ID do artigo: 322970 - �ltima revis�o: sexta-feira, 2 de mar�o de 2007 - Revis�o: 7.4

Como solucionar problemas de migra��o de sIDHistory entre florestas com ADMTv2

Clique aqui para exibir o artigo traduzido e o artigo original em ingl�s, lado a lado.

Exibir Aviso de Isen��o de Tradu��o Autom�tica

Exibir os produtos aos quais esse artigo se aplica.

Dica do SistemaEste artigo aplica-se a um sistema operativo diferente do que est� a utilizar. Foi desactivado o conte�do do artigo, que pode n�o ser relevante para si.

Sum�rio

Este artigo descreve como solucionar problemas de migra��o de sIDHistory entre florestas com a ferramenta de migra��o do Active Directory vers�o 2 (ADMTv2).

Voltar para o in�cio

Quando voc� estiver usando ADMTv2 Migrar sIDHistory como parte de uma migra��o de grupo ou usu�rio entre florestas, a configura��o � necess�ria com os requisitos de migra��o de base.

Por padr�o, sIDHistory, senha e objectGUID s�o todos preservados durante migra��es entre florestas, mas isso n�o � verdadeiro para clonagem entre florestas.

Porque n�o h� nenhum contexto de seguran�a interna para opera��es entre florestas, deve tomar medidas para proteger a seguran�a de opera��es entre os limites da floresta.

Voltar para o in�cio

Configura��o

Os requisitos b�sicos para opera��es de migra��o entre florestas s�o:

Usu�rio b�sico com base no assistente e migra��o de conta de grupo sem sIDHistory

Dom�nio de origem deve confiar no dom�nio de destino.
Dom�nio de origem deve estar executando o Microsoft Windows NT 4.0 Service Pack 4 (SP4) ou posterior.
O dom�nio de destino deve estar no modo nativo do Microsoft Windows 2000 ou posterior.
A conta de usu�rio que est� executando ADMTv2 deve ter direitos de administrador no dom�nio de origem.
A conta de usu�rio a ADMT deve ter delegado permiss�es criar objetos de grupo ou usu�rio no recipiente de destino.
DNS (nome do host) e resolu��o de nome NetBIOS entre os dom�nios devem existir.

migra��o de sIDHistory requer as seguintes depend�ncias adicionais

Sucesso e Falha de auditoria de gerenciamento de conta para dom�nios de origem e destino.
Dom�nios de origem do Windows NT 4.0 chamam esse usu�rio e auditoria de gerenciamento de grupo.
Um grupo local vazio no dom�nio de origem � denominado {SourceNetBIOSDom} $ $ $.
Chave do Registro HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA\TcpipClientSupport deve ser definida como 1 no controlador de dom�nio prim�rio do dom�nio de origem.
Voc� deve reiniciar o controlador de dom�nio prim�rio do dom�nio de origem ap�s a configura��o do Registro.
Se o dom�nio de destino � um dom�nio do Windows 2000, Windows seguran�a requer credenciais de usu�rio com direitos de administrador no dom�nio de destino. Adicionar essas credenciais no Assistente quando a migra��o de sIDHistory est� ativada.

Para delegar MigrateSidHistory estendido direita em um controlador de dom�nio do Microsoft Windows Server ou em um computador que possui o pacote de ferramentas de administra��o do Windows Server 2003 instalado, execute essas etapas:
1. Clique em Iniciar, clique em Ferramentas administrativas e clique em Active Directory Users and Computers.
2. Clique com o bot�o direito do mouse no nome do dom�nio que voc� deseja delegar MigrateSidHistory estendida a partir do direito e, em seguida, clique em Delegar controle para abrir a janela do Assistente para delega��o de controle.
3. Clique em Avan�ar, clique em Adicionar, digite o nome de usu�rio ou grupo que voc� deseja adicionar na caixa de di�logo Selecionar usu�rios, computadores ou grupos, clique em OK e clique em Avan�ar.
4. Clique para selecionar a op��o de criar uma tarefa personalizada para delegar e clique em Avan�ar.
5. Certifique-se de que Esta pasta, objetos existentes nesta pasta, e cria��o de novos objetos nesta pasta op��o est� selecionada e clique em Avan�ar.
6. Certifique-se de que a op��o Geral � selecionada, clique em Migrar hist�rico SID na lista permiss�es e clique em Avan�ar.
7. Verifique se as informa��es est�o corretas e clique em Concluir.
Se o dom�nio de destino � um dom�nio do Windows Server 2003, seguran�a do Windows requer credenciais de usu�rio com MigratesIDHistory delegada estendido direita ou direitos de administrador no dom�nio de destino.
Nenhum sID a ser migrado pode existir na floresta de destino, como um sID prim�rio ou como um atributo sIDHistory de outro objeto.

