Réplication partielle d'un AD
Résolu
MarcusDom
Messages postés
53
Statut
Membre
-
Utilisateur anonyme -
Utilisateur anonyme -
Bonjour,
Je suis actuellement en stage et ca fait 3 semaines que je me creuse la tête pour trouver une solution à mon problème.
Je m'explique : je dois répliquer un AD qui se trouve dans un VPN vers une DMZ, mais en répliquant qu'une partie des attributs de l'annuaire ( ne pas répliquer les données sensibles comme les mots de passe par exemple ). Je souhaiterai savoir s'il est possible d'effectuer ce genre d'opérations à partir d'un environnement windows server 2008 se situant dans le VPN et avec un windows server 2003 dans la DMZ.
J'ai un peu abandonné l'idée de répliquer l'AD vers un openLDAP, apparement ca pose soucis au niveau des normes des schémas entre les deux annuaires.
Voilà si vous avez une solution à me proposer je suis preneur.
Merci
Je suis actuellement en stage et ca fait 3 semaines que je me creuse la tête pour trouver une solution à mon problème.
Je m'explique : je dois répliquer un AD qui se trouve dans un VPN vers une DMZ, mais en répliquant qu'une partie des attributs de l'annuaire ( ne pas répliquer les données sensibles comme les mots de passe par exemple ). Je souhaiterai savoir s'il est possible d'effectuer ce genre d'opérations à partir d'un environnement windows server 2008 se situant dans le VPN et avec un windows server 2003 dans la DMZ.
J'ai un peu abandonné l'idée de répliquer l'AD vers un openLDAP, apparement ca pose soucis au niveau des normes des schémas entre les deux annuaires.
Voilà si vous avez une solution à me proposer je suis preneur.
Merci
A voir également:
- Réplication partielle d'un AD
- Ad aware - Télécharger - Sécurité
- Ad away - Télécharger - Outils Internet
- Ad cleaner - Télécharger - Antivirus & Antimalwares
- Ad remover - Télécharger - Antivirus & Antimalwares
- Ad muncher - Télécharger - Divers Web & Internet
69 réponses
- 1
- 2
- 3
- 4
Suivant
Résumé de la discussion
Cette problématique porte sur répliquer partiellement un annuaire Active Directory dans un VPN vers DMZ, en évitant les données sensibles et en utilisant Windows Server 2008 et Windows Server 2003. Plusieurs réponses préconisent une synchronisation par fichier LDIF: export de l’AD avec LDIFDE et import dans un annuaire OpenLDAP, solution moins lourde que ADAM et plus compatible. Des obstacles portent sur les droits d’accès, la configuration des ports et des messages d’erreur comme 0x800706ec ou 0x80070057, ce qui complique la synchronisation entre DMZ et VPN. D’autres essais évoquent l’usage d’ADAM avec des paramètres DNS et des schémas ADSI pour explorer les objets, montrant la nécessité d’ajuster les droits d’accès à la réplication.
Bonjour,
Je pense que tu prends le pb dans le mauvais sens.
Quel est le but de publier une partie d'annuaire dans une DMZ ? Je suppose que tu veux publier un service sur internet non ? Si oui quel service ?
Active directory n'est pas un système d'authentification publiable sur internet, tu fais fausse route en voulant partir de cela. Il faut d'abord réfléchir à ce que tu veux publier, puis voir ensuite la possibilité de coupler ce service avec un annuaire AD (Radius par exemple).
Je pense que tu prends le pb dans le mauvais sens.
Quel est le but de publier une partie d'annuaire dans une DMZ ? Je suppose que tu veux publier un service sur internet non ? Si oui quel service ?
Active directory n'est pas un système d'authentification publiable sur internet, tu fais fausse route en voulant partir de cela. Il faut d'abord réfléchir à ce que tu veux publier, puis voir ensuite la possibilité de coupler ce service avec un annuaire AD (Radius par exemple).
en fait, l'objectif est de pouvoir accès au carnet d'adresses de l'entreprise ( donc uniquement les adresses mail et les noms des employés ) à partir de leur domicile. Le carnet d'adresses n'étant disponible pour le moment qu'à l'intérieur de l'entreprise, l'idée est que les utilisateurs puissent y avoir accès depuis n'importe où, sans pour autant avoir trop d'informations sur les employés, puisque l'annuaire répliqué serait dans la DMZ.
J'ai aussi vu le catalogue global, mais je ne sais pas si on peut en créer plusieurs et si on peux le répliquer dans un autre domaine. Donc pour le moment j'ai pas de solution concluante.
Hello,
As-tu exploré les possibilités natives de Microsoft, telles que ADAM (server 2003) ou LDS (server 2008) ?
Tu ne devrais avoir aucun souci de compatibilité de schéma, et l'environnement est paramétrable à souhait.
