Das Notes Forum
Domino 9 und frühere Versionen => ND6: Administration & Userprobleme => Thema gestartet von: Sven Lag am 14.02.05 - 12:38:42
-
Moin,
wir haben einen 5er Domino-Server und testen zur Zeit eine Migration auf einen 6.5.1er Domino.
Wir möchten die Personen mit ihrer Maildatenbank auf den neuen Server verschieben und in Absehbarer Zeit den alten Server abschalten.
Die Server sollen sich nicht in der selben Domäne/Organisation befinden und das Kopieren von Systemdateien des alten Servers auf den Neuen ist auszuschließen.
Lediglich die Maildatenbanken und Adressbücher dürfen repliziert werden.
Damit die User auch später auf evtl. verschlüsselte Mails zugreifen können denken wir, dass lediglich das Verschieben der User möglich ist, da diese mit einer neuen ID ihren alten Schlüssel verlieren würden. Oder liegen wir da Falsch?
Wir sind bereits so weit, dass wir die Maildatenbanken mit dem Notes-Admin auf den neuen Server replizieren können. Das zeigt uns, dass Administrationsanforderungen und Verbindungsdokumente funktionieren.
Aber beim Versuch
Person - Umbenennen - Wechsel zu neuem Zertifizierer anfordern
treffen wir auf das Problem, dass wir die andere Domäne nicht auswählen können. Tippen wir eine OU im neuen Server von Hand ein, erhalten wir
Fehler beim Suchen eines Eintrages im Domino Verzeichnis für Zertifikat OU=Vertrieb/O=sed
Versuche die ID-Datei vom neuen Server gegen zu zertifizieren schlugen in folgender Weise fehl:
Beim einrichten eines neuen Client bekommen wir die Fehlermeldung, dass der User nicht im öffentlichen Adressbuch exisitert. Also haben wir vorweg ein Personendokument angelegt, mit dem selben Erfolg.
Was machen wir falsch ???
Oder hat jemand eine Idee wie wir sonst noch vorgehen könnten??
Sven
-
Hallo,
hast Du schon einen neuen Certifier eingerichtet? Sonst weiß Dein AdminP nicht, wohin der User soll.
AdminClient, Certificates
cu
Sebastian
-
Moin Sebastian,
auf dem neuen Server habe ich die neue Certifier angelegt.
Vertrieb/sed
auf dem alten allerdings nicht, muss ich das da auch machen???
Sven
-
Neu anlegen musst Du die auf dem alten Server nicht, aber XZertifizieren und den domänenübergreifenden AdminP einrichten und, und, und ...... offenbar alles Sachen, die Dir noch nicht klar sind.
Heisst, wenn man diese Migration schon so kompliziert machen muss (nach dem Motto, warum einfach, wenns komplziert auch geht .....), dann sollte man sich aber wirklich jemanden zuziehen, der damit umgehen kann und genau weiss, wie das zu machen ist. Sonst ist die Gefahr des Scheiterns oder einer endlosen Kette an Problemen sehr gross.
-
Moin Semeaphoros,
wir sind hier zwei Windows-Admins. Bei einer Verjüngung der Firma sind die zwei Domino-Experten gegangen worden. Der Kollege und ich wurden darauf hin ins kalte Wasser geschmissen.....
Nachdem es einen heftigen Ausfall (ACLs verloren) gab, hat man uns je eine Schulung Admin1 (1 Woche) zugestanden. Jetzt sollen wir die Migration durchziehen, dazu gibt es die Schulungsunterlagen und ein Handbuch von IBM.
GL: "DAS MUSS REICHEN, IST DOCH NUR E-MAIL"
Weitere Unterstützung von Profis bekommen wir nicht, wir können ja alles in der Testumgebung einmal durchspielen bevor wir an das Produktivsystem gehen.
Aber wem erzähle ich das??? Es geht ja vielen anderen Admins ähnlich...
Inzwischen wissen wir auch noch, dass unser alter Domino offenbar nur ein Testsystem war und von der GL plötzlich als produktiv deklariert wurde. Etliche Probleme begleiten das System von Anfang an, weshalb auch lediglich die Mails und Adressbücher übernommen werden sollen. An dem Testsystem wurde halt damals viel getestet und verbogen. Alleine die Verzteichnissstrucktur ist eine wahre Katastrope, durch die keiner mehr richtig durchsteigt.
