Migration d'un domaine Windows 2000 vers un domaine Windows 2003

Utilisation de l'utilitaire ADPREP

En insérant le CD Windows 2003 sur un serveur Windows 2000, le programme de setup vous affichera cet écran.

le programme vous invite à récupérer les mise a jour automatiquement.

Le programme de configuration vous fait un rapport sur l'état du système et vous signale ce qui peut être corriger avant de faire cette nouvelle installation. Les points marqués d'une croix en rouge sont des points bloquants, tant que ces points seront signalés vous ne pourrez pas installer Windows 2003 sur un contrôleur de domaine Windows 2000.

Avant toute chose il faut utiliser l'utilitaire ADPREP, voici l'aide affichable dans un interpréteur de commande.

F:\\I386>adprep /?
La commande possède la syntaxe suivante :

adprep <cmd> [option]

Pris en charge <cmd>:
/forestPrep La mise à jour des informations au niveau de la forêt
Doit être exécutée sur le contrôleur de rôle de schéma

/domainPrep La mise à jour des informations au niveau du domaine
Doit être exécutée sur le contrôleur de rôle d'infrastructure
Doit être exécutée lorsque /forestPrep est terminé

Pris en charge [option] :
/noFileCopy adprep ne copie aucun fichier de la source
sur l'ordinateur local

/noSPWarning adprep supprimera l'avertissement demandant Windows 2000
Service Pack 2 lors de l'opération /forestprep
 

Voici ce que donne le passage de ADPREP

F:\I386>adprep /forestprep

AVERTISSEMENT ADPREP :

Avant d'exécuter adprep, tous les contrôleurs de domaine Windows 2000 dans la fo
rêt devraient être mis à jour à Windows 2000 Service Pack 1 (SP1) avec le correc
tif logiciel QFE 265089, ou à Windows 2000 SP2 (ou ultérieure).

QFE 265089 (inclus dans Windows 2000 SP2 et ultérieure) est requis pour éviter la
corruption potentielle des contrôleurs de domaine.

Pour obtenir plus d'informations concernant la préparation de votre forêt et de
votre domaine, consultez l'article Q331161 à http://support.microsoft.com.

[Action Utilisateur]
Si TOUS vos contrôleurs de domaine Windows 2000 existants correspondent à cette
configuration, appuyez sur C puis appuyez sur la touche ENTREE pour continuer. Sinon
appuyez sur n'importe quelle autre touche puis appuyez sur ENTREE pour quitter.


Connexion a ASSYSMSRV ouverte
Liaison SSPI reussie
La version actuelle du schema est 13
Mise a jour du schema a la version 30
Connexion à "ASSYSMSRV" en cours
Connexion en tant qu'utilisateur actuel en utilisant SSPI
Importation de l'annuaire à partir du fichier "C:\WINNT\system32\sch14.ldf"
Chargement des entrées..........................................................
......................................................
111 entrées modifiées.

La commande s'est terminée correctement
Connexion à "ASSYSMSRV" en cours
Connexion en tant qu'utilisateur actuel en utilisant SSPI
Importation de l'annuaire à partir du fichier "C:\WINNT\system32\sch15.ldf"
Chargement des entrées..........................................................
...........
68 entrées modifiées.

La commande s'est terminée correctement
Connexion à "ASSYSMSRV" en cours
Connexion en tant qu'utilisateur actuel en utilisant SSPI
Importation de l'annuaire à partir du fichier "C:\WINNT\system32\sch16.ldf"
Chargement des entrées..................................
33 entrées modifiées.

La commande s'est terminée correctement
Connexion à "ASSYSMSRV" en cours
Connexion en tant qu'utilisateur actuel en utilisant SSPI
Importation de l'annuaire à partir du fichier "C:\WINNT\system32\sch17.ldf"
Chargement des entrées......................
21 entrées modifiées.

La commande s'est terminée correctement
Connexion à "ASSYSMSRV" en cours
Connexion en tant qu'utilisateur actuel en utilisant SSPI
Importation de l'annuaire à partir du fichier "C:\WINNT\system32\sch18.ldf"
Chargement des entrées.................................
32 entrées modifiées.

La commande s'est terminée correctement
Connexion à "ASSYSMSRV" en cours
Connexion en tant qu'utilisateur actuel en utilisant SSPI
Importation de l'annuaire à partir du fichier "C:\WINNT\system32\sch19.ldf"
Chargement des entrées............................
27 entrées modifiées.

