Personen in andere Domäne verschieben

[Sven Lag]

Moin,

wir haben einen 5er Domino-Server und testen zur Zeit eine Migration auf einen 6.5.1er Domino.

Wir möchten die Personen mit ihrer Maildatenbank auf den neuen Server verschieben und in Absehbarer Zeit den alten Server abschalten.
Die Server sollen sich nicht in der selben Domäne/Organisation befinden und das Kopieren von Systemdateien des alten Servers auf den Neuen ist auszuschließen.

Lediglich die Maildatenbanken und Adressbücher dürfen repliziert werden.
Damit die User auch später auf evtl. verschlüsselte Mails zugreifen können denken wir, dass lediglich das Verschieben der User möglich ist, da diese mit einer neuen ID ihren alten Schlüssel verlieren würden. Oder liegen wir da Falsch?

Wir sind bereits so weit, dass wir die Maildatenbanken mit dem Notes-Admin auf den neuen Server replizieren können. Das zeigt uns, dass Administrationsanforderungen und Verbindungsdokumente funktionieren.
Aber beim Versuch
Person - Umbenennen - Wechsel zu neuem Zertifizierer anfordern
treffen wir auf das Problem, dass wir die andere Domäne nicht auswählen können. Tippen wir eine OU im neuen Server von Hand ein, erhalten wir
Fehler beim Suchen eines Eintrages im Domino Verzeichnis für Zertifikat OU=Vertrieb/O=sed

Versuche die ID-Datei vom neuen Server gegen zu zertifizieren schlugen in folgender Weise fehl:
Beim einrichten eines neuen Client bekommen wir die Fehlermeldung, dass der User nicht im öffentlichen Adressbuch exisitert. Also haben wir vorweg ein Personendokument angelegt, mit dem selben Erfolg.

Was machen wir falsch
Oder hat jemand eine Idee wie wir sonst noch vorgehen könnten??


Sven

[theBastian]

Hallo,

hast Du schon einen neuen Certifier eingerichtet? Sonst weiß Dein AdminP nicht, wohin der User soll.

AdminClient, Certificates

cu
Sebastian

[Sven Lag]

Moin Sebastian,

auf dem neuen Server habe ich die neue Certifier angelegt.
Vertrieb/sed

auf dem alten allerdings nicht, muss ich das da auch machen???


Sven

[Semeaphoros]

Neu anlegen musst Du die auf dem alten Server nicht, aber XZertifizieren und den domänenübergreifenden AdminP einrichten und, und, und ...... offenbar alles Sachen, die Dir noch nicht klar sind.

Heisst, wenn man diese Migration schon so kompliziert machen muss (nach dem Motto, warum einfach, wenns komplziert auch geht .....), dann sollte man sich aber wirklich jemanden zuziehen, der damit umgehen kann und genau weiss, wie das zu machen ist. Sonst ist die Gefahr des Scheiterns oder einer endlosen Kette an Problemen sehr gross.

[Sven Lag]

Moin Semeaphoros,

wir sind hier zwei Windows-Admins. Bei einer Verjüngung der Firma sind die zwei Domino-Experten gegangen worden. Der Kollege und ich wurden darauf hin ins kalte Wasser geschmissen.....

Nachdem es einen heftigen Ausfall (ACLs verloren) gab, hat man uns je eine Schulung Admin1 (1 Woche) zugestanden. Jetzt sollen wir die Migration durchziehen, dazu gibt es die Schulungsunterlagen und ein Handbuch von IBM.

GL: "DAS MUSS REICHEN, IST DOCH NUR E-MAIL"

Weitere Unterstützung von Profis bekommen wir nicht, wir können ja alles in der Testumgebung einmal durchspielen bevor wir an das Produktivsystem gehen.

Aber wem erzähle ich das??? Es geht ja vielen anderen Admins ähnlich...

Inzwischen wissen wir auch noch, dass unser alter Domino offenbar nur ein Testsystem war und von der GL plötzlich als produktiv deklariert wurde. Etliche Probleme begleiten das System von Anfang an, weshalb auch lediglich die Mails und Adressbücher übernommen werden sollen. An dem Testsystem wurde halt damals viel getestet und verbogen. Alleine die Verzteichnissstrucktur ist eine wahre Katastrope, durch die keiner mehr richtig durchsteigt.

