В авто есть бардачёк, чтобы положить зарядку на Micro-USB.
И багажник, чтобы положить запасную канистру с бензином.
Так что вариант с «концом электричества» маловероятен.
Постараюсь объяснить в двух словах на пальцах как это было реализовано (хотя я искренне надеюсь, что вы никогда не столкнётесь с такой архитектурой):
В центральной точке был LDAP сервер, и работающая с ним Samba, которая считала себя PDC сервером.
На удалённых площадках тоже были LDAP сервера, и с ними тоже работали экземпляры Samba, и каждый из них считал себя PDC.
Пулы RID назначались администратором на каждую новую площадку (Администратор выполнял роль RID Master ;) )
«Дерево» LDAP в центре было не монолитно — оно было «склеено» из баз-бэкендов. Сделано это было для того, чтобы на удалённую площадку можно было реплицировать только данные о пользователях с этой площадки + набор пользователей с «доступом везде». В центральную точку реплицировалось всё.
Схема прекрасно работала… до набора «критической массы» — потом начались проблемы с LDAP сервером, которому при каждом запросе приходилось «склеивать» данные из большого количества баз. Собственно в этом и был просчёт.
P.S. Помидорами не кидать — схему придумал не я.
P.P.S. Я прекрасно знаю, что можно было применить расширенный фильтр (для фильтрации по dn — есть в том же OpenLDAP) в параметрах репликации и реализовать ту же схему но без «склейки» баз. Получилось бы даже более гибко. Но переделка была соизмерима с описанной миграцией, а на выходе был бы всё тот же NT4 домен.
Потому что лично мне в них многое не нравится (я бы даже сказал мне многое неприятно в их продуктах). Но это моё личное отношение к продукту и компании и оно не мешает мне здраво оценивать преимущества того или иного продукта в конкретной ситуации.
Откуда взялась задача, я вроде подробно описал в разделе «Почему отказались от Samba». Просто надо было переделывать либо на Samba, либо на что-то другое. Причём трудозатраты были соизмеримые.
Что дал такой переход: заработали в штатном режиме инструменты, которые нужны бизнесу.
Обычно все вроде как раз наоборот мигрируют — в первую очередь с целью сэкономить на лицензии Windows-сервера.
Иногда в жизни компаний наступает момент, когда они перестают экономить на мелочах, отдавая себе отчёт, что потраченные средства вернутся прибылью. К сожалению бизнесу нужны всё больше продукты от MS, либо те, которые с ними тесно интегрируются.
Вы её ставили?
Пробовали настроить с ней интегрированные зоны DNS?
Пробовали реплицировать каталог с неё на контроллеры MS?
Пробовали конфигурировать через оснастки MMC для Active Directory?
Пробовали организовать несколько сайтов и настроить между ними репликацию?
Поделитесь своим оптом — правда это очень интересно! К сожалению в сети море советов установить Samba 4 и я пока не видел ни одного внятного обзора с описанием что работает, а что нет! Сесть за изучения самому, пока. к сожалению, не хватает времени, но я бы с удовольствием почитал Вашу статью с обзором.
P.S. Судя по тому, как Вы советуете этот продукт в prodaction среду вы сним хорошо знакомы.
Всё правильно — не позволяет.
Просто начиная с XP/2003 можно сменить домен AAAAA на домен BBBBB с одной перезагрузкой.
На VBScript примерно так:
Const DOMAIN_JOIN_IF_JOINED = 32
Const NETSETUP_ACCT_DELETE = 2
Set objNetwork = CreateObject("WScript.Network")
strComputer = objNetwork.ComputerName
Set objComputer = GetObject("winmgmts:{impersonationLevel=Impersonate}!\\" & strComputer & "\root\cimv2:Win32_computerSystem.Name='" & strComputer & "'")
intReturn = objComputer.JoinDomainOrWorkgroup(<имя нового домена>, <пароль учётки в правом введения ПК в новый домен>, <учётная запись нового домена с правом введения ПК в домен>, <organizationalUnit для размещения объекта ПК в новом домене> , JOIN_DOMAIN + DOMAIN_JOIN_IF_JOINED)
Set objWhs = WScript.CreateObject("WScript.Shell")
objWhs.Run "shutdown /r /t:15"
На 2000-х придётся:
сначала выводить в рабочую группу
перезагружаться
авторизоваться локально с какой-то учётной записью
При нашем количестве пользователей так просто не получилось бы. Да и «не комильфо», когда пароль пользователя знает кто-нибудь кроме пользователя (пусть даже и на короткое время, пусть даже и администратор).
