba-AD. Si votre domaine Samba-AD ne fonctionnait pas bien, alors votre domaine MS-AD ne fonctionnera pas mieux.

Vous pourrez toujours compter sur Tranquil IT pour vous aider car Samba et MS-AD, c’est avant tout comprendre et maîtriser le protocole Active Directory et nous espérons bien que cette documentation vous aura prouvé cette maîtrise.