Nun das ganze jammern hilft nicht. Wir müssen da irgendwie durch.


Sven

[Semeaphoros]

Schick der GL mein Posting, Du kannst noch ein paar andere finden. Domänenmigration war - als ich die Ausbildungen gemacht habe - im Admin  2 Kurs und von einem Absolventen des Admin 1 wurde nicht verlangt, dass entsprechendes Wissen vorhanden ist. Alleine die Aussage "Nur Mail" ist stumpfsinnig, unabhängig vom verwendeten System, welcher Betrieb mit schon nur mehreren Mitarbeitern kann heute noch ohne Mail funktionieren? Sprich, Mail ist in jedem Falle unternehmenskritisch. Heisst eigentlich, dass unser Thema heute am Frühstückstisch hochaktuell ist: Publikation mit dem Thema "Sparen - aber richtig!" ........

[Sven Lag]

Hallo,

ich habe leider keie Zeit mehr heute und möchte das Thema gerne morgen fortführen, wenn nichts anderes dazwischen kommt.


Vielen Dank erst einmal.

Sven

[Semeaphoros]

Nimm Dir die Zeit, die Du brauchst

[theBastian]

Kann das Problem in etwa nachvollziehen.

Kosten stehen also immer an erster Stelle. Bei uns auch. Bin auch Admin und habe noch nie eine Schulung gesehen.

Oh, quatsch natürlich. 3 Tage Design unter Notes 3, im vorigen Jahrtausend. Muss auch reichen.

Verstehe auch viele hier im Forum, die damit Geld verdienen müssen. Wir müssen deren Arbeit machen, ohne das KnowHow zu haben.

Zu Deinem Problem. Habe das, was Du vorhast soeben abgeschlossen.

AdminP Cross Configuration:

Öffne Deinen AdminClient und wähle unter Server\Administration Requests Cross Domain Configuration.

Dort mußt Du eingehende und ausgehende Requests konfigurieren. Das Ganze sowohl in der alten als auch in der neuen Domain.

Drücke dort F1 und die Hilfedatei öffnet sich. Dort ist unter "Creating a cross-domain Configuration document" beschrieben, wie das geht.

Dann wie Semeaphoros schon sagte: CrossCertify der beiden Server.
Dazu lesen: "Adding cross-certificates to the Domino Directory or Personal Address Book"

Danach lesen wir uns sicher wieder hier.

@Semeaphoros:
Verstehe Deine Haltung, kann aber auch Sven verstehen. Externe Hilfe gibt es in solchen Fällen meist erst nach Degradierung oder Entlassung der verantwortlichen Mitarbeiter.

An dieser Stelle noch einmal Danke an alle im Forum, die mir bei meiner Migration geholfen und damit das Leben sehr erleichert haben.

cu
Sebastian

[Sven Lag]

Moin Sebastian und Semeaphoros,

ich habe noch bis ca. 15 Uhr Zeit mich heute weiter mit der Thematik zu befassen.

Ich fasse nochmal zusammen, was bereits erledigt / kontrolliert wurde:

Gegenzertifiziert:
alte Cert.id, Admin.id und Server.id     durch     neue Cert.id
alte Admin.id     durch     neue Admin.id
alte Server.id     durch     neue Server.id

neue Cert.id, Admin.id und Server.id     durch     alte Cert.id
neue Admin.id     durch     alte Admin.id
neue Server.id     durch     alte Server.id

neue Vertriebs.id durch alte cert.id


Auf beiden Servern wurde je ein Verbindungsdokument (Quelle Server selber) zum Zielserver (der andere) erstellt.
Frage: Muss hier evtl. auch die Gegenrichtung durch ein zweites Verbindungsdokument erstellt werden ?


Domänenübergreifende Konfiguration:
Ausgang:
     Replik erstellen und Personen im Adressbuch umbenennen aktiviert
     Zulässige Unterzeichner sind dieser Server und Admin

Eingang:
     Replik erstellen und Personen im Adressbuch umbenennen aktiviert
     Zulässige Unterzeichner sind anderer Server und andere Admin


Im Serverdokumnet sind unter Zugriff auf diesen Server jeweils beide Admins und der andere Server aufgeführt.

