Solutions pour la gestion des domaines Windows Active Directory

Migration entre serveurs des objets Active Directory et des permissions d'accès des fichiers & répertoires (ACL)

Comment gérer l'attribut SIDHistory ?

Je souhaiterais transférer les anciens SID des groupes et des utilisateurs à l'aide de votre logiciel IDEAL Migration afin que ces derniers puissent accéder aux ressources encore présentes sur l'ancien domaine. Pour cela, je veux utiliser l'attribut "SIDHistory".

Lorsqu'un groupe ou un utilisateur est créé, un SID (Security Identifier) est automatiquement associé à celui-ci. Ce SID est utilisé par la suite pour autoriser ou refuser l'accès à l'ensemble des ressources du réseau : répertoires partagés, permissions NTFS, imprimantes, etc.

Lors de la migration des groupes et des utilisateurs vers Windows 2000/2003/2008/2012/2016 ou 2019, de nouveaux SID sont créés et par conséquent les utilisateurs nouvellement créés n'auront plus accès aux ressources se trouvant sur leur ancien domaine.

Un nouvel attribut nommé SIDHistory permet de résoudre ce problème en associant aux nouveaux groupes/utilisateurs leur ancien SID, autorisant ainsi l'accès aux différentes ressources.

L'utilisation de SIDHistory est facultative et dépend du type de migration choisi par l'administrateur du réseau. Dans tous les cas son utilisation doit être temporaire.

Contraintes de l'utilisation de SIDHistory

L'utilisation de SIDHistory nécessite au préalable la vérification et la configuration de certains paramètres. A savoir :

• La configuration de la boîte de dialogue SID History dans IDEAL Migration uniquement si le domaine source est de type Windows 2000 ou supérieur :
  • Utilisez le clic droit sur "IDEAL Migration sur ....", puis "Configuration", et enfin sélectionnez l'onglet "SID History"
  • Renseignez l'ensemble des informations demandées concernant les domaines source et clible.
• L'ordinateur exécutant IDEAL MIGRATION doit être de type Windows 2000, Windows 2003, Windows 2008 ou Windows 2012.
• L'utilisateur doit faire partie du groupe Admins du domaine de l'ensemble des domaines gérés (domaines source et destination).
• Domaine source
  • Vérifiez la présence de la clé TcpipClientSupport dans la base des registres (HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\TcpipClientSupport) et configurez sa valeur à REG_DWORD = 1 (Nécessite un redémarrage de l'ordinateur pour être pris en compte).
  • Activez l'Audit Gestion des utilisateurs et des groupes : Succès et Echec.
  • Créez un groupe local du nom NetBios du domaine source suivi de trois dollars (ex: POINTDEV$$$)
• Domaine destination
  • Activez l'Audit Gestion des utilisateurs et des groupes : Succès et Echec.
• Le domaine source peut être de type Windows NT, Windows  2000, Windows 2003, Windows 2008 ou Windows 2012.
• Le domaine destination doit être de type Windows  2000/2003/2008 ou 2012 en mode natif.
• Une relation d'approbation doit être établie entre le domaine source et le domaine destination.
• Les domaines source et destination ne doivent pas appartenir à la même forêt.

A LIRE : Comment activer / désactiver le filtering pour la gestion des SIDHistory ?