As-tu exploré les possibilités natives de Microsoft, telles que ADAM (server 2003) ou LDS (server 2008) ?
Tu ne devrais avoir aucun souci de compatibilité de schéma, et l'environnement est paramétrable à souhait.
Vous n’avez pas trouvé la réponse que vous recherchez ?
Posez votre question
Merci je vais jeter un oeil à ces 2 acronymes, je ne les connais pas encore.
Au passage ta signature, je l'adore, je m'y apparente quelques fois ^^
Au passage ta signature, je l'adore, je m'y apparente quelques fois ^^
Voilà, je me suis penché sur la solution ADAM, et je bloque lors de l'installation pour la synchronisation entre l'AD et une instance ADAM.
Ca doit venir du fichier de configuration, l'erreur affiché est :
Une erreur LDAP s'est produite. ldap_get_next_page_s : Référence.
Informations détaillées : 0000202B: RefErr: DSID-031006E0, data 0, 1 access points
ref 1: 'exemple.com'
.
Exemple.com est l'instance que j'ai crée ( sous la forme : cn=partition1,dc=exemple,dc=com ).
Si quelqu'un a des connaissances sur le sujet, je suis à l'écoute.
Ca doit venir du fichier de configuration, l'erreur affiché est :
Une erreur LDAP s'est produite. ldap_get_next_page_s : Référence.
Informations détaillées : 0000202B: RefErr: DSID-031006E0, data 0, 1 access points
ref 1: 'exemple.com'
.
Exemple.com est l'instance que j'ai crée ( sous la forme : cn=partition1,dc=exemple,dc=com ).
Si quelqu'un a des connaissances sur le sujet, je suis à l'écoute.
A priori je dirais que c'est une erreur classique de contexte de nommage.
Ton instance est-elle correctement référencée dans les DNS ?
Sinon, poste ton fichier de conf, je jetterai un oeil.
Plus on est confiant dans sa capacité à faire fonctionner une machine, plus on passe pour un con quand ça foire...
Ton instance est-elle correctement référencée dans les DNS ?
Sinon, poste ton fichier de conf, je jetterai un oeil.
Plus on est confiant dans sa capacité à faire fonctionner une machine, plus on passe pour un con quand ça foire...
Je t'avoue que j'ai très peu de connaissances en DNS. Y a t-il un moyen de vérifier cela ?
Je t'explique ma démarche, j'ai suivi le fichier suivant :
https://www.scribd.com/document/2415728/Guide-pas-a-pas-du-deploiement-d-ADAM
Mais à un aucun moment je ne suis allé dans une console MMC pour modifier quelque chose au niveau du DNS, peut être ais-je sauté une étape ?
Merci
Edit :
<?xml version="1.0"?>
<doc>
<configuration>
<description>Adamsync</description>
<security-mode>object</security-mode>
<source-ad-name>w2k3test.principal.test</source-ad-name>
<source-ad-partition>dc=principal,dc=test</source-ad-partition>
<source-ad-account>administrateur</source-ad-account>
<account-domain>administrateur.principal.test</account-domain>
<target-dn>cn=partition1,dc=exemple,dc=com</target-dn>
<query>
<base-dn>dc=principal,dc=test</base-dn>
<object-filter>(objectClass=user)</object-filter>
<attributes>
<include>objectSID</include>
</attributes>
<user-proxy>
<source-object-class>user</source-object-class>
<target-object-class>userProxy</target-object-class>
</user-proxy>
</query>
<schedule>
<aging>
<frequency>0</frequency>
<num-objects>0</num-objects>
</aging>
<schtasks-cmd></schtasks-cmd>
</schedule>
</configuration>
<synchronizer-state>
<dirsync-cookie></dirsync-cookie>
<status></status>
<authoritative-adam-instance></authoritative-adam-instance>
<configuration-file-guid></configuration-file-guid>
<last-sync-attempt-time></last-sync-attempt-time>
<last-sync-success-time></last-sync-success-time>
<last-sync-error-time></last-sync-error-time>
<last-sync-error-string></last-sync-error-string>
<consecutive-sync-failures></consecutive-sync-failures>
<user-credentials></user-credentials>
<runs-since-last-object-update></runs-since-last-object-update>
<runs-since-last-full-sync></runs-since-last-full-sync>
</synchronizer-state>
</doc>
Je t'explique ma démarche, j'ai suivi le fichier suivant :
https://www.scribd.com/document/2415728/Guide-pas-a-pas-du-deploiement-d-ADAM
Mais à un aucun moment je ne suis allé dans une console MMC pour modifier quelque chose au niveau du DNS, peut être ais-je sauté une étape ?