In den names.nsf sind die Server selber als Administrationsserver eingetragen.


Was haben wir vergessen
Sven

[theBastian]

Hi,

klingt so erst mal nicht schlecht.
Ich würde jetzt das Verschieben entweder auf einem Testsystem (falls Deins eins ist) probieren oder falls es ein Echtsystem ist einen von meinen Testusern verschieben. Also Verschieben anstoßen, wie Du schon im ersten Posting geschrieben hast.

In der neuen Domain erscheint dann in den Admin Requests ein neuer Eintrag
"Rename Person".
Dieser wird ausgeführt, wenn ein Eintrag für den User mit dem alten Namen vorhanden ist.
Alle weiter damit zusammenhängenden Requests (Umbenennen in Mailfile, allen DB, Unread Marks usw.) werden erst dann angestoßen, wenn der jeweilige User mindestens 1x mit seiner ID auf den neuen Server zugegriffen hat.

Ich hatte eine Replik aller Mailfiles auf dem neuen Server, und die User darauf zugreifen lassen.

Bedenke jedoch, dass Du bisher nur die serverseitige Änderung betrachtet hast.

In der Location auf jedem Client steht der Server, die Domain, Mailfile usw.
Das muss auch angepaßt werden, damit die User auf den neuen Server zugreifen können.

cu
Sebastian

PS:Wie ist der Zeithorizont für Deine Umstellung??

[Sven Lag]

Moin,

erst einmal Danke Sebastian für deine Info.

Bevor wir aber weitermachen, hätte ich da noch zwei kleine Verständnisfragen.

Wenn ich die Hilfe usw, richtig verstanden habe, dann ist der Punkt
Person - Verschieben nur um die Maildatei selber zu verschieben, oder ?
Um die Person komplett auf einen andern Server zu bekommen muss ich dann den Punkt
Person - Umbenennen
benutzen, weil der Benutzername sich im Notessystem aus dem eigentlichen Namen, sowie der hierachischen Struktur zusammensetzt.

Habe ich das bis hier richtig verstanden?


Nun aber zum Umbenennen selber.

Wenn ich einen USER im Administrator Auswähle und dann Person - Umbenennen
wähle muss ich zunächst die Cert-ID angeben, mit der ich den User registriert habe, RICHTIG ??

Anschließend muss ich den neuen Zertifizierer wählen. In dem Auswahlfenster erscheint dieser aber nicht. Wir haben dann /Vertrieb/sed eingegeben, aber ohne Erfolg.
Wir erhalten die Fehlermeldung:
Fehler beim Suchen eines Eintrages im Domino Verzeichnis für Zertifikat OU=Vertrieb/O=sed

Was fehlt uns denn jetzt noch , Gegenzertifiziert haben wir doch.


Sven

[Andy B]

wieso muss der neue Server in einer anderen Domäne/Organisation sein. 

Wenn Du nur die HW wechselst und dann den Server auf 6 anhebst bist Du in ein paar Stunden fertig.

Es könnte so einfach sein.

Gruss
Andy B

[Sven Lag]

Hallo Andy,

der alte Server soll auf jeden Fall aufgelöst werden.
In der Vergangenheit wurde der Server mehrfach von Leuten die noch weniger Ahnung hatten als mein Kollege und ich von einem Betriebssytem auf das andere verschoben, vorinstalliert und kopiert, nachinstalliert ...
Die Verzeichnissstruktur weist inzwischen 3 Domino-Verzeichnisse und mehrere Lotus- und Notes-Verzeichnisse auf.
Bei dem Versuch da mal Ordnung rein zu bekommen und unnützes zu löschen bin ich kläglich gescheitert, da irgenwie alles zusammenhängt.

Außerdem haben wir ständig Probleme mit dem System. Zwei mal die Woche müssen wir den Rechner neu starten, da die Prozesse den gesammten Speicher belegen und nicht mehr freigeben.
Weiterhin haben unsere Vorgänger freundlicherweise den Server, die Organisation und die Domäne gleich genannt. Das sorgte hin und wieder für arge Verwirrung.

