Bewegende objecten in Active Directory - dummies

Het verplaatsen van objecten in Active Directory kan bewegende objecten van de ene naar de andere locatie in een domein verplaatsen of u moet objecten van het ene naar het andere domein verplaatsen. U moet de details kennen die verband houden met beide bewerkingen voor het MCSE Directory Services-examen. Gelukkig moet je gewoon enkele eenvoudige regels onthouden.

Objecten verplaatsen binnen een domein

Objecten verplaatsen binnen een domein is een eenvoudig proces: klik met de rechtermuisknop op het object en kies Verplaatsen. Windows 2000 geeft een dialoogvenster weer waarin u eenvoudig het bestemmingscontainerobject kiest voor de verplaatsing. (In nieuwere versies van Windows 2000 kunt u Active Directory-objecten slepen en neerzetten van de ene OU naar de andere.)

Een echt voorbeeld van het verplaatsen van een object binnen een domein is het verplaatsen van een gebruikersaccount van de ene OE naar de andere wanneer de gebruiker van de ene naar de andere afdeling in uw organisatie overschakelt. Door het account van de gebruiker te verplaatsen, kan de gebruiker de voordelen en beperkingen ontvangen die u hebt gedefinieerd voor de nieuwe OE.

Wat niet zo eenvoudig is (en wat u moet weten voor het examen) is het effect dat bewegende objecten op toestemmingen hebben. Dit zijn de regels die u moet kennen:

Machtigingen die u direct aan een Active Directory-object toewijst, blijven bij het object nadat u het object hebt verplaatst.
Het object neemt de machtigingen over die aan de nieuwe OE zijn toegewezen en verliest eerder overgenomen machtigingen.

U hebt dit misschien al uitgevonden: een uitstekende strategie voor het beheer van Active Directory-objecten is het verplaatsen van objecten met vergelijkbare machtigingsinstellingen naar dezelfde OU. Door dit te doen, kunt u eenvoudig uw netwerk beheren, rechten toewijzen en bevoegdheden delegeren met slechts een paar muisklikken.

Objecten verplaatsen tussen domeinen

In een Windows 2000-forest met meerdere domeinen, moet u mogelijk objecten (gebruikers, organisatie-eenheden, groepen) verplaatsen tussen deze meerdere domeinen. U gebruikt het MOVETREE-opdrachtregelhulpprogramma om veel van deze bewerkingen uit te voeren.

Wanneer u gebruikers en groepen naar een nieuw domein verplaatst, ontvangen zij nieuwe beveiligings-ID's (SID's). Gelukkig ondersteunt Windows 2000 in de native modus een kenmerk met de naam SIDHistory. Terwijl u een gebruiker van domein naar domein verplaatst, vult Windows 2000 SIDHistory in, zodat u de machtigingen voor objecten niet opnieuw hoeft in te stellen telkens wanneer u de verplaatsingsbewerking uitvoert.

MOVETREE assisteert u bij de meeste verplaatsingen tussen domeinen. En in die gevallen waarvoor MOVETREE het werk niet kan doen, kunt u naar een ander hulpprogramma met de naam NETDOM gaan.MOVETREE can

Verplaats de meeste Active Directory-objecten (inclusief niet-lege containers) van het ene naar het andere domein in hetzelfde forest.
Verplaats domein lokale en globale groepen tussen domeinen. Deze groepen kunnen echter geen leden bevatten. De domeinen moeten in hetzelfde forest bestaan.
Verplaats universele groepen en hun leden tussen domeinen van hetzelfde bos.

MOVETREE kan meest Active Directory-objecten verplaatsen. Degenen die het niet kan verplaatsen wanneer u groepen objecten verplaatst, worden zwevend . Windows 2000 plaatst deze verweesde objecten in een speciale container met de naam LostAndFound. U kunt deze container bekijken met behulp van de geavanceerde weergavefunctie van Active Directory-gebruikers en computers.

