Перенос учетной записи в домен

Записки IT специалиста

Технический блог специалистов ООО»Интерфейс»

• Главная
• Active Directory — от теории к практике. Часть 4 — перенос учетных записей в домен.

Active Directory — от теории к практике. Часть 4 — перенос учетных записей в домен.

• Автор: Уваров А.С.
• 02.12.2012

В прошлых материалах мы рассказали как правильно развернуть и настроить инфраструктуру Active Directory, сегодня мы поговорим о том, как правильно ввести в структуру AD уже существующие рабочие станции и учетные записи пользователей. Следуя нашим рекомендациям вы сможете избежать ряда потенциальных проблем и осуществить переход к AD наиболее безболезненно.

Очень редко когда структура Active Directory создается с нуля, гораздо чаще службы каталогов разворачиваются уже на базе существующей сети, где каждый пользователь имеет свою, настроенную согласно его потребностям, учетную запись, свой набор ярлыков, папок, программ, настроек. При переходе от локальной учетной записи к учетной записи Active Directiory все эти настройки окажутся потерянными и учетную запись пользователя нужно настраивать заново.

А сколько таких учетных записей? Явно не одна и не две, а если принять во внимание, что все равно что нибудь забудете или упустите из виду, то становится понятно, что процесс перевода инфраструктуры от обычной сети к службе каталогов способен превратиться в настоящий ад, как для администратора, так и для сотрудников. Что же делать? Не спешить и, для начала, внимательно прочитать нашу статью.

К сожалению не одни только ученые записи способны вызвать затруднения при переходе на Active Directory, поэтому самое время вспомнить о том, что такое SID. SID компьютера — это уникальный идентификатор безопасности, который генерируется при установке системы и используется в качестве основы при создании прочих идентификаторов (для пользователей, групп и т.п.). Хотя в настоящее время многие специалисты считают проблему дублирующегося SID преувеличенной, например см. статью М. Руссиновича «Миф о дублировании SID компьютера», мы не рекомендуем рисковать и включать в домен машины с одинаковыми SID.

Когда может возникнуть такая ситуация? При клонировании уже установленной системы на несколько ПК, например столь любимыми многими утилитами Norton Ghost или Acronis. Появление в сети подобным машин может привести к неправильному применению групповых политик и некорректной работе некоторых сетевых служб, например WSUS. Мы не будем однозначно утверждать, что данные проблемы возникают именно от дублирующегося SID, но лучше предупредить возможные проблемы, чем потом заниматься их решением. Поэтому лучше позаботиться об уникальности SID до включения машин в домен и появления возможных проблем.

Для обеспечения уникальности SID следует использовать утилиту sysprep, о использовании которой мы рассказывали в данной статье, в Windows 7 данная утилита входит в состав системы и расположена в C:WindowsSystem32sysprep.

Также ни при каких обстоятельствах не допускайте клонирования уже включенной в домен системы — это верный способ получить вес спектр неприятностей связанных с одинаковыми идентификаторами. С этой темой тесно пересекается ситуация с заменой ПК сотрудника, когда новый компьютер должен иметь то-же самое имя, что и старый. При этом простое переименование старого ПК не даст нужного эффекта, для устранения возможных проблем старый ПК необходимо вывести из домена, ввести туда новый ПК под тем же именем, а затем снова ввести старый, но с новым именем хоста, если есть такая необходимость.

Итак, у нас есть некая рабочая станция за которой работает сотрудник Иванов и которую нужно ввести в домен. В первую очередь убедитесь что ПК имеет желаемое имя и при необходимости переименуйте компьютер, не забудьте перезагрузиться. Следующим шагом необходимо правильно настроить сеть, так как в нашей сети развернут DHCP-сервер достаточно установить автоматическое получение сетевых параметров и убедиться в получении правильных значений.

Для серверов, которые должны иметь статические сетевые параметры укажите необходимые значения вручную, особое внимание следует уделить DNS-серверам, это должны быть адреса двух любых контроллеров домена (которые совмещают роль DNS-сервера), в противном случае у вас не получится ввести такой компьютер в домен.