Nun das ganze jammern hilft nicht. Wir müssen da irgendwie durch.
Sven
-
Schick der GL mein Posting, Du kannst noch ein paar andere finden. Domänenmigration war - als ich die Ausbildungen gemacht habe - im Admin 2 Kurs und von einem Absolventen des Admin 1 wurde nicht verlangt, dass entsprechendes Wissen vorhanden ist. Alleine die Aussage "Nur Mail" ist stumpfsinnig, unabhängig vom verwendeten System, welcher Betrieb mit schon nur mehreren Mitarbeitern kann heute noch ohne Mail funktionieren? Sprich, Mail ist in jedem Falle unternehmenskritisch. Heisst eigentlich, dass unser Thema heute am Frühstückstisch hochaktuell ist: Publikation mit dem Thema "Sparen - aber richtig!" ........
-
Hallo,
ich habe leider keie Zeit mehr heute und möchte das Thema gerne morgen fortführen, wenn nichts anderes dazwischen kommt.
Vielen Dank erst einmal.
Sven
-
Nimm Dir die Zeit, die Du brauchst
-
Kann das Problem in etwa nachvollziehen.
Kosten stehen also immer an erster Stelle. Bei uns auch. Bin auch Admin und habe noch nie eine Schulung gesehen.
Oh, quatsch natürlich. 3 Tage Design unter Notes 3, im vorigen Jahrtausend. Muss auch reichen.
Verstehe auch viele hier im Forum, die damit Geld verdienen müssen. Wir müssen deren Arbeit machen, ohne das KnowHow zu haben.
Zu Deinem Problem. Habe das, was Du vorhast soeben abgeschlossen.
AdminP Cross Configuration:
Öffne Deinen AdminClient und wähle unter Server\Administration Requests Cross Domain Configuration.
Dort mußt Du eingehende und ausgehende Requests konfigurieren. Das Ganze sowohl in der alten als auch in der neuen Domain.
Drücke dort F1 und die Hilfedatei öffnet sich. Dort ist unter "Creating a cross-domain Configuration document" beschrieben, wie das geht.
Dann wie Semeaphoros schon sagte: CrossCertify der beiden Server.
Dazu lesen: "Adding cross-certificates to the Domino Directory or Personal Address Book"
Danach lesen wir uns sicher wieder hier.
@Semeaphoros:
Verstehe Deine Haltung, kann aber auch Sven verstehen. Externe Hilfe gibt es in solchen Fällen meist erst nach Degradierung oder Entlassung der verantwortlichen Mitarbeiter.
An dieser Stelle noch einmal Danke an alle im Forum, die mir bei meiner Migration geholfen und damit das Leben sehr erleichert haben.
cu
Sebastian
-
Moin Sebastian und Semeaphoros,
ich habe noch bis ca. 15 Uhr Zeit mich heute weiter mit der Thematik zu befassen.
Ich fasse nochmal zusammen, was bereits erledigt / kontrolliert wurde:
Gegenzertifiziert:
alte Cert.id, Admin.id und Server.id durch neue Cert.id
alte Admin.id durch neue Admin.id
alte Server.id durch neue Server.id
neue Cert.id, Admin.id und Server.id durch alte Cert.id
neue Admin.id durch alte Admin.id
neue Server.id durch alte Server.id
neue Vertriebs.id durch alte cert.id
Auf beiden Servern wurde je ein Verbindungsdokument (Quelle Server selber) zum Zielserver (der andere) erstellt.
Frage: Muss hier evtl. auch die Gegenrichtung durch ein zweites Verbindungsdokument erstellt werden ?
Domänenübergreifende Konfiguration:
Ausgang:
Replik erstellen und Personen im Adressbuch umbenennen aktiviert
Zulässige Unterzeichner sind dieser Server und Admin
Eingang:
Replik erstellen und Personen im Adressbuch umbenennen aktiviert
Zulässige Unterzeichner sind anderer Server und andere Admin
Im Serverdokumnet sind unter Zugriff auf diesen Server jeweils beide Admins und der andere Server aufgeführt.
In den names.nsf sind die Server selber als Administrationsserver eingetragen.
Was haben wir vergessen ???
Sven
-
Hi,
klingt so erst mal nicht schlecht.
