每天学习一点点,进步一点点!
目前很多公司,AD域控制器的版本是windows server 2008 R2,由于已经过了生命周期,因此必须要进行升级,才能保障域控的安全。要不然以后发现了漏洞,微软又不提供补丁,风险极大!
目前windows的版本都去到windows server 2019了,隔了整整三代。我们首先看看主流的几个windows版本生命周期:
Windows server 2019,开始日期2018/11/13,生命周期到2024/01/09,2029/01/09停止支持
Windows server 2016,开始日期2016/10/15,生命周期到2022/01/11,2027/01/12停止支持
Windows server 2012R2,开始日期2013/11/25,生命周期到2018/10/09,2023/10/10停止支持
Windows server 2008R2,开始日期2009/10/22,生命周期到2015/01/13,2020/01/14停止支持
所以我们在升级的时候,产品的生命周期也是我们需要考虑的一个方面。总不能才升级一年,第二年就停止支持了,岂不尴了个尬。
同时,是不是需要使用最新版本的windows 2019呢?也不一定,需要进一步综合评估。考虑到两点,一是运维人员考虑的不是版本的新旧,而是产品的稳定性,太新的产品,用起来总是没有那么让人放心。毕竟大家都有一个心理-让别人踩完坑,我再上。一个产品用的时间越长,碰到的问题就越多,那么在安装部署的时候,能够规避的问题就越多,就越加有参考意义。二是应用兼容性,每个windows 版本,在加密方式上,或多或少都会有些区别。美其名曰与时俱进,增加了安全性。但是往往会导致部分应用不兼容,无法正常的调用和访问AD。
应该说从windows server 2012开始,AD域服务的变化就很大了。你再回头去看看08R2或者之前的版本,心里只会有一个感觉-界面真丑[笑哭]。AD DS的部署,比以前更简单了,对powershell的支持更加全面,安装成功率更高。
有哪些比较大的变化呢,随便列举几点供各位参考:
- 可以同时在多台服务器上添加AD DS角色,同时运行安装向导,非常适合大规模部署;
- Adprep.exe已经退出历史舞台,集成到了AD DS安装过程中,繁琐的都进行了简化或者后台自动执行,缩短了安装时间,避免出错;
- 可以使用GUI界面和powershell安装,两者提供相同的功能,更加灵活,可复制性强,远程安装也不是事。使用脚本来安装,也显得更加高大上一点;
- 安装之前,会进行先决条件检查,发现和报告任何潜在的错误。这样就可以让你在正式部署之前,就提前发现和排除错误;
- 支持将安装过程,导出为一个powershell脚本,便于以后的自动化操作;
- 仅在重新启动之前,才会开始尽管关键信息的复制。
我这边仅以升级到2016作为例子,来对后续的诸多升级相关操作进行分享。
- 林功能级别的要求-windows server 2003,够低了吧。。。
- 无法安装域控的版本
默认我们都是使用standard版本进行安装,如果你想使用其他版本,需要注意了,下面两个版本的windows server,是无法作为域控的:
Windows MultiPoint Server,Windows Server 2016 Essentials
- 无法共存的角色
AD DS角色跟两种角色无法共存,分别是Microsoft Hyper-V Server 2016,远程桌面连接代理,有我无他,有他无我的关系。
接下来说说升级的大致步骤(不管是就地升级还是常规升级)
1、网络策略,如果是常规升级,应确保相关的网络端口都已经开放,能够正常访问。你想知道哪些端口?请看我之前专门讲解AD端口的文章;
2、升级账号权限,升级AD,涉及到扩展架构,扩展域,扩展组策略,需要Schema Admins、Enterprise Admins 和 Domain Admins;
3、扩展架构怎么办?很简单,三步走,1、运行 adprep /forestprep;2、运行 adprep /domainprep,3、运行 adprep /domainprep /gpprep;通过这三条命令,就完成了前期的架构扩展工作咯
4、备份,如果是就地升级,需要对CA、DHCP、DNS(配置了转发器)进行备份。这三个角色,也是大部分企业AD上承载的吧!
专门说说就地升级AD 2016支持从AD 2012或者AD 2012R2就地升级到AD 2016。当然仅支持64位版本的升级,因为2016只有64位的版本!
升级的一一对应关系,直接看下图:
至于AD本身的升级,其实就很简单了,最难的,还是相关角色的迁移,这个后面会介绍。我们先简单看一下AD的就地升级步骤哈:
1、挂载2016的ISO;
2、导航到support路径下;
3、adprep /forestprep准备林--同步站点;
4、adprep /domainprep准备域--同步站点;
5、adprep /domainprep /gpprep更新组策略--同步站点;
6、FSMO转移;
7、安装升级步骤如下:
- 双击.exe运行安装程序:
- 没有联网,不更新:
- 先决条件检查:
- 输入秘钥:
- 选择桌面体验版本,也就是有桌面GUI的版本:
- 接受许可条款:
- 选择要保留的内容:
- 忙里偷闲去晾了个衣服回来,到了提醒界面,说这种升级方式不建议云云云的,直接点击确认,干就完了:
- 系统空间检查:
- 开始进行安装:
- 大概要安装一个小时:
安装完之后,会自动重启,然后就OK了。夜已深,就让它装着,明天再看结果哈!
感谢阅读!