Requisitos adicionais para migrar sIDHistory com a linha de comando ou interfaces de script

Quando voc� iniciar um usu�rio ou grupo migra��o com sIDHistory migra��o a partir da linha de comando ou de um script, o comando ou script deve ser executado no controlador de dom�nio no dom�nio de destino.
A conta de usu�rio que est� executando a migra��o deve ter direitos de administrador na origem e os dom�nios de destino.

Requisitos especiais para grupo de mapeamento e mesclagem de Assistente

Se sIDHistory for migrado durante o mapeamento e mesclagem de grupo, o escopo dos grupos de origem deve coincidir com o escopo do grupo de destino.

Voltar para o in�cio

Solucionando problemas

A etapa mais b�sica, que voc� pode usar para solucionar problemas de migra��o de sIDHistory entre florestas � usar o Assistente de migra��o de conta de usu�rio ou o Assistente para migra��o de contas de grupo para executar uma migra��o de modo de teste.

Durante a migra��o de modo de teste, ADMTv2 valida as seguintes depend�ncias:

Grupo local {SourceNetBIOSDom} $ $ $ � criado.
TcpipClientSupport no controlador de dom�nio prim�rio de origem ou emulador de controlador de dom�nio prim�rio est� ativado.
Auditoria em ambos os dom�nios est� ativado.

Opcionalmente, ADMT pode reparar qualquer essas depend�ncias n�o definidas. Para reparar ou definir essas configura��es, a conta usada para executar a ADMT deve ter permiss�es suficientes em cada dom�nio para executar as tarefas respectivo.

Observe que apenas o assistente executa essas verifica��es e corre��es. A linha de comando e interfaces de script n�o executam essas verifica��es e n�o funcionam sem configura��o correta.

Mensagens de erro comuns com a migra��o de sIDHistory entre florestas

"O identificador � inv�lido (c�digo de erro = 6)."

Este erro indica um problema RPC onde a ferramenta de migra��o n�o � poss�vel vincular a um ponto de extremidade RPC no controlador de dom�nio prim�rio de origem. Poss�veis causas incluem:

TcpipClientSupport no controlador de dom�nio prim�rio de origem ou emulador de controlador de dom�nio prim�rio n�o foi ativado.
O controlador de dom�nio prim�rio ou emulador de controlador de dom�nio prim�rio n�o foi reiniciado ap�s TcpipClientSupport foi configurado.
Resolu��o de nome DNS ou NetBIOS n�o est� funcionando.

N�o foi poss�vel verificar a auditoria e TcpipClientSupport nos dom�nios. N�o poder� migrar de SID. O grupo local especificado n�o existe.

Este erro normalmente indica que um usu�rio ou um grupo global ou universal com o nome de $ $ $ {SourceNetBIOSDom} j� existe. ADMT normalmente cria o grupo local do nome, mas ele n�o pode faz�-lo se j� existe uma entidade de seguran�a com o nome.

N�o foi poss�vel verificar a auditoria e TcpipClientSupport nos dom�nios. N�o poder� migrar de SID. Acesso negado.

Este erro normalmente indica que a conta de usu�rio que � usada para executar a ADMT n�o tem permiss�es suficientes para executar a migra��o em um ou ambos os dom�nios.

Pesquisa de nome de dom�nio falhou; rc = 1332. Nenhum mapeamento entre nomes de conta e as identifica��es de seguran�a foi feito.

Esse erro no arquivo Migration.log ap�s uma migra��o com sIDHistory geralmente indica que o dom�nio de origem tiver configurado as rela��es de confian�a que n�o existem no dom�nio de destino. Para resolver esse problema, execute o Assistente para migra��o de confian�a para mapear as rela��es de confian�a no dom�nio de origem e replicar as rela��es no dom�nio de destino.

Voltar para o in�cio

Informa��es adicionais sIDHistory

O sIDHistory � um atributo multivalorado de objetos de seguran�a no Active Directory pode armazenar at� 850 valores. O atributo sIDHistory para fornecer compatibilidade com vers�es anteriores com controladores de dom�nio que est�o executando vers�es anteriores do Windows, s� est� dispon�vel em dom�nios que operam no n�vel funcional do modo nativo do Windows 2000 ou posterior.

Alguns produtos do fornecedor de terceiros tornam poss�vel ativar o sIDHistory em dom�nios de modo misto. Essas declara��es n�o representam o uso leg�timo de APIs p�blicas. Os administradores de dom�nio usam tais ferramentas risco colocando sua implanta��o do Active Directory em um estado sem suporte.