Um nun von diesem ganzen Müll wegzukommen wollten wir ein komplett neues System aufbauen.

Sven

[theBastian]

Hi,

Wenn ich die Hilfe usw, richtig verstanden habe, dann ist der Punkt
Person - Verschieben nur um die Maildatei selber zu verschieben, oder ?
Um die Person komplett auf einen andern Server zu bekommen muss ich dann den Punkt
Person - Umbenennen
benutzen.

Genau. Person - Umbenennen und dann zum Neuen Zertifizier verschieben

(Habe engl. Client und kann die Aktionen nur grob übersetzen.)

Wenn ich einen USER im Administrator Auswähle und dann Person - Umbenennen
wähle muss ich zunächst die Cert-ID angeben, mit der ich den User registriert habe, RICHTIG ??

Genau.

Anschließend muss ich den neuen Zertifizierer wählen. In dem Auswahlfenster erscheint dieser aber nicht. Wir haben dann /Vertrieb/sed eingegeben, aber ohne Erfolg.
Wir erhalten die Fehlermeldung:
Fehler beim Suchen eines Eintrages im Domino Verzeichnis für Zertifikat OU=Vertrieb/O=sed

Schau mal im AdminClient unter Configuration\Certificates\Notes Certifiers.
Dort muss Dein neuer Certifier stehen. Falls nicht, kopiere einfach den Certifier aus der neuen Domain und füge ihn dort ein.

Sebastian

[Andy B]

Das ist doch kein Problem.
- Nimm die neue HW installiere Domino. (nicht starten)
- Jetzt den alten Server beenden
- Kopiere Server.ID, Certlog.nsf, Names.nsf, admin4.nsf auf den neuen Server.
- Kopiere alle Mail-DB auf den neuen Server.
- Notes.ini anpassen (kann auch ich für Dich machen)
Domino Server starten und migrieren der DB.

Das wars.

Gruss
Andy B

[Sven Lag]

Moin Sebastian,

super Sache dat. Auf die Idee wäre ich nie gekommen. Aber leider kommt der nächste Fehler sofort.

Also ich habe das Zertifikat kopiert indem ich den Server gewechselt und das Zertifikat markiert-kopiert habe. Dann zurück auf den alte Server gewechselt und Rechtsklick-Einfügen. Hat geklappt.

Wenn ich nun einen Benutzer umbenennen möchte kann ich auch tatsächlich die neue Zertifizirungsstelle auswählen und bestätigen.

Der Benutzer landet anschließend in
Server - Analyse - Name Move Requests

Jetzt weiß ich nicht, ob es ein Fehler war dort zu sagen, das die Verschiebung abgeschlossen werden sollte. Ich habe vor längerem mal  gelesen, dass die Benutzer die Umbenennung bestätigen müssen.
Jedenfalls hat der Server anschließend folgende Fehlermeldung von sich gegeben:
Administrationsprozess: Dateiname: names.nsf: Der neue Name in der vorgelegten Änderungsanforderung stimmt nicht mit dem Namen im Bereitgestellten Zertifikat überein.

Während des Kopierens des Zertifikates Zeigte der neue Server die Meldung:
Attempt to Access Database doladmin.nsf by alter_admin was denied
Ist das ein Problem? Diese Datenbank existiert im übrigen auf dem alten Domino5 nicht.


@Andy B
Genau da haben wir bereits das erste Problem. Die names.nsf ist fehlerhaft. Beim Anfahren des Systems werden uns ehemalige Mitarbeiter angezeigt, bei denen irgendwelche Schwierigkeiten auftauchen.
Wir finden weder ein Personendokument noch eine Mail-Datei für diese Ehemaligen. Fixup hat leider auch nicht geholfen.


Sven

[Sven Lag]

Es tut mir leid Leute,
ich muss schon wieder unterbrechen.

Ich hoffe euch hier morgen wieder zu finden.