Если вам нужно чтобы какая-либо рабочая станция имела статический адрес, то не стоит указывать его вручную, более правильно будет использовать такую функцию DHCP-сервера как резервирование. Это позволит вам в последующем менять настройки сети без необходимости вносить изменения на каждой рабочей станции (например поменять адрес шлюза). Для резервирования откройте оснастку управления DHCP-сервером, перейдите в папку Арендованные адреса и щелкнув на нужном хосте правой кнопкой мыши выберите Добавить к резервированию. Этим вы закрепите выделенный адрес за данным компьютером на постоянной основе.

Теперь самое время включить наш компьютер в домен. Для этого перейдите в Свойства системы — Имя компьютера и нажмите кнопку Изменить. В открывшемся окне выберите Является членом домена и укажите имя домена в который мы хотим войти, затем нажмите OK, затем укажите имя и пароль пользователя имеющего право на включение компьютера в домен (по умолчанию администратор домена).

Если все сделано правильно и указанный пользователь имеет необходимые права то вы увидите следующее сообщение:

В противном случае проверьте правильность сетевых настроек, доступность контроллеров домена и наличие необходимых прав у указанного пользователя, затем повторите попытку.

После перезагрузки можно попробовать войти под доменной учетной записью, которую нужно предварительно создать на любом из контроллеров домена. Для этого откройте оснастку Active Directory — пользователи и компьютеры, перейдите в папку User и создайте там нового пользователя.

Теперь в систему можно войти под именем нового пользователя. И убедиться в том, о чем мы говорили в начале статьи: работая под локальной учетной записью пользователь Иванов имел привычным образом расположенные файлы, папки и ярлыки, программы были соответствующим образом настроены, кроме того имелась учетная запись почты, избранное браузера и т.д. и т.п. Сейчас он имеет стерильно чистый профиль, который необходимо настраивать заново.

Поэтому самое время заняться переносом профиля локальной учетной записи в доменную. Для этого следует воспользоваться инструментом User State Migration Tool, который входит в состав Пакета автоматической установки Windows (AIK), скачать его можно здесь.

Данный пакет нет необходимости устанавливать на всех ПК, вполне достаточно будет установки на компьютер администратора или один из серверов. Искомый набор утилит находится в папке C:Program FilesWindows AIKToolsUSMT нам нужно будет скопировать их на целевую систему или сделать доступными по сети.

Процесс переноса профиля состоит из двух этапов: создание файла переноса с данными и параметрами указанного пользователя и восстановление профиля из файла переноса, причем сделать это можно на любом ПК, что позволяет быстро перенести профиль с одного ПК на другой при замене компьютера.

Внимание! Вы можете перенести профиль из 32-х разрядной системы в 64-х разрядную, однако обратный перенос из 64-х разрядной в 32-х разрядную не поддерживается!

Для создания файла переноса используется утилита ScanState с синтаксисом которой можно ознакомиться здесь. В нашем случае мы будем переносить локальный профиль пользователя WWW в профиль доменного пользователя ivanov. Для создания файла переноса войдите в систему под учетной записью администратора домена, перейдите в папку с нужной версией USMT (32 или 64 бит) и выполните следующую команду:

Синтаксис команды на первый взгляд довольно сложен, но это не так. Первый аргумент указывает расположение файла переноса, ключ /i: указывает какие правила переноса следует использовать, ключ /v: задает необходимый уровень детализации лога, сочетание ключей /ue: и /ui: исключает из переноса всех пользователей кроме WWW, а ключ /l: определяет расположение лога.

Результатом исполнения команды будет короткий отчет о выполненных операциях которые должны закончиться успехом.

Итак, файл переноса создан, но не спешите переходить ко второму этапу. Если вы уже входили в систему под целевым пользователем, то необходимо удалить или переименовать папку с профилем в каталоге C:Users и удалить соответствующий профилю раздел в ветке реестра:

В противном случае при попытке восстановления профиля вы получите ошибку с кодом 71: LoadState return code: 71.

После того, как вы выполните данные операции можно переходит к восстановлению профиля при помощи утилиты LoadState, советуем ознакомиться с ее синтаксисом здесь. Для переноса профиля используйте следующую команду:

Структура команды во многом похожа на предыдущую, одноименные ключи имеют аналогичное значение, ключ /mu: указывает исходный профиль и профиль назначения, доменные учетные записи указываются как DomainUser. В нашем случае профиль локального пользователя WWW будет восстановлен в профиль пользователя interface31.labivanov.