Сдаётся мне парень рискует заработать штраф/срок за неуплату налогов при проведении операции по продаже недвижимости (или как он с этой сделки налог выплачивать будет?)
В вашем «примере» дампа пользователей наблюдается две занимательные вещи:
У Ваших пользователей RID начинаются со значения 1101 — в кашем исходном домене было действительно так? Просто в типовой установке Samba начинает раздавать RID с 1000, и тогда при миграции, у Вас были бы интересные проблемы — в «чистом» домене AD первые (если не ошибаюсь — дело полгода назад было) до 1034 RID'ы уже заняты.
Что с такими(с конфликтующими RID'ами) пользователями делали, если не секрет:
Наверное тем, что единственная функция WinAPI, позволяющая написать значение в sidHistory — может только скопировать значение SID у пользователя доверенного домена. Поднимать доверие Samba — AD когда Samba уже сильно болеет и у администратора, по-водимому, нет никакого желания её «лечить» — ещё то приключение!
Второй вариант — писать sidHistory напрямую в базу. Тоже ещё та лотерея.
И багажник, чтобы положить запасную канистру с бензином.
Так что вариант с «концом электричества» маловероятен.
В центральной точке был LDAP сервер, и работающая с ним Samba, которая считала себя PDC сервером.
На удалённых площадках тоже были LDAP сервера, и с ними тоже работали экземпляры Samba, и каждый из них считал себя PDC.
Пулы RID назначались администратором на каждую новую площадку (Администратор выполнял роль RID Master ;) )
«Дерево» LDAP в центре было не монолитно — оно было «склеено» из баз-бэкендов. Сделано это было для того, чтобы на удалённую площадку можно было реплицировать только данные о пользователях с этой площадки + набор пользователей с «доступом везде». В центральную точку реплицировалось всё.
Схема прекрасно работала… до набора «критической массы» — потом начались проблемы с LDAP сервером, которому при каждом запросе приходилось «склеивать» данные из большого количества баз. Собственно в этом и был просчёт.
P.S. Помидорами не кидать — схему придумал не я.
P.P.S. Я прекрасно знаю, что можно было применить расширенный фильтр (для фильтрации по dn — есть в том же OpenLDAP) в параметрах репликации и реализовать ту же схему но без «склейки» баз. Получилось бы даже более гибко. Но переделка была соизмерима с описанной миграцией, а на выходе был бы всё тот же NT4 домен.
P.S. И не надо мне ничего отрывать. ;)
Что дал такой переход: заработали в штатном режиме инструменты, которые нужны бизнесу.
Иногда в жизни компаний наступает момент, когда они перестают экономить на мелочах, отдавая себе отчёт, что потраченные средства вернутся прибылью. К сожалению бизнесу нужны всё больше продукты от MS, либо те, которые с ними тесно интегрируются.
Пользователей раза в 1,5 -2 больше.
Только попробуйте её скачать с указанной страницы.
Хотя бы ссылку на закачку найдите.
Для небольшой, которая не собирается расти или продаваться — потому что тогда начнутся проблемы…
Например:
Отсутствие поддержки DFSR
Проблемы при модификации схемы
Проблем с атрибутами-ссылками
Регистрозависымые SPN
Это то, что я нашел навскидку за пару минут. Мало?
Продукт хороший, интересный, нужный, но ещё не готовый…
К сожалению множество других проблем ещё не исправлены...
Пробовали настроить с ней интегрированные зоны DNS?
Пробовали реплицировать каталог с неё на контроллеры MS?
Пробовали конфигурировать через оснастки MMC для Active Directory?
Пробовали организовать несколько сайтов и настроить между ними репликацию?
Поделитесь своим оптом — правда это очень интересно! К сожалению в сети море советов установить Samba 4 и я пока не видел ни одного внятного обзора с описанием что работает, а что нет! Сесть за изучения самому, пока. к сожалению, не хватает времени, но я бы с удовольствием почитал Вашу статью с обзором.
P.S. Судя по тому, как Вы советуете этот продукт в prodaction среду вы сним хорошо знакомы.
Просто начиная с XP/2003 можно сменить домен AAAAA на домен BBBBB с одной перезагрузкой.
На VBScript примерно так:
На 2000-х придётся:
?
Второй вариант — писать sidHistory напрямую в базу. Тоже ещё та лотерея.