Mejores prácticas de migración de Active Directory

Active Directory ofrece servicios esenciales de autenticación y autorización en todo el ecosistema de TI, por lo que es fundamental que las migraciones de Active Directory se realicen sin problemas. Ya sea que su proyecto esté impulsado por una actividad de fusiones y adquisiciones (M&A), una desinversión, la necesidad de consolidar sus dominios o algún otro factor, aquí le presentamos cinco mejores prácticas de migración de Active Directory que pueden ayudarle a realizar una migración exitosa.

1. Documente el estado final deseado.

Todo el mundo quiere lograr una migración exitosa, pero ¿cómo sabrá si la suya es exitosa o no? O, más concretamente, ¿cómo se puede demostrar a todas las partes interesadas que la migración fue realmente un éxito?

La clave es tener una visión clara y documentada del estado final deseado. ¿Cómo debería ser la estructura de su unidad organizativa? ¿Qué política de grupo se debe aplicar? ¿Cuál es el nivel de dominio y bosque que desea? Detalla tantos detalles como puedas. Tenga en cuenta los siguientes consejos:

Seleccione su directorio de destino con cuidado, eligiendo un nuevo directorio sólo cuando sea realmente necesario.

Una decisión fundamental será la elección del directorio de destino. En cualquier migración de Active Directory, tiene dos opciones: consolidar en uno de los directorios existentes o pasar a un nuevo directorio (un greenfield). Para elegir la opción correcta para su proyecto de migración, aplique estas mejores prácticas de migración de Active Directory:

Considere los requisitos comerciales y legales: : en algunos casos, los requisitos comerciales o legales dictan la elección del entorno de destino. Por ejemplo, en un escenario de adquisición, es posible que deba utilizar el Active Directory de la empresa adquirente como destino. Sin embargo, no asuma simplemente que ya se ha tomado la decisión; Tómese el tiempo para determinar realmente qué opciones están disponibles para usted. En particular, los acuerdos de fusión suelen ofrecer más flexibilidad de lo que uno podría pensar.
Considere los requisitos técnicos: realice una evaluación exhaustiva de todos los entornos involucrados en la migración. Analice sus configuraciones de directorio actuales y objetos de política de grupo (GPO), así como las aplicaciones y scripts vinculados a Active Directory. Considere qué entorno se acerca más a sus necesidades de estado final deseado. También revise la salud de los entornos para determinar si hay problemas que no se pueden remediar, ya que eso hace que ese entorno sea un objetivo menos atractivo.
No empiece desde cero innecesariamente: a veces las organizaciones se sienten tentadas a empezar de nuevo para poder definir su estructura de unidad organizativa, GPO y otros componentes desde cero. Sin embargo, la migración a un proyecto totalmente nuevo puede agregar mucho tiempo, costo, esfuerzo y riesgo a un proyecto: necesitará crear sus objetos de Active Directory, políticas de seguridad, vínculos de aplicaciones y más. Por lo tanto, se recomienda una migración totalmente nueva solo cuando es necesaria por motivos legales, cuando se está desinvirtiendo en un nuevo entorno y cuando los entornos existentes se encuentran en un estado tan insalubre que no es recuperable (por ejemplo, la replicación no funciona a pesar de sus mejores esfuerzos con el equipo de soporte de Microsoft).

2. Realizar un descubrimiento exhaustivo.

Recuerde que el directorio en sí es la parte fácil.

Migrar su Active Directory en sí es un proceso relativamente sencillo. Después de todo, todos los directorios son estructuralmente iguales, con usuarios, computadoras, grupos, etc., por lo que parte de la migración es una cantidad conocida. Son todas las aplicaciones, servicios y otros componentes que dependen de Active Directory los que hacen que las migraciones sean complejas.

Por lo tanto, es importante que su proceso de descubrimiento sea lo más completo posible. En particular, asegúrese de que incluya:

Política de grupo: revise la política de grupo vigente en todos los entornos de origen y determine los GPO que desea para el entorno de destino.
Procesos de incorporación y baja: piense en procesos que implican la creación y eliminación de usuarios, la implementación de dispositivos, la membresía en grupos y el aprovisionamiento de buzones de correo. Por ejemplo, su departamento de recursos humanos puede tener aplicaciones que crean nuevas cuentas en AD para los nuevos empleados y que actualizan las cuentas cuando los empleados cambian de roles, y varios equipos de TI o de seguridad pueden haber implementado scripts que se ejecutan periódicamente para limpiar objetos obsoletos.
Registro y administración de dispositivos: considere si sus dispositivos se unirán a Azure, si cambiarán su configuración de cifrado, si serán administrados por un nuevo software y si cambiarán para usar nuevas VPN y certificados. .
Gestión de identidad: identifique los impactos para los usuarios que acceden a diversos recursos, incluido si es posible que sea necesario actualizar el inicio de sesión único (SSO) para determinadas aplicaciones y si los usuarios necesitarán reconfigurar la autenticación multifactor (MFA).
Aplicaciones personalizadas y de terceros: busque aplicaciones aprobadas por TI y TI paralela. Si hay aplicaciones ejecutándose silenciosamente en una computadora ubicada debajo del escritorio de alguien que son esenciales para un proceso comercial importante, necesita conocerlas.
Sistemas que no son Windows: los sistemas basados en Unix, por ejemplo, podrían depender de AD para los servicios de autenticación y autorización.