Ich würde jetzt das Verschieben entweder auf einem Testsystem (falls Deins eins ist) probieren oder falls es ein Echtsystem ist einen von meinen Testusern verschieben. Also Verschieben anstoßen, wie Du schon im ersten Posting geschrieben hast.
In der neuen Domain erscheint dann in den Admin Requests ein neuer Eintrag
"Rename Person".
Dieser wird ausgeführt, wenn ein Eintrag für den User mit dem alten Namen vorhanden ist.
Alle weiter damit zusammenhängenden Requests (Umbenennen in Mailfile, allen DB, Unread Marks usw.) werden erst dann angestoßen, wenn der jeweilige User mindestens 1x mit seiner ID auf den neuen Server zugegriffen hat.
Ich hatte eine Replik aller Mailfiles auf dem neuen Server, und die User darauf zugreifen lassen.
Bedenke jedoch, dass Du bisher nur die serverseitige Änderung betrachtet hast.
In der Location auf jedem Client steht der Server, die Domain, Mailfile usw.
Das muss auch angepaßt werden, damit die User auf den neuen Server zugreifen können.
cu
Sebastian
PS:Wie ist der Zeithorizont für Deine Umstellung??
-
Moin,
erst einmal Danke Sebastian für deine Info.
Bevor wir aber weitermachen, hätte ich da noch zwei kleine Verständnisfragen.
Wenn ich die Hilfe usw, richtig verstanden habe, dann ist der Punkt
Person - Verschieben nur um die Maildatei selber zu verschieben, oder ?
Um die Person komplett auf einen andern Server zu bekommen muss ich dann den Punkt
Person - Umbenennen
benutzen, weil der Benutzername sich im Notessystem aus dem eigentlichen Namen, sowie der hierachischen Struktur zusammensetzt.
Habe ich das bis hier richtig verstanden?
Nun aber zum Umbenennen selber.
Wenn ich einen USER im Administrator Auswähle und dann Person - Umbenennen
wähle muss ich zunächst die Cert-ID angeben, mit der ich den User registriert habe, RICHTIG ??
Anschließend muss ich den neuen Zertifizierer wählen. In dem Auswahlfenster erscheint dieser aber nicht. Wir haben dann /Vertrieb/sed eingegeben, aber ohne Erfolg.
Wir erhalten die Fehlermeldung:
Fehler beim Suchen eines Eintrages im Domino Verzeichnis für Zertifikat OU=Vertrieb/O=sed
Was fehlt uns denn jetzt noch ??? , Gegenzertifiziert haben wir doch.
Sven
-
wieso muss der neue Server in einer anderen Domäne/Organisation sein. ???
Wenn Du nur die HW wechselst und dann den Server auf 6 anhebst bist Du in ein paar Stunden fertig.
Es könnte so einfach sein.
Gruss
Andy B
-
Hallo Andy,
der alte Server soll auf jeden Fall aufgelöst werden.
In der Vergangenheit wurde der Server mehrfach von Leuten die noch weniger Ahnung hatten als mein Kollege und ich von einem Betriebssytem auf das andere verschoben, vorinstalliert und kopiert, nachinstalliert ...
Die Verzeichnissstruktur weist inzwischen 3 Domino-Verzeichnisse und mehrere Lotus- und Notes-Verzeichnisse auf.
Bei dem Versuch da mal Ordnung rein zu bekommen und unnützes zu löschen bin ich kläglich gescheitert, da irgenwie alles zusammenhängt.
Außerdem haben wir ständig Probleme mit dem System. Zwei mal die Woche müssen wir den Rechner neu starten, da die Prozesse den gesammten Speicher belegen und nicht mehr freigeben.
Weiterhin haben unsere Vorgänger freundlicherweise den Server, die Organisation und die Domäne gleich genannt. Das sorgte hin und wieder für arge Verwirrung.
Um nun von diesem ganzen Müll wegzukommen wollten wir ein komplett neues System aufbauen.
Sven
-
Hi,
Wenn ich die Hilfe usw, richtig verstanden habe, dann ist der Punkt
Person - Verschieben nur um die Maildatei selber zu verschieben, oder ?
Um die Person komplett auf einen andern Server zu bekommen muss ich dann den Punkt
Person - Umbenennen
benutzen.