La commande s'est terminée correctement
Connexion à "ASSYSMSRV" en cours
Connexion en tant qu'utilisateur actuel en utilisant SSPI
Importation de l'annuaire à partir du fichier "C:\WINNT\system32\sch20.ldf"
Chargement des entrées....................
19 entrées modifiées.

La commande s'est terminée correctement
Connexion à "ASSYSMSRV" en cours
Connexion en tant qu'utilisateur actuel en utilisant SSPI
Importation de l'annuaire à partir du fichier "C:\WINNT\system32\sch21.ldf"
Chargement des entrées..............
13 entrées modifiées.

La commande s'est terminée correctement
Connexion à "ASSYSMSRV" en cours
Connexion en tant qu'utilisateur actuel en utilisant SSPI
Importation de l'annuaire à partir du fichier "C:\WINNT\system32\sch22.ldf"
Chargement des entrées........................................
39 entrées modifiées.

La commande s'est terminée correctement
Connexion à "ASSYSMSRV" en cours
Connexion en tant qu'utilisateur actuel en utilisant SSPI
Importation de l'annuaire à partir du fichier "C:\WINNT\system32\sch23.ldf"
Chargement des entrées...........
10 entrées modifiées.

La commande s'est terminée correctement
Connexion à "ASSYSMSRV" en cours
Connexion en tant qu'utilisateur actuel en utilisant SSPI
Importation de l'annuaire à partir du fichier "C:\WINNT\system32\sch24.ldf"
Chargement des entrées................
15 entrées modifiées.

La commande s'est terminée correctement
Connexion à "ASSYSMSRV" en cours
Connexion en tant qu'utilisateur actuel en utilisant SSPI
Importation de l'annuaire à partir du fichier "C:\WINNT\system32\sch25.ldf"
Chargement des entrées..............................................
45 entrées modifiées.

La commande s'est terminée correctement
Connexion à "ASSYSMSRV" en cours
Connexion en tant qu'utilisateur actuel en utilisant SSPI
Importation de l'annuaire à partir du fichier "C:\WINNT\system32\sch26.ldf"
Chargement des entrées.............................
28 entrées modifiées.

La commande s'est terminée correctement
Connexion à "ASSYSMSRV" en cours
Connexion en tant qu'utilisateur actuel en utilisant SSPI
Importation de l'annuaire à partir du fichier "C:\WINNT\system32\sch27.ldf"
Chargement des entrées..........................................................
...........
68 entrées modifiées.

La commande s'est terminée correctement
Connexion à "ASSYSMSRV" en cours
Connexion en tant qu'utilisateur actuel en utilisant SSPI
Importation de l'annuaire à partir du fichier "C:\WINNT\system32\sch28.ldf"
Chargement des entrées......
5 entrées modifiées.

La commande s'est terminée correctement
Connexion à "ASSYSMSRV" en cours
Connexion en tant qu'utilisateur actuel en utilisant SSPI
Importation de l'annuaire à partir du fichier "C:\WINNT\system32\sch29.ldf"
Chargement des entrées.......
6 entrées modifiées.

La commande s'est terminée correctement
Connexion à "ASSYSMSRV" en cours
Connexion en tant qu'utilisateur actuel en utilisant SSPI
Importation de l'annuaire à partir du fichier "C:\WINNT\system32\sch30.ldf"
Chargement des entrées................
15 entrées modifiées.

La commande s'est terminée correctement
................................................................................
................................................................................
................................................................................
................................................................................
................................................................................
................................................................................
................................................................................
................................................................................
................................................................................
................................................................................
............................................................................
...........................................
Adprep a correctement mis à jour les informations au niveau de la forêt.




F:\I386>adprep /domainPrep

Adprep a correctement mis à jour les informations au niveau du domaine.
 

Si vous aviez installé un gestionnaire de Fax il vous prévient qu'il en installe un aussi. Vous pourrez le désinstaller par la suite.

Il vous previent aussi si vous avez installer un logiciel de gravage de CDRom.

Après avoir passé ADPREP le message doit avoir disparu.

Toutes ces explications ont été trouvées dans les fichiers install-X.txt sur le CD d'installation.

Le programme d'installation a détecté que le domaine et la forêt Active Directory doivent être préparés pour Windows Server 2003.

Description

La forêt et les domaines sont préparés via l'exécution de la commande adprep, respectivement dans le maître d'opérations de schéma et le maître d'opérations d'infrastructure.
Ce contrôleur de domaine est le maître d'opérations de schéma.
Pour préparer la forêt et les domaines Active Directory, effectuez les procédures ci-après dans l'ordre indiqué.
Pour préparer un domaine Active Directory pour Windows Server 2003

Pour quitter le programme d'installation, cliquez sur Suivant, sur Terminer, puis sur Quitter.
À l'invite de commandes, accédez au répertoire \I386 et tapez :
adprep /forestprep
Lorsque vous y êtes invité, tapez C, puis appuyez sur ENTRÉE pour commencer la préparation de la forêt, ou appuyez sur n'importe quelle autre touche avant d'appuyer sur ENTRÉE pour annuler.