Теперь, выполнив вход под доменной учетной записью пользователь Иванов обнаружит привычное рабочее окружение, как видно на скриншоте ниже, перенеслось даже содержимое корзины.

Данный метод можно использовать для операционных систем Windows Vista/7, для переноса профилей в среде Windows XP также можно использовать USMT несколько изменив синтаксис команд, но лучше воспользоваться утилитой moveuser, которая входит в состав Windows Server 2003 Resource Kit Tools (скачать). Точно также, как и в предыдущем случае, нет необходимости устанавливать пакет на каждую машину, достаточно скопировать утилиту moveuser которая находится в папке C:Program FilesWindows Resource KitsTools.

Для переноса профиля также войдите на целевой ПК как администратор домена и выполните команду:

Синтаксис данной утилиты гораздо проще и его можно изучить запустив ее без аргументов. Ключ /y разрешает перезаписать профиль назначения если он существует, т.е. вы можете предварительно выполнить вход доменным пользователем на эту машину, это никак не помешает переносу, после переноса вход под локальным пользователем будет невозможен, если вы хотите продолжать использовать локальный профиль укажите дополнительно ключ /k.

Выполним вход под доменной записью пользователя Петров и убедимся что он может продолжать работу в домене с привычным рабочим окружением.

Как видим, использование специализированных утилит для переноса пользовательских профилей не вызывает затруднений и способно значительно облегчить работу системного администратора и свести к минимуму неудобства пользователей в процессе внедрения Active Directory.

User Profile Wizard 3.17

Простота. Масштабируемость. Низкая стоимость

Программа User Profile Wizard 3.17 — это самая последняя версия многофункциональной утилиты от компании ForensiT, используемой для переноса рабочих станций. Программа User Profile Wizard переносит профиль текущего пользователя в учетную запись нового домена с сохранением всех имеющихся данных и настроек.

Легкость масштабного переноса

Программа User Profile Wizard используется для автоматического переноса сотен тысяч рабочих станций в новые домены. Программа может использоваться для переноса рабочих станций в новый домен из любой существующей сети на базе Windows, из сети Novell NDS, а также для первоначального соединения автономных компьютеров с доменом.

Гарантия сохранности личных данных и настроек

Значимость Профилей пользователей росла по мере развития операционной системы Windows, и сейчас они являются неотъемлемым компонентом используемого Windows способа организации данных. Однако в определенных обстоятельствах подобная привязка данных к единой учетной записи может вызывать трудности.

Как правило, при соединении компьютера с новым доменом Windows создает новый профиль, что сопровождается потерей всех данных и настроек (файлов папок «Мои документы», «Мои рисунки» и «Моя музыка»), а также прочих персональных данных, например фоновых рисунков рабочего стола, избранных ссылок Интернета и списков последних открытых документов.

Программа User Profile Wizard представляет собой простое в использовании средство переноса профилей, устраняющее все вышеперечисленные затруднения. Программа разрешает совместное с использование исходного профиля с учетной записью в домене. При помощи интерфейса с командной строкой и утилиты User Profile Wizard Deployment Kit можно создать масштабируемое решение для предприятий, где требуется перенос десятков тысяч рабочих станций.

Возможность увеличения или уменьшения масштаба

В отличие от ряда альтернативных вариантов, программа User Profile Wizard не предполагает наличия каталога предприятия. Программа поддерживает разные среды, от Small Business Server до Global Domain Consolidation.

Преимущества

• Осуществляет перенос всех данных и настроек профиля пользователя
• Автоматически соединяет компьютер с новым доменом
• Поддерживает перенос в домены по VPN
• Поддерживает все домены Active Directory и Samba
• Может использоваться для переноса из сети Novell NDS
• Поддерживает составление сценариев для предприятий
• Поддерживает перенос удаленных компьютеров «пушем»

• 100% репликация профилей пользователей

Версии Corporate и Professional

Программа User Profile Wizard предлагается в двух версиях. Просмотреть сравнение функций программы User Profile Wizard для ознакомления с функциональностью версий Corporate и Professional. Версия Corporate Edition лицензируется «за рабочее место». Версия Professional лицензируется «за техника».

