Logo GNT
Actualités Tests & Guides Bons Plans
Twitter iPhone pliant OnePlus 11 PS5 Disney+ Orange Livebox Windows 11
Entraide Windows Windows Serveur Active Directory Migration Inter Foret AD2003 --> AD2003 et pb SiDHistory

Migration Inter Foret AD2003 --> AD2003 et pb SiDHistory

4 réponses
Avatar
Rémi
Bonjour à tous,
J'ai un sérieux soucis avec une migration d'utilisateur AD2003--> AD2003
Soit 2 domaines AD2003, AD et MB
Ad est source, MB Cible
ADMT V3 est installé sur un DC de MB
PES est installé sur le PDC de AD
La base de registre est correctement configurée
Les droits des comptes exécutant la migration aussi
La migration d'un user se passe parfaitement bien.
Je récupere le mot de pass = PES & co fonctionne bien.
Le sid du compte du domaine AD se retrouve bien de le SiDHistory du compte
du domaine MB.
Les groupes qu'avait cet user sont bien migrés
Les groupes recupere bien ds SiDHistory le SID...

Donc on pourrait pense que tout est ok sauf que :
L'user ne peut mapper aucune des ressources du domaine source AD auxquels il
avait accès avant : accès refusés

C'est ma 1ere mig AD2003-->AD2003
Je n'ai jamais eu ce phénomène sous dans des migration NT à 2000 et NT à 2003.
Je zape peut etre quelque chose de tout bete, le domaine MB est brute de
fonderie donc avec les GPO Standards.

Je suis ouvert à toutes vos idées.

cordialement

remix
Signaler un problème avec ce contenu

4 réponses

Supprimer
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire

Veuillez sélectionner un problème

Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
Avatar
Jonathan BISMUTH
Bonjour Rémi,

je suppose que tu as déjà suivi cette fiche :
http://support.microsoft.com/kb/322970/fr ?

Ne peut il s'agir d'un débordement de tampon Kerberos (MaxTokenSize)?
Si tu ne migre pas le Sid History mais que tu passe par la translation de
sécurité, que se passe t'il ?

Cordialement,
--
Jonathan BISMUTH
MVP Windows Server - Directory Services
MCSE 2000/ADSI-AutoIT Scripter
www.portail-mcse.net
pour me contacter http://cerbermail.com/?fCeVUi7Icd
"Rémi" a écrit dans le message de news:

Bonjour à tous,
J'ai un sérieux soucis avec une migration d'utilisateur AD2003--> AD2003
Soit 2 domaines AD2003, AD et MB
Ad est source, MB Cible
ADMT V3 est installé sur un DC de MB
PES est installé sur le PDC de AD
La base de registre est correctement configurée
Les droits des comptes exécutant la migration aussi
La migration d'un user se passe parfaitement bien.
Je récupere le mot de pass = PES & co fonctionne bien.
Le sid du compte du domaine AD se retrouve bien de le SiDHistory du compte
du domaine MB.
Les groupes qu'avait cet user sont bien migrés
Les groupes recupere bien ds SiDHistory le SID...

Donc on pourrait pense que tout est ok sauf que :
L'user ne peut mapper aucune des ressources du domaine source AD auxquels
il
avait accès avant : accès refusés

C'est ma 1ere mig AD2003-->AD2003
Je n'ai jamais eu ce phénomène sous dans des migration NT à 2000 et NT à
2003.
Je zape peut etre quelque chose de tout bete, le domaine MB est brute de
fonderie donc avec les GPO Standards.

Je suis ouvert à toutes vos idées.

cordialement

remix



Avatar
Rémi
Salut Jonathan,

Merci pour tes réponses tjs si rapide.
En effet j'ai fait un check up avec cette KB...
Ce matin j'ai trouvé cette article, que je vais testé dès mon arrivée chez
le client.

http://www.eggheadcafe.com/forumarchives/windowsservermigration/oct2005/post24591645.asp

Il reste à suivre les liens chez Microsoft, puis lire...
SID FILTERING ! je vais testé...

cordialement

remi


Bonjour Rémi,

je suppose que tu as déjà suivi cette fiche :
http://support.microsoft.com/kb/322970/fr ?

Ne peut il s'agir d'un débordement de tampon Kerberos (MaxTokenSize)?
Si tu ne migre pas le Sid History mais que tu passe par la translation de
sécurité, que se passe t'il ?

