[Win 2003] Migrazione Domain Controller da NT a 2003 - Problemi utente Administrator

[aserena]

Ciao,

a me è successa una cosa molto strana. Ho migrato un dominio da server NT4 a 2003. Sembrava tutto ok, se non fosse per un piccolo, piccolo particolare. Durante la migrazione l'utente Administrator di dominio ha perso parte dei suoi privilegi. Cioè, a livello di configurazione è tutto ok, fa parte del gruppo Domain Administrator ed Enterprise Administrator, però in pratica il sistema non lo riconosce come tale. Infatti, nel server DC se uso l'utente di Dominio Administrator non riesco a visualizzare l'event viewer, diritti insufficienti.. VVoVe: VVoVe: VVoVe:

Per il resto sembra tutto ok..... Il mio fornitore ha contattato Microsoft e sembra che si tratti effettivamente di un problema alquanto serio: la migrazione dal nominio NT ad active directory prevede che ogni singolo oggetto venga replicato dai vecchi db SAM al nuovo db AD, con tutte le sue proprietà. La versione 2.0 di Active Directory (introdotta con Win2k3) modifica la struttura dei SID.
Uno dei bug della migrazione è proprio legato al fatto che, in alcuni casi, il sid di un oggetto NT possa risultare non compatibile con le caratteristiche nuove in AD; e questo può provocare alcuni malfunzionamenti. Nel dettaglio succede che tutti gli strumenti che per il controllo delle autorizzazione si appoggiano alle credenziali SID/PWD potrebbero avere problemi.... mentre quelli che guardano username/pwd continuano a funzionare correttamente.

Le soluzioni che propone MS sono 2:
- cancellare e ricreare l'administrator VVoVe:

- creare ed usare un amministratore diverso. VVoVe:

Qualcuno sa se cè una soluzione meno invasiva di queste?

Grazie

[fede_pg]

Non mi viene in mente altro, ma creare un altro admin non mi pare una cosa malvagia, forse è la cosa più semplice.

[aserena]

Originariamente inviato da fede_pg
Non mi viene in mente altro, ma creare un altro admin non mi pare una cosa malvagia, forse è la cosa più semplice.

Si, però vorrei capire se è possibile (e come) ripristinare i privilegi del solito Administrator. E' una questione di principio, non è possibile perdere i privilegi dell'admin per una semplice migrazione...
In giro per la rete ho trovato numerosi post o siti inerenti il mio stesso problema, ma nessuna risposta in merito...

[andr3a]

forse e' stupido ed inutile ...

entri come Administrator, applichi privilegi diversi allo user che non s'e' portato dietro i diritti di amministrazione, riavvi e rientri come administrator, riapplichi privilegi di amministratore allo user che nel passaggio precedente era diventato un guest o un backup operator ... ho detto una caxxata ?

[fede_pg]

Oltretutto tra le best security practices conisgliate da MS per Win 2003 c'è quella di DISABILITARE l'amministratore di dominio e farne un altro con un altro nome ed un altro sid (il sid dell'admin infatti finisce sempre con 500) , quindi non ti fare problemi.

Se il sid si incasina è inutile stare a perderci tempo...

[aserena]

Originariamente inviato da andr3a
forse e' stupido ed inutile ...

entri come Administrator, applichi privilegi diversi allo user che non s'e' portato dietro i diritti di amministrazione, riavvi e rientri come administrator, riapplichi privilegi di amministratore allo user che nel passaggio precedente era diventato un guest o un backup operator ... ho detto una caxxata ?

MMmmm il fatto è che l'utente in questione è proprio L'Administrator di dominio ...

In effetti potrebbe essere un'idea, magari nella ridefinizione dell'utente potrebbe ripigliarsi i suoi privilegi...

Io cmq volevo sapere se qlc aveva avuto un'esperienza simile alla mia, e se era possibile risolverla senza toccare l'utente Admin di dominio... per evitare il minimo problema..

[aserena]

Originariamente inviato da fede_pg

Oltretutto tra le best security practices conisgliate da MS per Win 2003 c'è quella di DISABILITARE l'amministratore di dominio e farne un altro con un altro nome ed un altro sid (il sid dell'admin infatti finisce sempre con 500) , quindi non ti fare problemi.
Se il sid si incasina è inutile stare a perderci tempo...

Mi sa che a questo punto è l'unica soluzione.... per caso hai il link del documento che mi dicevi sopra?

Grazie