Genau. Person - Umbenennen und dann zum Neuen Zertifizier verschieben
(Habe engl. Client und kann die Aktionen nur grob übersetzen.)
Wenn ich einen USER im Administrator Auswähle und dann Person - Umbenennen
wähle muss ich zunächst die Cert-ID angeben, mit der ich den User registriert habe, RICHTIG ??
Genau.
Anschließend muss ich den neuen Zertifizierer wählen. In dem Auswahlfenster erscheint dieser aber nicht. Wir haben dann /Vertrieb/sed eingegeben, aber ohne Erfolg.
Wir erhalten die Fehlermeldung:
Fehler beim Suchen eines Eintrages im Domino Verzeichnis für Zertifikat OU=Vertrieb/O=sed
Schau mal im AdminClient unter Configuration\Certificates\Notes Certifiers.
Dort muss Dein neuer Certifier stehen. Falls nicht, kopiere einfach den Certifier aus der neuen Domain und füge ihn dort ein.
Sebastian
-
Das ist doch kein Problem.
- Nimm die neue HW installiere Domino. (nicht starten)
- Jetzt den alten Server beenden
- Kopiere Server.ID, Certlog.nsf, Names.nsf, admin4.nsf auf den neuen Server.
- Kopiere alle Mail-DB auf den neuen Server.
- Notes.ini anpassen (kann auch ich für Dich machen)
Domino Server starten und migrieren der DB.
Das wars.
Gruss
Andy B
-
Moin Sebastian,
super Sache dat. Auf die Idee wäre ich nie gekommen. Aber leider kommt der nächste Fehler sofort.
Also ich habe das Zertifikat kopiert indem ich den Server gewechselt und das Zertifikat markiert-kopiert habe. Dann zurück auf den alte Server gewechselt und Rechtsklick-Einfügen. Hat geklappt.
Wenn ich nun einen Benutzer umbenennen möchte kann ich auch tatsächlich die neue Zertifizirungsstelle auswählen und bestätigen.
Der Benutzer landet anschließend in
Server - Analyse - Name Move Requests
Jetzt weiß ich nicht, ob es ein Fehler war dort zu sagen, das die Verschiebung abgeschlossen werden sollte. Ich habe vor längerem mal gelesen, dass die Benutzer die Umbenennung bestätigen müssen.
Jedenfalls hat der Server anschließend folgende Fehlermeldung von sich gegeben:
Administrationsprozess: Dateiname: names.nsf: Der neue Name in der vorgelegten Änderungsanforderung stimmt nicht mit dem Namen im Bereitgestellten Zertifikat überein.
Während des Kopierens des Zertifikates Zeigte der neue Server die Meldung:
Attempt to Access Database doladmin.nsf by alter_admin was denied
Ist das ein Problem? Diese Datenbank existiert im übrigen auf dem alten Domino5 nicht.
@Andy B
Genau da haben wir bereits das erste Problem. Die names.nsf ist fehlerhaft. Beim Anfahren des Systems werden uns ehemalige Mitarbeiter angezeigt, bei denen irgendwelche Schwierigkeiten auftauchen.
Wir finden weder ein Personendokument noch eine Mail-Datei für diese Ehemaligen. Fixup hat leider auch nicht geholfen.
Sven
-
Es tut mir leid Leute,
ich muss schon wieder unterbrechen.
Ich hoffe euch hier morgen wieder zu finden.
Bye
Sven
-
Jetzt weiß ich nicht, ob es ein Fehler war dort zu sagen, das die Verschiebung abgeschlossen werden sollte.
Jedenfalls hat der Server anschließend folgende Fehlermeldung von sich gegeben:
Administrationsprozess: Dateiname: names.nsf: Der neue Name in der vorgelegten Änderungsanforderung stimmt nicht mit dem Namen im Bereitgestellten Zertifikat überein.
Name Move war völlig korrekt. Allerdings mußt Du hier den neuen Server auswählen und die neue cert.id nehmen. Denn dahin soll der User ja. Die Fehlermeldung hört sich an, als ob Du die falsche cert.id genommen hast.
Bestätigen durch den User ist unter Domin 5 noch dabei. Der User erhält beim Anmelden eine Info, dass eine Umbenennung durchgeführt werden soll.
