Migrationsleitfaden Version 3.0

Die Wahl von Windows 2000 Server als Ausgangssituation wurde gewählt, da eine Migration
von Windows Server 2003 heute eher als eine Ausnahmeoption angesehen wird.
Behörden, die aktuell oder in jüngster Zeit auf Windows 2003 Server gewechselt haben,
werden schon aus wirtschaftlichen Gründen und aus Gründen des Investitionsschutzes
gegenwärtig kaum eine erneute Migration durchführen.
2.2.1 Funktionaler Vergleich
Im Active Directory werden Information über Nutzer, Gruppen, Maschinen, Freigaben,
Dienste und Geräte als Objekte gespeichert.
Die Authentifizierung von Benutzern und Maschinen wird über Kerberos realisiert. Dabei
wird eine Microsoft eigene Implementierung des Kerberos 5 Protokolls mit proprietären
Erweiterungen eingesetzt.
Mit Hilfe eines Linux-Systems in Kombination mit Samba 3.x, OpenLDAP 2.4.x und einer
offenen Implementierung des Kerberos 5 Protokolls (Heimdal oder MIT) lassen sich die
wesentlichen Funktionen der Windows 2000 Server / Active Directory Kombination hinsichtlich
der Authentisierung abbilden.
Der kritische Punkt für eine Migrationsentscheidung sind die Lock-In Szenarien. Somit
muss die Frage geklärt werden, ob es Dienste und Anwendungen gibt, welche die proprietären
Schnittstellen des Active Directory verwenden und mit welchem Aufwand und
innerhalb welchen Zeitraumes sich diese Abhängigkeiten auflösen lassen. Die ersten
Dienste und Anwendungen, die in diesem Zusammenhang regelmäßig eine Rolle spielen,
sind Exchange 2003, MS SQL Server und in Zukunft auch verstärkt die verschiedenen
Versionen der SharePoint Server.
Lassen sich diese Lock-In Szenarien nicht unter wirtschaftlichen Grundsätzen auflösen,
dann wird eine positive Entscheidung für den hier betrachteten Migrationspfad eher
schwierig. Dies wird, soweit heute absehbar, auch für die neueren Versionen der Windows
Server Systeme so sein.
Ob eine Version 4 von Samba, die sich derzeit in Entwicklung befindet, eine Abhilfe
schaffen kann, ist heute noch nicht absehbar und soll daher hier vorerst auch nicht weiter
thematisiert werden.
2.2.2 Migrationspfad
Nachfolgend wird nun die Ablösung einer Windows 2000 Server Authentisierungsinfrastruktur
mit Active Directory und Kerberos betrachtet. Der wesentliche Schritt dabei ist, wie
eingangs bereits erwähnt, die Überführung der Benutzer- Gruppen- und Maschinenkonten
sowie der entsprechenden Credentials. Im Gegensatz zum älteren Migrationspfad
von Windows NT 4.0 Server nach Linux in Kombination mit Samba und OpenLDAP
muss hier zusätzlich geprüft werden, inwieweit eine Überführung der Kerberos-
Authentisierungsinfrastruktur unter Windows 2000 Server machbar ist beziehungsweise
wie ein Migration durchgeführt werden kann.
Genau wie bei einer Ausgangslage, die auf Windows NT 4.0 Server basiert, müssen
zunächst die entsprechenden Domänencontroller mit Linux, Samba und OpenLDAP aufgebaut
werden (siehe KapitelII.C 2.1.2 II.C 2.1.2).
Seite 216