Merci
Edit :
<?xml version="1.0"?>
<doc>
<configuration>
<description>Adamsync</description>
<security-mode>object</security-mode>
<source-ad-name>w2k3test.principal.test</source-ad-name>
<source-ad-partition>dc=principal,dc=test</source-ad-partition>
<source-ad-account>administrateur</source-ad-account>
<account-domain>administrateur.principal.test</account-domain>
<target-dn>cn=partition1,dc=exemple,dc=com</target-dn>
<query>
<base-dn>dc=principal,dc=test</base-dn>
<object-filter>(objectClass=user)</object-filter>
<attributes>
<include>objectSID</include>
</attributes>
<user-proxy>
<source-object-class>user</source-object-class>
<target-object-class>userProxy</target-object-class>
</user-proxy>
</query>
<schedule>
<aging>
<frequency>0</frequency>
<num-objects>0</num-objects>
</aging>
<schtasks-cmd></schtasks-cmd>
</schedule>
</configuration>
<synchronizer-state>
<dirsync-cookie></dirsync-cookie>
<status></status>
<authoritative-adam-instance></authoritative-adam-instance>
<configuration-file-guid></configuration-file-guid>
<last-sync-attempt-time></last-sync-attempt-time>
<last-sync-success-time></last-sync-success-time>
<last-sync-error-time></last-sync-error-time>
<last-sync-error-string></last-sync-error-string>
<consecutive-sync-failures></consecutive-sync-failures>
<user-credentials></user-credentials>
<runs-since-last-object-update></runs-since-last-object-update>
<runs-since-last-full-sync></runs-since-last-full-sync>
</synchronizer-state>
</doc>
J'ai peur de dire une connerie, c'est bien les zones de recherche directes avec à la racine mon contrôleur de domaine ?
J'ai vraiment aucun acquis en DNS et je suis un peu perdu avec le vocabulaire.
J'ai vraiment aucun acquis en DNS et je suis un peu perdu avec le vocabulaire.
Ouaip, zone de recherche directe avec dedans (notamment) ton DC, mais pour ça je suis pas inquiet, un DC mal inscrit ne fonctionne pas, mais aussi et surtout, un enregistrement A (paire nom / IP) correspondant à la machine qui héberge ton instance ADAM.
Alors dans les zones de recherche directes, j'ai une zone intitulé partition1.exemple.com avec 2 fichiers intitulés tous les deux : ( identique au dossier parent ) qui sont SOA et l'autre NS.
Dans les deux, il y a comme nom de domaine pleinement qualifié du serveur : w2k3test.principal.test et l'adresse IP du serveur. Ca doit être tout bon ca non ?
Dans les deux, il y a comme nom de domaine pleinement qualifié du serveur : w2k3test.principal.test et l'adresse IP du serveur. Ca doit être tout bon ca non ?
Ca m'a l'air pas mal en effet. Une petite clarification : partition1 est le nom de la machine sur laquelelle tu as installé l'instance ? Enfin, je veux dire, t'as pas installé une instance de l'ADAM sur ton DC, hein ? T'as pas fait ça ? =:-s
Heu, c'est bien possible tout ca. Je m'y perd !
Alors mon contrôleur de domaine s'appelle w2k3test, donc je suppose que c'est mon serveur.
Mon domaine est principal.test où j'ai installer mon AD.
Et partition1.exemple.com est la zone où j'ai installer mon instance ADAM.
Lors de la création de l'instance, j'ai renseigné après avoir coché oui, le nom : cn=partition1,dc=exemple,dc=com.
Comme je te l'ai dit, niveau DNS, je suis perdu. Ca serait pas mieux que je refasse une instance en mettant par exemple : cn=partition1,dc=principal,dc=test ?
En tout cas merci pour ton aide
Alors mon contrôleur de domaine s'appelle w2k3test, donc je suppose que c'est mon serveur.
Mon domaine est principal.test où j'ai installer mon AD.
Et partition1.exemple.com est la zone où j'ai installer mon instance ADAM.
Lors de la création de l'instance, j'ai renseigné après avoir coché oui, le nom : cn=partition1,dc=exemple,dc=com.
Comme je te l'ai dit, niveau DNS, je suis perdu. Ca serait pas mieux que je refasse une instance en mettant par exemple : cn=partition1,dc=principal,dc=test ?
En tout cas merci pour ton aide
Pas de souci, j'essaie juste de bien piger pour ne pas te préconiser des bêtises, et c'est un peu confus, là... Ce que j'ai besoin de comprendre clairement, c'est si ton instance de l'ADAM est installée sur un serveur à part, ou sur la même machine qui te sert de contrôleur de domaine. Si on est dans ce dernier cas, c'est pas bon...
Alors je dirai un peu des deux ^^
J'ai accès à un serveur virtuel qui ne se trouve pas dans mon réseau, je suis connecté via le bureau à distance, j'ai donc installé active directory dessus, crée mon nom de domaine, puis ensuite installé l'instance d'ADAM sur une zone nommée exemple.com. Mais tout ceci s'est fait sous le même serveur. A aucun moment je n'ai utilisé un ordi client ou un autre serveur.