Cordialement,
--
Jonathan BISMUTH
MVP Windows Server - Directory Services
MCSE 2000/ADSI-AutoIT Scripter
www.portail-mcse.net
pour me contacter http://cerbermail.com/?fCeVUi7Icd
"Rémi" a écrit dans le message de news:

Bonjour à tous,
J'ai un sérieux soucis avec une migration d'utilisateur AD2003--> AD2003
Soit 2 domaines AD2003, AD et MB
Ad est source, MB Cible
ADMT V3 est installé sur un DC de MB
PES est installé sur le PDC de AD
La base de registre est correctement configurée
Les droits des comptes exécutant la migration aussi
La migration d'un user se passe parfaitement bien.
Je récupere le mot de pass = PES & co fonctionne bien.
Le sid du compte du domaine AD se retrouve bien de le SiDHistory du compte
du domaine MB.
Les groupes qu'avait cet user sont bien migrés
Les groupes recupere bien ds SiDHistory le SID...

Donc on pourrait pense que tout est ok sauf que :
L'user ne peut mapper aucune des ressources du domaine source AD auxquels
il
avait accès avant : accès refusés

C'est ma 1ere mig AD2003-->AD2003
Je n'ai jamais eu ce phénomène sous dans des migration NT à 2000 et NT à
2003.
Je zape peut etre quelque chose de tout bete, le domaine MB est brute de
fonderie donc avec les GPO Standards.

Je suis ouvert à toutes vos idées.

cordialement

remix








Avatar
Jonathan Bismuth
Très juste.
Le Sid filtering est probablement [99,9% chances à peu prêt :p ] activé des
deux côtés du trust. Reste donc à netdomiser tout ça.

Quelques petits points plus techniques en revanche :

- réactive le filtering le plus vite possible, pour des raisons logiques de
sécurité
- dépassé l'imbrication de 500 Sid par objet (et je suis optimiste!), oublie
la translation de Sid.
Ca débordera fatalement la taille du jeton Kerberos avec des résultats peu
agréables (impossible d'ajouter un compte du domaine à un groupe, une
machine au domaine, GPO à problème ...), les palliatifs du type MaxTokenSize
étant pour moi trop bidouilleux et surtout risqués à long terme.

Cordialement,
--
Jonathan BISMUTH
MVP Windows Server - Directory Services
MCSE 2000/ADSI-AutoIT Scripter
Transcript (ID: 691839, code: MCSE2000)
www.portail-mcse.net
pour me contacter http://cerbermail.com/?fCeVUi7Icd


"Rémi" a écrit dans le message de news:

Salut Jonathan,

Merci pour tes réponses tjs si rapide.
En effet j'ai fait un check up avec cette KB...
Ce matin j'ai trouvé cette article, que je vais testé dès mon arrivée chez
le client.

http://www.eggheadcafe.com/forumarchives/windowsservermigration/oct2005/post24591645.asp

Il reste à suivre les liens chez Microsoft, puis lire...
SID FILTERING ! je vais testé...

cordialement

remi


Bonjour Rémi,

je suppose que tu as déjà suivi cette fiche :
http://support.microsoft.com/kb/322970/fr ?

Ne peut il s'agir d'un débordement de tampon Kerberos (MaxTokenSize)?
Si tu ne migre pas le Sid History mais que tu passe par la translation
de
sécurité, que se passe t'il ?

Cordialement,
--
Jonathan BISMUTH
MVP Windows Server - Directory Services
MCSE 2000/ADSI-AutoIT Scripter
www.portail-mcse.net
pour me contacter http://cerbermail.com/?fCeVUi7Icd
"Rémi" a écrit dans le message de news:

Bonjour à tous,
J'ai un sérieux soucis avec une migration d'utilisateur AD2003-->
AD2003
Soit 2 domaines AD2003, AD et MB
Ad est source, MB Cible
ADMT V3 est installé sur un DC de MB
PES est installé sur le PDC de AD
La base de registre est correctement configurée
Les droits des comptes exécutant la migration aussi
La migration d'un user se passe parfaitement bien.
Je récupere le mot de pass = PES & co fonctionne bien.
Le sid du compte du domaine AD se retrouve bien de le SiDHistory du
compte
du domaine MB.
Les groupes qu'avait cet user sont bien migrés
Les groupes recupere bien ds SiDHistory le SID...