U moet de juiste beheerdersrechten hebben om MOVETREE vanaf de opdrachtprompt te gebruiken. Deze opdracht gebruikt de volgende syntaxis:

MOVETREE {/ start | / startnocheck | / doorgaan | / check} / s SrcDSA / d DstDSA / sdn SrcDN / ddn DstDN [/ u [ domein ] Gebruikersnaam / p Wachtwoord ] [/ uitgebreid] [{/? | / help}]

De cursieve vermeldingen in deze syntaxis vertegenwoordigen informatie die u moet verstrekken. Tabel 1 beschrijft de schakelaars die u kunt gebruiken met de MOVETREE-opdracht.

Tabel 1 MOVETREE-opdrachtschakelaars

Schakelaar	What It Does
/ start	Start de verplaatsingshandeling.
/ startnocheck	Start een MOVETREE-bewerking zonder / check.
/ continue	Hiermee wordt de uitvoering van een eerder onderbroken of mislukte MOVETREE-bewerking voortgezet.
/ check	Voert een testrun uit van de MOVETREE-bewerking.
/ s SrcDSA	Specificeert de volledig gekwalificeerde domeinnaam (FQDN) van de bronserver.
/ d DstDSA	Specificeert de FQDN van de bestemmingsserver.
/ sdn SrcDN	Specificeert de DN-naam van het object dat u verplaatst van de bron.
/ ddn DstDN	Specificeert de DN-naam van het object dat u naar de bestemming verplaatst.
/ u	Voert MOVETREE uit onder de inloggegevens van de opgegeven gebruikersnaam en wachtwoord.
/ verbose	veroorzaakt dat MOVETREE meer details weergeeft terwijl het wordt uitgevoerd.
/?	Geeft hulp weer over MOVETREE.

MOVETREE maakt logbestanden wanneer bewerkingen worden uitgevoerd. U kunt deze logbestanden controleren op informatie over het succes of de storing van MOVETREE-gebeurtenissen:

MOVETREE. ERR: geeft een overzicht van eventuele fouten.
Movetree. LOG: geeft statistische resultaten van de bewerking weer.
Movetree. CHK: geeft een overzicht van fouten die zijn gedetecteerd uit MOVETREE die worden uitgevoerd in de controlemodus.

MOVETREE verplaatst computerobjecten van het ene domein naar het andere voor u, maar het kan de computer niet loskoppelen van het brondomein en het koppelen aan het doeldomein. Deze beperking maakt NETDOM een veel beter hulpprogramma voor het verplaatsen van computers tussen domeinen in een Windows 2000 Active Directory-instelling.

NETDOM gebruikt de volgende syntaxis om computeraccounts te verplaatsen:

MOVETREE {/ NETDOM move / D: domain [/ OU: ou_path ] [/ Ud: Gebruiker / Pd: { Wachtwoord | *}] [/ Uo: Gebruiker / Po: { Wachtwoord | *}] [/ Reboot: [ time_in_seconds ]]

Tabel 2 beschrijft de schakelaars die u gebruikt met de opdracht NETDOM.

Tabel 2 NETDOM Opdrachtschakelaars

Schakelaar	Wat het doet
/ domein	Identificeert het doeldomein.
/ OU: ou_path	Specificeert de doel-OE.
/ Ud: User	Geeft het gebruikersaccount aan dat wordt gebruikt om de verbinding met het doeldomein te maken.
Pd: {Wachtwoord \| *}	Voert het wachtwoord in voor het gebruikersaccount dat wordt gebruikt om verbinding te maken met het bestemmingsdomein; als u * gebruikt, vraagt NETDOM om het wachtwoord.
/ Uo: Gebruiker	Identificeert het gebruikersaccount dat wordt gebruikt om de verbinding met het brondomein tot stand te brengen.
/ Po: {Wachtwoord \| *}	Voert het wachtwoord in voor het gebruikersaccount dat wordt gebruikt om verbinding te maken met het oorspronkelijke domein; als u * gebruikt, vraagt NETDOM om het wachtwoord.
/ Reboot: [time_in_seconds]	Geeft aan dat de computer die wordt verplaatst, moet worden uitgeschakeld en automatisch opnieuw moet worden opgestart binnen het opgegeven aantal seconden na de verplaatsingshandeling.