On ne peut pas synchroniser un AD vers un ADAM sur un même serveur ?
J'ai accès à un serveur virtuel qui ne se trouve pas dans mon réseau, je suis connecté via le bureau à distance, j'ai donc installé active directory dessus, crée mon nom de domaine, puis ensuite installé l'instance d'ADAM sur une zone nommée exemple.com. Mais tout ceci s'est fait sous le même serveur. A aucun moment je n'ai utilisé un ordi client ou un autre serveur.
On ne peut pas synchroniser un AD vers un ADAM sur un même serveur ?
Si si on peut, c'est juste que je ne l'ai jamais fait :o)
Tu as utilisé toutes les valeurs par défaut que le wizard te proposait ? Parce que si tu installes ADAM sur un DC, les valeurs par défaut qui te sont proposées pour les ports LDAP et SSL sont 50000 et 50001. Si tu les as conservées telles quelles, alors le souci ne vient pas de là. Si tu les as modifiées en 389 et 636 (ça peut arriver quand on installe vite :o) ) alors y'a des chances pour que ça coince à ce niveau.
Sinon, après, je vois plus très bien où ça pourrait coincer :o)
Tu as utilisé toutes les valeurs par défaut que le wizard te proposait ? Parce que si tu installes ADAM sur un DC, les valeurs par défaut qui te sont proposées pour les ports LDAP et SSL sont 50000 et 50001. Si tu les as conservées telles quelles, alors le souci ne vient pas de là. Si tu les as modifiées en 389 et 636 (ça peut arriver quand on installe vite :o) ) alors y'a des chances pour que ça coince à ce niveau.
Sinon, après, je vois plus très bien où ça pourrait coincer :o)
Oui, j'ai gardé les valeurs par défaut, donc bien le 50000 pour le port donc quand j'ai utilisé les commandes ldifde j'ai rentré :
Ldifde -i -s localhost -t 50000 -c CN=Configuration,DC=X #ConfigurationNamingContext -f MS-AdamSchemaW2k3.ldf
il me modifie 1009 entrées
ainsi que :
Ldifde -i -s localhost :389 -c CN=Configuration,DC=X #ConfigurationNamingContext -f MS-AdamSyncMetaData.ldf
Celle là si je la refais, il me met une erreur comme quoi une tentative d'ajout d'un objet dans l'annuaire avec un nom déjà utilisé s'est produite, mais sinon ca c'était bien déroulé la première fois.
Et ensuite ca coince. J'ai parcouru environ les 3/4 d'internet sur cette erreur bien précise, sans trouver une solution. Je pense que je vais repartir de zéro cette après midi pour voir si j'ai merdé quelque part, parce que là, je sèche
Ldifde -i -s localhost -t 50000 -c CN=Configuration,DC=X #ConfigurationNamingContext -f MS-AdamSchemaW2k3.ldf
il me modifie 1009 entrées
ainsi que :
Ldifde -i -s localhost :389 -c CN=Configuration,DC=X #ConfigurationNamingContext -f MS-AdamSyncMetaData.ldf
Celle là si je la refais, il me met une erreur comme quoi une tentative d'ajout d'un objet dans l'annuaire avec un nom déjà utilisé s'est produite, mais sinon ca c'était bien déroulé la première fois.
Et ensuite ca coince. J'ai parcouru environ les 3/4 d'internet sur cette erreur bien précise, sans trouver une solution. Je pense que je vais repartir de zéro cette après midi pour voir si j'ai merdé quelque part, parce que là, je sèche
En effet, l'un des principaux avantages d'ADAM est de pouvoir le désinstaller / réinstaller très facilement.
Tiens moi au courant du résultat, ça m'intéresse :o)
Tiens moi au courant du résultat, ça m'intéresse :o)
Ok, je te tiens au courant une fois que c'est fait.
J'ai l'impression qu'il y a du vécu chez toi. Tu penses que ce que je propose est réalisable ?
Ca fait déjà 3 semaines, et il est temps pour moi de trouver une solution. Même si j'arrive à régler ce problème, la synchro entre le serveur 2003 et 2008 sera possible ?
Je crée une instance ADAM dans la DMZ et je synchronise avec l'AD du 2008, j'ai juste ou pas ?
J'ai l'impression qu'il y a du vécu chez toi. Tu penses que ce que je propose est réalisable ?
Ca fait déjà 3 semaines, et il est temps pour moi de trouver une solution. Même si j'arrive à régler ce problème, la synchro entre le serveur 2003 et 2008 sera possible ?
Je crée une instance ADAM dans la DMZ et je synchronise avec l'AD du 2008, j'ai juste ou pas ?
- 1
- 2
- 3
- 4
Suivant