Bye
Sven

[theBastian]

Jetzt weiß ich nicht, ob es ein Fehler war dort zu sagen, das die Verschiebung abgeschlossen werden sollte.
Jedenfalls hat der Server anschließend folgende Fehlermeldung von sich gegeben:
Administrationsprozess: Dateiname: names.nsf: Der neue Name in der vorgelegten Änderungsanforderung stimmt nicht mit dem Namen im Bereitgestellten Zertifikat überein.

Name Move war völlig korrekt. Allerdings mußt Du hier den neuen Server auswählen und die neue cert.id nehmen. Denn dahin soll der User ja. Die Fehlermeldung hört sich an, als ob Du die falsche cert.id genommen hast.

Bestätigen durch den User ist unter Domin 5 noch dabei. Der User erhält beim Anmelden eine Info, dass eine Umbenennung durchgeführt werden soll.

Melde Dich mal mit der Id des Users an, den Du jetzt zur Umbenennung angestoßen hast. Wenn Du auf den Server zugreifst, solltest Du die genannte Info bekommen.

Während des Kopierens des Zertifikates Zeigte der neue Server die Meldung:
Attempt to Access Database doladmin.nsf by alter_admin was denied

Das ist die Admin-DB für Domino Offline Services. Eine Funktion, um Datenbanken offline nutzen zu können. Habt Ihr das im Einsatz?

Falls ja, mußt Du die Rechte auf der DB anpassen.

Bin morgen auf einer Infoveranstaltung und kann Dir erst gegen Abend antworten.

Sebastian

[Sven Lag]

Moin,

also die Benachrichtigung des Users will bei uns einfach nicht.
Wir haben im Administrator Aktionen-Benutzerbenachrichtigung aktiviert und daraufhin die Meldung bekommen, dass die Benutzer nun eine E-Mail zur Bestätigung erhalten werden. Das passiert aber nicht.
Wir haben die Server mehrfach neu gestartet, im Serverdokument das Administrationsprozessintervall auf 1 Minute gesetzt und die Uhrzeit für einmal tägliche Anforderungen verstellt, ohne Erfolg.


Wir haben deshalb die Verschiebung wieder versucht manuel abzuschlißen.
Nachdem ein weiteres Fenster 1 Aktion ausgeführt, 1 fehlerhaft ausgeführt meldete steht nun unter Anforderungen zur Namensverschiebung:
Fehlender Eintrag für Zertifizierungsstelle im Adressbuch; nähere Informationen im Notes-Protokoll.
Im Notesprotokoll des AdminClient(!!!) steht:
Fehler beim Suchen eines Eintrages im Domino Verzeichiss für Zertifikat /O=seg: Eintrag im Index nicht gefunden.


In der Hilfe findet man unter Meldungen vonAdministrationsanforderungen dazu:

1. Erstellen Sie die notwendigen Zertifizierungsdokumente im Domino Verzeichnis.
Wir haben doch schon alles Gegenzertifiziert s.o. 

2. Kopieren Sie für jedes Zertifiziererdokument den zertifizierten öffentlichen Schlüssel aus der Zertifizierer-ID in das Zertifiziererdokument im Domino Verzeichnis.
Bitte was soll ich tun 

3. Geben Sie an der Serverkonsole Folgendes ein:
load updall names.nsf -t $certifiers.
Keine Ahnung was da passiert, aber das ist wenigstens eine klare Aussage

4. Klicken Sie im Antwortprotokolldokument auf "Anforderung erneut durchführen".
Was ist denn das jetzt schon wieder??? wir haben überall gesucht, wo wir etwas über die zu verschiebende Person gefunden haben, aber diese Menüauswahl war nicht zu finden. Obwohl ich mir sicher bin das schon einmal in anderem Zusammenhang gesehen zu haben.


  Uns kann man bald ins Irrenhaus einliefern. Stunde um Stunde beschäftigt man sich mit dem Thema, aber kommt ,wenn überhaupt, nur im Schneckentempo voran 

Sven


PS: Heute war einer unserer Geschäftsführer bei uns und wollte wissen, warum das Projekt noch nicht abgeschlossen sei. Wir mussten unsere Unfähigkeit zugeben.... Naja, mal sehen was nun kommt.