Une fois que les données de préparation de la forêt ont été répliquées sur l'ensemble de la forêt, préparez les domaines pour Windows Server 2003 selon la procédure décrite ci-dessous. L'opération de préparation du domaine doit être effectuée dans le maître d'opérations d'infrastructure de chaque domaine de la forêt.
Pour préparer un domaine Active Directory pour Windows Server 2003

Sur le contrôleur de domaine jouant le rôle de maître d'opérations d'infrastructure, insérez le support d'installation ou connectez-vous à ce support.
Si l'image de démarrage s'affiche, cliquez sur Quitter.
À l'invite de commandes, accédez au répertoire \I386 du support d'installation et tapez :
adprep /domainprep
Si la commande est exécutée sur un contrôleur de domaine autre que le maître d'opérations actuel, le nom de ce dernier s'affiche. Dans ce cas, répétez les étapes 1 à 3 sur le maître d'opérations actuel.

Une fois que les données de préparation du domaine ont été répliquées sur l'ensemble du domaine, mettez à niveau le contrôleur de domaine en exécutant le programme d'installation de Windows Server 2003 (I386\winnt32.exe sur le support d'installation).
Remarques

Vous ne pouvez pas mettre à niveau les contrôleurs de domaine dans une forêt sans préparer au préalable la forêt et les domaines à l'aide de la commande adprep, respectivement sur les maîtres d'opérations d'infrastructure et de schéma.
En fonction de la planification de réplication de votre organisation, le temps nécessaire à la propagation des données de préparation peut varier.
 

Les outils d'administration Windows 2000 ont été détectés sur votre ordinateur. Les outils d'administration Windows 2000 sont incompatibles avec les systèmes d'exploitation de la famille Windows Server 2003. Effectuez l'une des opérations suivantes :

Annulez la mise à niveau, désinstallez les outils d'administration Windows 2000 et redémarrez la mise à niveau.
Terminez cette mise à niveau, puis installez le jeu des Outils d'administration Windows Server 2003 en exécutant le fichier de package Windows Installer adminpak.msi. Adminpak.msi se trouve dans le répertoire \i386 de votre CD Windows Server 2003.
Pour plus d'informations sur la configuration requise pour l'installation du jeu des outils d'administration Windows Server 2003, consultez l'article 304718 de la Base de connaissances Microsoft ou visitez le site http://www.microsoft.com

Pour administrer à distance les services et les applications serveur à partir d'un ordinateur exécutant Windows XP Professionnel ou Windows Server 2003, utilisez Bureau à distance.

Pour la liste des logiciels pris en charge par cette version de Windows, consultez la liste des logiciels compatibles sur le site Web de Microsoft.
 

Problèmes d'interopérabilité concernant Windows 95 et Windows NT 4.0



RÉSUMÉ

Les contrôleurs de domaine Windows Server 2003 implémentent des paramètres de sécurité par défaut qui protègent les communications des contrôleurs de domaine contre le détournement ou autre forme de falsification. Certains ordinateurs anciens ne peuvent pas satisfaire à ces exigences de sécurité et ne peuvent donc pas communiquer avec des contrôleurs de domaine Windows Server 2003 sans une intervention administrative.

Les machines concernées comprennent les ordinateurs Windows for Workgroups et Windows 95 où le Pack Client DS n'a pas été installé, les ordinateurs exécutant une version de Windows NT 4.0 antérieure au Service Pack 4 ainsi que les périphériques, notamment Pocket PC 2002 et les versions précédentes, basés sur Windows CE version 4.1 ou antérieure.