Как перенести учетные записи пользователей из одного домена в другой на Windows 2008?

(Как скопировать учетные записи пользователей из одного домена в другой на Windows 2008)

Абсолютно не травильная задача особенно если хочется перенести пользователей с паролями.

Есть несколько способов от примитивных до самых изощрённых. Отличия в трудоемкости переноса и в конечном результате. (Для своей задачи рассмотрел всего лишь несколько первых попавшихся из-за ограниченности времени).

Итак, способы (обзор):

1) Командная строка и Excel.

2) Утилита CSVDE.

3) Утилиты из Resource Kit 2008 Server.

4) Active Directory Migration Tool.

5) Программа POINTDEV IDEAL Migration.

1. Командная строка и Excel

Для создания пользователей используется команда net user (Использование команды «net user»), например так

net user bob 123 /add /comment:»My user» /fullname:»Иванов Иван» /domain

Чтобы получить набор строк net user, нужно получить список пользователей, который можно обработать в Excel. Пример, вот такой список

В столбце D – формула:

=СЦЕПИТЬ(«net user «;A2;» 123 /add /comment:»;СИМВОЛ(34);»My user»;СИМВОЛ(34);» /fullname:»;СИМВОЛ(34);C2;» «;B2;СИМВОЛ(34);» /domain»)

Как получить список пользователей: Список может существовать в виде файла (админы иногда сохраняют списки пользователей в файлы). Можно с помощью программы POINTDEV IDEAL Migration, она даже в триальном варианте позволяет выгрузить пользователей в файл cvs. Можно прямо с экрана снять снимок и распознать в ABBYY FineReader, если снимок снимать SnagIt то он сам умеет распознавать.

— Пользователи создаются в примитивном варианте, большая часть полей и опций не переноситься

— Пароль не переноситься

+ Всё очень просто и может быть быстро

2. Утилита CSVDE

Позволяет импортироватьэкспортировать данные из каталога LDAP в файл cvs (в том числе и учетные записи пользователей).

Есть целый сайт посвященный описанию CSVDE Home

— Желательно знать устройство LDAP Active Directory (какие поля чего означают)

+ Бесплатно и не нужно устанавливать

3. Утилиты из Resource Kit 2008 Server

Утилиты addusers, moveuser. Addusers – аналог net user, но более функциональный, например позволяет создавать сразу кучу пользователи из файла-списка. Moveuser – позволяет перенести учетную запись прямо с одного компьютера на другой.

Описание есть здесь:

Сам набор утилит Resource Kit 2008 Server официально он продается в виде набора классных книг (сам не читал – сужу по отзывам) и CDROM диска к ним. Не официально есть на торренте.

— Нужно искать, скачивать или покупать

— Платно

+ Более функционально чем net user

4. Active Directory Migration Tool

Набор средств (утилит) для миграции Active Directory. Изучить – не просто.

— Сложно освоить (документация 263 страницы)

+ Бесплатно

+ Перенести можно наверное что угодно (например, пароли переносятся, но при установке еще каких-то дополнительных компонентов)

5. Программа POINTDEV IDEAL Migration

Позволяет переносить полные сведения домена. Программа платная. Можно получить триальный ключ за просто так, но только на 15 дней и мигрировать можно только 5 пользователей. Программа в триальном варианте позволяет просто выгрузить список пользователей в файл cvs.

При переписке с ними, прислали письмо с ключом, но сам ключ приложить забыли 🙂 поэтому даже попробовать не удалось, хотя список пользователей в Excel я выгрузить сумел.

Миграция локальных учетных записей на доменные

Этап миграции локальных учетных записей на доменные это второй этап после включения ПК в домен LOCAL.RSU.EDU.RU и является подготовительным шагом перед сетевыми профилями пользователей и централизованным созданием резервных копий пользовательских данных. Суть миграции заключается в переносе всех пользовательских файлов из папок «Мои документы» и «Рабочий стол» локальной учетной записи в соответствующие папки доменной что бы в новой было так же, как и в старой, и последующего удаления локальной учетной записи для предотврашения ее дальнейшего использования пользователем по привычке.