Descubrir todas estas dependencias es esencial para una migración exitosa. Pero no existe ningún informe que pueda ejecutar en Active Directory para enumerar todas las aplicaciones que consultan AD. Y no encontrará un consultor o una herramienta que los conozca todos en su combinación específica. Y si bien es posible que tenga mucha experiencia interna, nadie es un experto en Active Directory, Exchange, SQL, SharePoint y Office 365. Por lo tanto, haga todo lo posible para ser minucioso y también dedicar tiempo a su migración. planifique lidiar con las incógnitas que surjan durante el transcurso del proyecto.

Mira la imagen completa.

No se limite a profundizar en su propia planificación migratoria; Recuerde también levantar la cabeza y ver qué más está sucediendo en toda la organización. En particular, debe considerar cualquier otro proyecto de migración que pueda estar sucediendo, como migraciones de inquilino a inquilino o una migración de buzones locales a Exchange Online. Coordinar con esos equipos sobre el momento de la migración y las estrategias para minimizar el esfuerzo y el riesgo.

Busque también otras iniciativas más allá de las migraciones. Por ejemplo, ¿RR.HH. está cambiando a un nuevo sistema de gestión? ¿El equipo de infraestructura implementará nuevas restricciones de firewall? Al trabajar juntos, pueden ayudar a garantizar que no se pisan los pies unos a otros y que cuentan con suficientes recursos técnicos y de soporte.

3. Esfuércese por lograr una estrategia integral, pero incorpore flexibilidad. Recuerde que la migración es mucho más que el paso final.

En realidad, mover los datos y las cargas de trabajo es sólo una parte de un plan de migración sólido. Las mejores prácticas de migración de Active Directory requieren que preste atención a todas las fases:

Planificación: ¡no escatime en la fase de planificación! Una planificación cuidadosa reduce el riesgo de interrupciones en el negocio, excesos en el cronograma y fallas absolutas. Además de realizar un descubrimiento exhaustivo como se analizó anteriormente, asegúrese de definir y documentar sus casos de uso, prestando especial atención a qué departamentos son más flexibles en cuanto a las interrupciones y cuáles no pueden tolerar ningún tiempo de inactividad. También asegúrese de identificar a todas sus partes interesadas y establecer equipos de proyecto sólidos. Si bien los administradores de sistemas AD son una parte fundamental del equipo, también querrá recursos dedicados para ayudar a gestionar aspectos específicos del proyecto, como migraciones de guante blanco, comunicaciones y coordinación de aplicaciones.
Crear y probar: una vez que el plan esté implementado, configure las herramientas que utilizará. Luego, realice migraciones de prueba para cada uno de los casos de uso que identificó para identificar los problemas que deben resolverse antes de migrar cualquier usuario o dispositivo de producción.
Migraciones piloto: comience migrando un pequeño conjunto de usuarios, generalmente personal de TI. Solicite sus comentarios y utilícelos para refinar el proceso antes de migrar usuarios comerciales y definitivamente antes de migrar usuarios VIP.
Velocity: complete las migraciones restantes.
Validación y limpieza posteriores a la migración: asegúrese de que todos los datos y cargas de trabajo se hayan movido correctamente, limpie cualquier problema que pueda haberse introducido y, si corresponde, retire el entorno de origen cuando esté satisfecho, ya no es necesario.

Sepa que una planificación cuidadosa reduce el riesgo, pero ningún plan sobrevive al contacto con el enemigo.

Incluso las organizaciones que conocen bien las mejores prácticas de migración de Active Directory a menudo subestiman el tiempo y el esfuerzo necesarios para completar todas estas fases. Si bien la gerencia a menudo entrega a los equipos técnicos las fechas de finalización requeridas, si tiene la oportunidad de ayudar a establecer el cronograma del proyecto, asegúrese de solicitar tiempo suficiente para todas las fases y no solo para los trabajos de migración en sí.

Tenga en cuenta esta sabiduría del estratega militar Helmuth von Moltke: ningún plan sobrevive al contacto con el enemigo. No importa qué tan bueno sea su plan de migración de Active Directory, debe redactarse de manera que respete que tendrá que cambiar a medida que avanza en el proceso de migración.

4. Abordar el cumplimiento desde el inicio del proyecto.

Comprenda sus obligaciones de cumplimiento y documente todo minuciosamente.

Las mejores prácticas de migración de Active Directory también incluyen el cumplimiento. Asegúrese de comprender los requisitos de cumplimiento de su organización e incorporarlos en su plan de migración. Piense en cómo puede satisfacer sus obligaciones con políticas, procedimientos y otros controles, y asegúrese de documentar minuciosamente tanto el requisito subyacente como su estrategia para cumplirlo. Los escenarios de fusiones y adquisiciones pueden complicar el proceso, ya que es necesario comprender los requisitos de cumplimiento de la organización unida que surgirá del acuerdo, así como los controles que cada entidad tiene actualmente en vigor.