Melde Dich mal mit der Id des Users an, den Du jetzt zur Umbenennung angestoßen hast. Wenn Du auf den Server zugreifst, solltest Du die genannte Info bekommen.
Während des Kopierens des Zertifikates Zeigte der neue Server die Meldung:
Attempt to Access Database doladmin.nsf by alter_admin was denied
Das ist die Admin-DB für Domino Offline Services. Eine Funktion, um Datenbanken offline nutzen zu können. Habt Ihr das im Einsatz?
Falls ja, mußt Du die Rechte auf der DB anpassen.
Bin morgen auf einer Infoveranstaltung und kann Dir erst gegen Abend antworten.
Sebastian
-
Moin,
also die Benachrichtigung des Users will bei uns einfach nicht.
Wir haben im Administrator Aktionen-Benutzerbenachrichtigung aktiviert und daraufhin die Meldung bekommen, dass die Benutzer nun eine E-Mail zur Bestätigung erhalten werden. Das passiert aber nicht.
Wir haben die Server mehrfach neu gestartet, im Serverdokument das Administrationsprozessintervall auf 1 Minute gesetzt und die Uhrzeit für einmal tägliche Anforderungen verstellt, ohne Erfolg.
Wir haben deshalb die Verschiebung wieder versucht manuel abzuschlißen.
Nachdem ein weiteres Fenster 1 Aktion ausgeführt, 1 fehlerhaft ausgeführt meldete steht nun unter Anforderungen zur Namensverschiebung:
Fehlender Eintrag für Zertifizierungsstelle im Adressbuch; nähere Informationen im Notes-Protokoll.
Im Notesprotokoll des AdminClient(!!!) steht:
Fehler beim Suchen eines Eintrages im Domino Verzeichiss für Zertifikat /O=seg: Eintrag im Index nicht gefunden.
In der Hilfe findet man unter Meldungen vonAdministrationsanforderungen dazu:
1. Erstellen Sie die notwendigen Zertifizierungsdokumente im Domino Verzeichnis.
Wir haben doch schon alles Gegenzertifiziert s.o. >:(
2. Kopieren Sie für jedes Zertifiziererdokument den zertifizierten öffentlichen Schlüssel aus der Zertifizierer-ID in das Zertifiziererdokument im Domino Verzeichnis.
Bitte was soll ich tun :-\ ??? ???
3. Geben Sie an der Serverkonsole Folgendes ein:
load updall names.nsf -t $certifiers.
Keine Ahnung was da passiert, aber das ist wenigstens eine klare Aussage ;)
4. Klicken Sie im Antwortprotokolldokument auf "Anforderung erneut durchführen".
Was ist denn das jetzt schon wieder??? wir haben überall gesucht, wo wir etwas über die zu verschiebende Person gefunden haben, aber diese Menüauswahl war nicht zu finden. Obwohl ich mir sicher bin das schon einmal in anderem Zusammenhang gesehen zu haben. >:(
>:( :( Uns kann man bald ins Irrenhaus einliefern. Stunde um Stunde beschäftigt man sich mit dem Thema, aber kommt ,wenn überhaupt, nur im Schneckentempo voran :'( :-\
Sven
PS: Heute war einer unserer Geschäftsführer bei uns und wollte wissen, warum das Projekt noch nicht abgeschlossen sei. Wir mussten unsere Unfähigkeit zugeben.... Naja, mal sehen was nun kommt. ::)
-
Hallo,
klingt eher danach, als ob die Umbenennung angelaufen ist und das Zertifikat des Users schon geändert wurde.
Wie sieht der Name des Users im NAB aus?
Wurde die Anforderung zur Umbenennung schon abgearbeitet? Im Adminp Requests muss unter der Anforderung stehen, dass der Server die Anforderung ausgeführt hat.
Prüf das mal. Also dann bis morgen.
cu
Sebastian
-
Hallo zusammen,
sorry, das ich mich so lange nicht gemeldet habe, wir hatten einige Ausfälle in den vergangenen Tagen, die einfach wichtiger waren.
Ich möchte mich hiermit noch einmal für die bereits geleistete Hilfe bedanken, muss euch aber mitteilen, dass unser Migrationsprojekt von der GL geändert wurde.
Wir werden nicht weiter versuchen die Migration selber durchzuführen.