Под учетной записью локального администратора потребуется привести саму запись к общему виду, включить ПК в домен LOCAL.RSU.EDU.RU и задать права только для доменной учетной на папку «temp» во избежание проблем с наследованием прав при переносе файлов из «temp» в профиль доменной учетной записи.

Содержание

Приведение учетной записи локального администратора к каноническому виду

Для упорядочения учетных записей локальных администраторов по корпусам предлагается переименовывать их в root и задавать пароль, одинаковый для всех ПК одного корпуса или по этажам для облегчения последующего доступа обслуживающего персонала к ним.

Правой кнопкой мыши по иконке «Мой Компьютер» -> Управление -> Локальные пользователи и группы -> Пользователи. Переименуйте локального администратора в «root» выделив его учетную запись и нажав клавишу F2

Правой кнопкой по учетной записи root -> Задать пароль. Нажмите «Продолжить»

Задайте уникальный для учебного корпуса пароль, о котором проинформируйте отдел телекоммуникаций письмом

Установка Unreal Commander

В качетсве файлового менеджера рекомендуется использовать Unreal Commander из-за его методов работы с правами при копировании файлов и папок.

Unreal Commander можно скачать с официального сайта http://x-diesel.com или с университетского ftp-сервера ftp://ftp.rsu.edu.ru

Для установки ПО на компьютер требуется учетная запись, имеющая права локального администратора или администратора домена.

Создание промежуточной папки

Создайте в разделе с достаточным количеством свободного места папку share. В нее надо скопировать Мои документы и Рабочий стол локальной учетной записи. Они расположены в Documents and Settings -> . При копировании данные унаследуют права доступа папки share. После завершения процесса копирования директорию локакльной учетной записи можно удалить целиком в целях экономии свободного дискового пространства.

Включение ПК в домен

Это основной шаг, после которого на ПК под управлением групповой политики будет устанавливаться ПО из приказа ректора и будет возможен вход под доменными учетными записями. Для осуществления операции требутеся войти в систему под учетной записью локального администратора, чтобы ПК разрешил ее провести. После указания имени домена потребуется учетная запись доменного пользователя с правами администратора домена или являющегося ответственным за соответсвующий контейнер в структуре домена. Как было сказано выше, перед проведением включения ПК в домен и миграцией локальной учетной записи проконсультируйтесь в отделе телекоммуникацй, обладает ли ваша доменная учетная запись правами на включение неограниченного количества ПК в домен.

Правой кнопкой мыши по иконке «Мой Компьютер» -> Свойства. Перейдите на закладку «Имя компьютера».

Перенос профилей пользователей в Windows XP

Andrew | Posted on 02.11.2009 |

Профиль пользователя представляет собой набор параметров, благодаря которым внешний вид компьютера и его работа соответствуют желаниям пользователя. В нем содержатся параметры фона рабочего стола, экранных заставок, указателей, звука и другие параметры. Профили пользователей позволяют применять персональные параметры при каждом входе в ОС Windows.

Профиль пользователя отличается от учетной записи пользователя, которая используется для входа в Windows. У каждой учетной записи есть по крайней мере один связанный с ней профиль пользователя.

Перед нами стоит задача перенести пользователей из одного домена в другой домен с сохранение профиля пользователя.

Естественно есть несколько различных способов. Рассмотрим некоторые из них.

Самое правильное наверное воспользоваться специальной утилитой от Microsoft’а USMT.

Так же в Windows есть «Мастер переноса файлов и параметров«. Пуск -> Все программы -> Стандартные -> Служебные -> Мастер переноса файлов и параметров

Еще есть специальная утилита Ideal Migration, тоже можно попробовать.

На просторах интернета был найден следующий способ.

Шаг 1. Переводим машину в новый домен.

Шаг 2. Входим новым пользователем, создается профиль

Шаг 3. Выходим. Входим под локальным администратором

Шаг 4. Удаляем новый профиль. Переименовываем старый в новое имя. Добавляем права для нового пользователя на доступ.

Шаг 5. Грузимся новым пользователем и попадаем в старый профиль со всеми настройками.