Donc on pourrait pense que tout est ok sauf que :
L'user ne peut mapper aucune des ressources du domaine source AD
auxquels
il
avait accès avant : accès refusés

C'est ma 1ere mig AD2003-->AD2003
Je n'ai jamais eu ce phénomène sous dans des migration NT à 2000 et NT
à
2003.
Je zape peut etre quelque chose de tout bete, le domaine MB est brute
de
fonderie donc avec les GPO Standards.

Je suis ouvert à toutes vos idées.

cordialement

remix










Avatar
Rémi
ouai c'est bon j'ai "NETDOMISé" et ca fonctionne parfaite.
D'ailleurs c'est ecrit noir sur blanc dans la console domaine et approbation,
dans les propriétés de l'approbation, sélectionner le lien "domaines
approuvés par ce domaine :
en faisant propriétés.
en base de la fenetres il y a un message qui indique si oui ou non le
filtrage SID est acitvé


La commande à passer pour désactiver le filtrage SID est :
à effectuer sur le domaine source ds lequel il y a les données :
Netdom trust DOMAINE_SOURCE /domain:DOMAINE_CIBLE /quarantine:No
/usero:ADMIN_DOMAINE_SOURCE /passwordo:PASSWORD_DOMAINE_SOURCE

Voilà (soulagement)

Remix



Très juste.
Le Sid filtering est probablement [99,9% chances à peu prêt :p ] activé des
deux côtés du trust. Reste donc à netdomiser tout ça.

Quelques petits points plus techniques en revanche :

- réactive le filtering le plus vite possible, pour des raisons logiques de
sécurité
- dépassé l'imbrication de 500 Sid par objet (et je suis optimiste!), oublie
la translation de Sid.
Ca débordera fatalement la taille du jeton Kerberos avec des résultats peu
agréables (impossible d'ajouter un compte du domaine à un groupe, une
machine au domaine, GPO à problème ...), les palliatifs du type MaxTokenSize
étant pour moi trop bidouilleux et surtout risqués à long terme.

Cordialement,
--
Jonathan BISMUTH
MVP Windows Server - Directory Services
MCSE 2000/ADSI-AutoIT Scripter
Transcript (ID: 691839, code: MCSE2000)
www.portail-mcse.net
pour me contacter http://cerbermail.com/?fCeVUi7Icd


"Rémi" a écrit dans le message de news:

Salut Jonathan,

Merci pour tes réponses tjs si rapide.
En effet j'ai fait un check up avec cette KB...
Ce matin j'ai trouvé cette article, que je vais testé dès mon arrivée chez
le client.

http://www.eggheadcafe.com/forumarchives/windowsservermigration/oct2005/post24591645.asp

Il reste à suivre les liens chez Microsoft, puis lire...
SID FILTERING ! je vais testé...

cordialement

remi


Bonjour Rémi,

je suppose que tu as déjà suivi cette fiche :
http://support.microsoft.com/kb/322970/fr ?

Ne peut il s'agir d'un débordement de tampon Kerberos (MaxTokenSize)?
Si tu ne migre pas le Sid History mais que tu passe par la translation
de
sécurité, que se passe t'il ?

Cordialement,
--
Jonathan BISMUTH
MVP Windows Server - Directory Services
MCSE 2000/ADSI-AutoIT Scripter
www.portail-mcse.net
pour me contacter http://cerbermail.com/?fCeVUi7Icd
"Rémi" a écrit dans le message de news:

Bonjour à tous,
J'ai un sérieux soucis avec une migration d'utilisateur AD2003-->
AD2003
Soit 2 domaines AD2003, AD et MB
Ad est source, MB Cible
ADMT V3 est installé sur un DC de MB
PES est installé sur le PDC de AD
La base de registre est correctement configurée
Les droits des comptes exécutant la migration aussi
La migration d'un user se passe parfaitement bien.
Je récupere le mot de pass = PES & co fonctionne bien.
Le sid du compte du domaine AD se retrouve bien de le SiDHistory du
compte
du domaine MB.
Les groupes qu'avait cet user sont bien migrés
Les groupes recupere bien ds SiDHistory le SID...

Donc on pourrait pense que tout est ok sauf que :
L'user ne peut mapper aucune des ressources du domaine source AD
auxquels
il
avait accès avant : accès refusés

C'est ma 1ere mig AD2003-->AD2003
Je n'ai jamais eu ce phénomène sous dans des migration NT à 2000 et NT
à
2003.
Je zape peut etre quelque chose de tout bete, le domaine MB est brute
de
fonderie donc avec les GPO Standards.

Je suis ouvert à toutes vos idées.

cordialement

remix