Durante migra��es entre florestas, LDAP_Rename � respons�vel por mover objetos. Devido a isso, os objetos migrados ret�m dados de identifica��o importantes, incluindo o objectGUID e a senha. N�o � o caso para migra��es entre florestas, que chamar DSAddSidHistory para preencher o atributo no dom�nio de destino. Senha migra��o pode ser ativada para clonagem entre florestas, mas o objectGUID sempre � perdido durante este tipo de migra��o.

Em ambos os casos, objetos migrados s�o atribu�dos a um novo sID do dom�nio de destino. SID original � adicionado ao atributo sIDHistory de objetos migrados no novo dom�nio. Ap�s isso ocorre, o atributo sIDHistory pode n�o ser modificado ou exclu�do usando as ferramentas de administra��o padr�o do Active Directory. Isso n�o � permitido porque o atributo sIDHistory � de propriedade de SAM. � poss�vel limpar o sIDHistory usando um script ou uma ferramenta interna da Microsoft n�o p�blicos.

Observe que o sIDHistory � uma ferramenta transitional e n�o deve existir indefinidamente anexadas a objetos de seguran�a. Embora a migra��o de sIDHistory pode significativamente facilitar e simplificar o processo de migra��o de dom�nio, h� implica��es de seguran�a importantes que devem ser consideradas antes de implementar o sIDHistory em uma empresa de produ��o.

Um token de seguran�a 2000 Windows pode armazenar um m�ximo de 1,023 sIDs, incluindo o sIDHistory e grupo sIDs. Kerberos tamb�m � limitado porque Kerberos Windows 2000 tem um buffer de 73 sID. Ap�s aplicar o Windows 2000 Service Pack 2 (SP2), esse tamanho pode ser duplicado por uma altera��o de registro de toda a empresa. Exceder esses limites viola a restri��o de MaxTokenSize e pode gerar resultados imprevis�veis, incluindo falha de autentica��o Kerberos e aplicativo inexistente ou irregular das diretivas. Para evitar esses problemas, use a convers�o de seguran�a em vez de sIDHistory como a solu��o a longo prazo para manter o acesso ao recurso ap�s uma migra��o de dom�nio.

Voltar para o in�cio

A informa��o contida neste artigo aplica-se a:

Microsoft Windows Server 2003, Standard Edition (32-bit x86)
Microsoft Windows Server 2003, Enterprise Edition (32-bit x86)
Microsoft Windows Server 2003, Datacenter Edition (32-bit x86)
Microsoft Windows Server 2003, Enterprise Edition for Itanium-based Systems
Microsoft Windows Server 2003, Datacenter Edition for Itanium-Based Systems

Voltar para o in�cio

kbmt kbactivedirectory kbhowto kbtshoot KB322970 KbMtpt

Voltar para o in�cio

Tradu��o autom�tica

IMPORTANTE: Este artigo foi traduzido por um sistema de tradu��o autom�tica (tamb�m designado por Machine Translation ou MT), n�o tendo sido portanto traduzido ou revisto por pessoas. A Microsoft possui artigos traduzidos por aplica��es (MT) e artigos traduzidos por tradutores profissionais, com o objetivo de oferecer em portugu�s a totalidade dos artigos existentes na base de dados de suporte. No entanto, a tradu��o autom�tica n�o � sempre perfeita, podendo conter erros de vocabul�rio, sintaxe ou gram�tica. A Microsoft n�o � respons�vel por incoer�ncias, erros ou preju�zos ocorridos em decorr�ncia da utiliza��o dos artigos MT por parte dos nossos clientes. A Microsoft realiza atualiza��es freq�entes ao software de tradu��o autom�tica (MT). Obrigado.

Clique aqui para ver a vers�o em Ingl�s deste artigo: 322970� (http://support.microsoft.com/kb/322970/en-us/ )

Voltar para o in�cio

This site in other countries/regions:

Como solucionar problemas de migra��o de sIDHistory entre florestas com ADMTv2

Nesta p�gina

Sum�rio

Mais Informa��es

Configura��o

Usu�rio b�sico com base no assistente e migra��o de conta de grupo sem sIDHistory

migra��o de sIDHistory requer as seguintes depend�ncias adicionais

Requisitos adicionais para migrar sIDHistory com a linha de comando ou interfaces de script

Requisitos especiais para grupo de mapeamento e mesclagem de Assistente

Solucionando problemas

Mensagens de erro comuns com a migra��o de sIDHistory entre florestas

Informa��es adicionais sIDHistory

A informa��o contida neste artigo aplica-se a:

Palavras-chave:�

Forne�a coment�rios sobre essa informa��o

Outros Sites de Suporte

Comunidades

Obtenha Ajuda Agora

Tradu��es deste artigo

Centros de suporte relacionados