— не требуется дисковое пространство

— перенос моментален, вместо копирования — переименовывание папки

— бОльшая часть программ и их настроек сохраняет работоспособность

Пароли к прокси слетают (хотя настройки остаются — домашняя страница, история, прокси)

Пароли к почте слетают (хотя настройки остаются — адреса почты, POP3-SMTP сервера, имя пользователя)

Адресную книгу надо также переименовывать или импортировать, если имя отличается

Слетают все пароли к посещавшимся сайтам, запомненные браузером.

Вот еще вариант для пробы найденный на форуме:

1) Зайти на комп под учеткой из рабочей группы

2) Зайти под админом, дать все права на папку со старым доменным профилем новому пользователю из рабочей группы

3) Загрузить в regedit под любым именем файл NTUSER.DAT, расположенный в старом профиле и добавить разрешения на эту (загруженную) ветку реестра для нового пользователя из рабочей группы.

Смысл этого пункта в том, чтобы дать разрешение новому пользователю из рабочей группы на использование ветки реестра HKEY_CURRENT_USER, доставшейся в наследство от старого (в данном случае доменного) пользователя. Соответственно эта ветка (куст) реестра хранится в профиле в файле NTUSER.DAT. А дать на неё права можно с помощью regedit, предварительно загрузив этот файл, для этого в regedit ставим курсор на HKEY_USERS, далее «Файл»->»Загрузить куст»->Выбираем NTUSER.DAT из профиля старого пользователя->Имя раздела присваеваем для примера «1» (без разницы), хотя лучше для этого взять SID старого пользователя. Далее для загруженного куста добавляем права для полного доступа для нового пользователя.

4) В реестре перейти в раздел HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionProfileList, найти раздел, в котором параметр ProfileImagePath имеет значение, ссылающееся на путь к профилю нового пользователя из рабочей группы и заменить его на путь к профилю старого (доменного) пользователя.

При этом новый пользователь будет работать абсолютно с таким же профилем, что и старый. Единственное могут слететь сохраненные в защищенном хранилище пароли, например для OutlookExpress. Но останется возможность работать с одним профилем из под двух учетных записей и из под доменной и из под локальной.

Там же советуют, попробовать перенести при помощи программы transwiz либо profwiz. Обе живут по адресу http://www.forensit.com/

Восстановление пути к профилю пользователя на рабочей станции Windows

Если пользователь вошёл в систему на рабочей станции с операционной системой Windows после выполнения работ по включению рабочей станции в домен Active Directory и его рабочий стол, папка с документами и настройки пропали, то это значит, что вместо старого профиля пользователя создался новый. Ведь даже если пользователь локальный и доменный имеют одинаковые имена, это совершенно разные пользователи и поэтому система справедливо создаёт для доменного пользователя новый профиль. Восстановить настройки рабочего стола пользователя и документы можно, указав путь к старому профилю в системном реестре.

Порядок действий для восстановления настроек рабочего стола пользователя Windows:

Войти в систему под другим пользователем, который имеет права администратора на компьютер, например, под «Администратор» компьютера

Исправить список доступа во вкладке безопасность папки профиля — добавить доменного пользователя в список с правами на полный доступ. Папки с профилями пользователей обычно находятся в C:Documents And Settings_ имя_пользователя_

Запустить редактор реестра (regedit). В ветке HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionProfileList находится список профилей пользователей компьютера. Ветки ключей, описывающие профили именуются по SID пользователей. Нужно просмотреть каждую из этих веток и найти по имени каталога старый профиль и новый (доменный), затем в ветке для нового профиля указать старый путь. Параметр реестра в котором содержится путь к профилю пользователя ProfileImagePath.

Указанных действий обычно достаточно, чтобы вернуть пользователю все его додоменные настройки. Спасибо автору.

Вот еще немного по теме (грабли) :

1. дай созданной учётке права админа
2. зайди под ней и проверь работоспособность профиля — запуск программ, расположение ярлыков, если всё ОК, значит дело всё-таки в правах на hkey_current_user
3. открой REGEDIT.EXE
4. на ветке HKEY_CURRENT_USER правый клик мышой->пункт меню «разрешения»
5. в появившемся списке ты скорее всего увидишь неизвестную учётную запись (S-1-…..), имеющую полные права на эту ветку, так вот, тебе нужно её заменить на созданную тобой учётку, после чего права админа можно забирать

менять разрешения нужно для всех элементов ветки, т.е. ставить галочку «заменить разрешения….»