Wegen unserer Unfähigkeit wurde eine Fachfirma beauftragt, die dieses Projekt in ein, maximal zwei Tagen durchziehen will.
Ob man das positiv (Projekt wird abgeschlossen) oder negativ (wir lernenwieder nichts) zu bewerten hat, möchte ich noch dahingestellt lassen. Evtl. sieht die GL ja ein, dass wir nur mehr geschult werden müssen, dass wäre dann wirklich positiv.
Nochmals Danke
Sven
-
Da stellt sich aber auch die Frage, wie sinnvoll die Ausbildung zur Migration ist, das ist schliesslich keine Aufgabe, die man - Betrieb, nicht als Dienstleister - immer wieder durchführen muss, und jede Version hat da so ihre eigenen Spezialitäten.
-
Ob hier nun eine spezielle Ausbildung zur Migration erfolgen soll möchte ich auch bezweifeln.
Wir haben hier mit Sicherheit einiges über Domino gelernt, als wir uns so intensiv damit beschäftigt haben. Es hat offenbar nicht gereicht um die Migration durchzuführen, aber wie schon bemerkt, hat die GL eingesehen, dass wir eigentlich besser geschult werden müssen in Domino und Notes.
Da dieses System inzwischen die höchste Priorität im Hause besitzt bin ich recht zuversichtlich, dass doch noch ein paar Fortbildungen für die betreuenden Mitarbeiter herausspringen werden. I hope so. ;)
Sven
-
Sven, das tönt aber gut, und tönt vor allem nach einem nachhaltigen Fortschritt, man nehme das Gute aus der Situation und freue sich darüber.
-
Wir haben hier mit Sicherheit einiges über Domino gelernt, als wir uns so intensiv damit beschäftigt haben. Es hat offenbar nicht gereicht um die Migration durchzuführen, aber wie schon bemerkt, hat die GL eingesehen, dass wir eigentlich besser geschult werden müssen in Domino und Notes.
Da dieses System inzwischen die höchste Priorität im Hause besitzt bin ich recht zuversichtlich, dass doch noch ein paar Fortbildungen für die betreuenden Mitarbeiter herausspringen werden.
Ich denke in der heutigen Zeit, wird es sich immer deutlicher herauskristallisieren, das man als SysAdmin in einer Firma nicht mehr alles komplett beherschen, administrieren kann und das man sich ext. Unterstützung einkaufen muss.
Zum Glück geht es mir hier besser als anderen und wenn ich mir nicht garantiert sicher bin bei einem Projekt versuche ich ext. Unterstützung einzukaufen, insbesondere wenn es um so Unternehmenskritische Geschichten geht wie den Dominoserver ist das bei uns kein Thema.
Ich denke hier ist für Dich Sven auf jeden Fall noch mächtig Aufklärungsbedarf bei Deiner GF notwendig. Wenn hinterher was schiefgeht, oder Daten, Mails o.ä. fehlen kann es Dich ganz schnell Deinen Job kosten.
So wie ich Eure Firma einschätze administrierst Du ja nicht nur Notes, sondern sich auch alle ClientPCs, Windows, Linux, Novellserver, Firewall und noch einen haufen Zeugs was alles Zeit und Nerven kostet. Da ist es definitiv unmöglich das komplette KnowHow im Haus zu haben...
-
Hallo,
ihr solltet auf jeden Fall die Migration zusammen mit der externen Firma durchführen. Und wenn ihr denen nur auf die Finger schaut.
Dabei gibts sicherlich auch einiges zu lernen und der Druck liegt ja auch nicht mehr bei euch. ;)
-
Hallo Sven Lag
wie ist deine Geschichte ausgegangen? Habt ihr die Migration erfolgreich abschliessen können oder gab es weiter Probleme.
Gruss
Andy B
-
Hallo... beim Stöbern bin ich auf diesen Thread gestoßen.. ich muss sagen, das der Inhalt momentan für mich aktuell ist.
Fragen:
a) Was ist denn nun tatsächlich aus dem Domänen-Verschieben geworden? Ist das Projekt sauber durchgelaufen?
b) Gibt es vernünftige Redbooks oder andere Dokumentation, die diesen Vorgang sauber beschreibt? Ich merke, dass es meist an Kleinigkeiten hakt, dann aber gewaltig..
Grüße
Tom