SIGNATURE SMB

Par défaut, les contrôleurs de domaine Windows Server 2003 nécessitent que tous les clients signent numériquement les communications SMB. Le protocole SMB est utilisé pour assurer le partage des fichiers et de l'impression, diverses fonctions d'administration à distance, ainsi que l'authentification de connexion pour certains clients de niveau inférieur. Les ordinateurs Windows for Workgroups et Windows 95 dépourvus du Pack Client DS, les ordinateurs exécutant une version de Windows NT 4.0 antérieure au Service Pack 3 et les périphériques, notamment Pocket PC 2002 et les versions précédentes, basés sur Windows CE version 4.1 ou antérieure, ne sont pas en mesure d'effectuer la signature SMB et ne peuvent donc pas, par défaut, se connecter à des contrôleurs de domaine Windows Server 2003. Si de tels clients ne peuvent pas être mis à niveau vers un système d'exploitation actuel ou de façon à satisfaire aux exigences minimales décrites plus haut, l'obligation de signature SMB peut être supprimée en désactivant la stratégie de sécurité suivante dans l'objet Stratégie de groupe du contrôleur de domaine par défaut de l'unité d'organisation des contrôleurs de domaine :

Configuration ordinateur\Paramètres Windows\Paramètres de sécurité\Stratégies locales\Options de sécurité\Serveur réseau Microsoft : Signer numériquement les communications (toujours)

Des instructions détaillées sur la façon de modifier ce paramètre sont fournies plus bas.

Avertissement : La désactivation de ce paramètre de sécurité expose toutes les communications de vos contrôleurs de domaine à des attaques de type intrusion. Il est donc vivement recommandé de mettre à niveau vos clients plutôt que de désactiver ce paramètre de sécurité. Le Pack Client DS, requis pour que les clients Windows 95 puissent effectuer la signature SMB, est disponible dans le sous-répertoire \clients\win9x du CD-ROM Windows 2000 Server.



SIGNATURE DES CANAUX SÉCURISÉS

Par défaut, les contrôleurs de domaine Windows Server 2003 nécessitent que toutes les communications par canaux sécurisés soient signées ou cryptées. Les canaux sécurisés sont utilisés par les ordinateurs Windows NT pour les communications entre membres de domaine et contrôleurs de domaine, ainsi qu'entre des contrôleurs de domaine ayant une relation d'approbation. Les ordinateurs exécutant une version de Windows NT 4.0 antérieure au Service Pack 4 ne sont pas en mesure de signer ou de crypter les communications par canaux sécurisés. Si des ordinateurs Windows NT 4.0 de version antérieure à SP4 doivent joindre ce domaine, ou si ce domaine doit approuver d'autres domaines contenant des contrôleurs de domaine pré-SP4, l'obligation de signature des canaux sécurisés peut être supprimée en désactivant la stratégie de sécurité suivante dans l'objet Stratégie de groupe du contrôleur de domaine par défaut :

Configuration de l'ordinateur\Paramètres Windows\Paramètres de sécurité\Stratégies locales\Options de sécurité\Membre de domaine : Crypter ou signer numériquement les données des canaux sécurisés (toujours)

Des instructions détaillées sur la façon de modifier ce paramètre sont fournies plus bas.

Avertissement : La désactivation de ce paramètre de sécurité expose les communications des canaux sécurisés à des attaques de type intrusion. Il est donc vivement recommandé de mettre à niveau vos ordinateurs Windows NT 4.0 plutôt que de désactiver ce paramètre de sécurité.



MODIFICATION DE L'OBJET STRATÉGIE DE GROUPE DU CONTRÔLEUR DE DOMAINE PAR DÉFAUT

Pour vous assurer que tous les contrôleurs de domaine appliquent les mêmes exigences de signature SMB et de canaux sécurisés, définissez les paramètres de sécurité correspondants dans l'objet Stratégie de groupe du contrôleur de domaine par défaut, en procédant comme suit :

Ouvrez une session sur un ordinateur où le composant logiciel enfichable Utilisateurs et ordinateurs Active Directory est installé.
Démarrer --> Exécuter --> DSA.MSC
Développez le domaine qui contient vos contrôleurs de domaine Windows Server 2003.
Cliquez avec le bouton droit sur l'unité d'organisation des contrôleurs de domaine, puis cliquez sur Propriétés.
Cliquez sur l'onglet Stratégie de groupe, sélectionnez la stratégie par défaut des contrôleurs de domaine, puis cliquez sur Modifier.
Développez Configuration ordinateur, Paramètres Windows, Paramètres de sécurité, Stratégies locales et Options de sécurité.
Dans le volet de résultats, double-cliquez sur l'option de sécurité que vous souhaitez modifier. Par exemple, Serveur réseau Microsoft : communications signées numériquement (toujours) ou Membre de domaine : Crypter ou signer numériquement les données des canaux sécurisés (toujours).
Activez la case à cocher Définir ce paramètre de stratégie.
Activez ou désactivez ce paramètre de sécurité, selon vos besoins, puis cliquez sur OK.
 

Voici la suite, c'est bien sûr une mis à niveau et non pas une nouvelle installation.

Il faut accepter les termes du contrat.

Vous n'avez plus qu'a saisir la clé et continuer l'installation.

Retour