Elija sus controles cuidadosamente, considerando cómo afectarán a los usuarios.

Recuerde que no existe una única forma correcta de lograr el cumplimiento. Una metáfora útil es que es como completar una declaración de impuestos. En cualquier escenario financiero, excepto en el más simple, si proporcionó toda su información fiscal a 10 contadores públicos diferentes, es posible que todos regresen con una declaración de impuestos completada diferente. Esta bien; asi es como funciona. Lo importante es que después de enviar esa declaración, si el IRS tiene preguntas o quiere realizar una auditoría, usted tenga buenas razones para todas las decisiones que tomó. De manera similar, debe poder brindar un razonamiento defendible cuando los auditores de cumplimiento le pregunten sobre los controles de TI que eligió.

Al seleccionar las estrategias específicas para cumplir con los requisitos de cumplimiento, asegúrese de pensar en la experiencia del usuario. Por ejemplo, es posible que esté considerando una nueva política de contraseñas que cambie lo que constituye una contraseña válida, o tal vez desee comenzar a cifrar los dispositivos de los usuarios para ayudar a cumplir con los mandatos de protección de datos. Ambos tienen claramente un impacto en los usuarios, que usted debe sopesar en su toma de decisiones.

Comuníquese con los usuarios comerciales de manera temprana y frecuente.

La comunicación eficaz es fundamental para el éxito y debe ir en ambas direcciones. Por un lado, es necesario buscar opiniones de los usuarios sobre cuáles son sus necesidades y cómo apoyarlos mejor. Por otro lado, también debe ayudar a los usuarios a comprender los motivos detrás del proyecto de migración, publicar las fechas clave con anticipación, proporcionar detalles sobre las tareas previas a la migración que deben completar y preparar a su equipo de soporte para que puedan abordar cualquier pregunta durante el proceso. y después de la migración. Por ejemplo, una vez que haya decidido sus controles de cumplimiento, asegúrese de ayudar a los usuarios a comprender qué deberán hacer y por qué.

Utilice las vías de comunicación que mejor funcionen para su organización: guías de usuario, preguntas frecuentes, sesiones de formación, etc. Sin una buena comunicación, desde el punto de vista del usuario, su migración podría considerarse un fracaso simplemente porque no sabían qué esperar.

5. Busque formas de reducir el riesgo.

Considere una migración gradual a lo largo del tiempo.

Incluso con una planificación, pruebas y pilotos adecuados, migrar a todos a la vez implica un riesgo significativo. Para empezar, los ingenieros de migración estarán sometidos a un estrés enorme y el equipo de soporte puede verse abrumado por el volumen de llamadas. Además, existe el riesgo muy real de que algunas migraciones no se completen al inicio de las operaciones al día siguiente, especialmente si los usuarios están fuera de la oficina o en diferentes zonas horarias.

Para todas las migraciones de Active Directory, excepto las más pequeñas, una migración por fases suele ser una opción mejor y más segura. Las mejores prácticas de migración de Active Directory recomiendan migrar usuarios, dispositivos y cargas de trabajo en fragmentos lógicos, como equipos de proyectos o departamentos comerciales. De esa manera, el equipo de migración puede centrarse en las necesidades únicas de cada grupo y el volumen de tickets del equipo de soporte seguirá siendo mucho más manejable.

Por supuesto, las organizaciones necesitan que los procesos de negocio continúen durante una migración por fases. Las herramientas de migración de calidad brindan coexistencia entre los entornos de origen y de destino para minimizar el impacto en el usuario. La coexistencia a menudo incluye la sincronización de contraseñas y membresía de grupo para garantizar un acceso fluido a los recursos de TI, así como el mantenimiento de una libreta de direcciones unificada para facilitar la comunicación y colaboración continuas independientemente del estado migratorio de cualquier individuo.

Comprenda que las herramientas pueden hacer o deshacer su cronograma de migración.

Microsoft ofrece una herramienta gratuita para ayudar: Herramienta de migración de Active Directory (ADMT). Si bien ADMT puede ser suficiente para migraciones pequeñas, implica un proceso lento y manual que no se adapta bien a organizaciones más grandes. Como resultado, si bien ahorras presupuesto al utilizar una herramienta gratuita, puedes terminar gastando una enorme cantidad de tiempo y dinero en personal para realizar las migraciones.

Además, ADMT no permite mucha personalización o automatización y, dado que es una herramienta gratuita, no obtendrá soporte personal profundo.

Conclusión

No hay forma de evitarlo: las migraciones de Active Directory son intrínsecamente complejas y realizarlas correctamente es esencial para su negocio. Para ayudar a garantizar un proyecto exitoso, siga las mejores prácticas de migración de Active Directory descritas aquí y considere contratar una solución de migración avanzada que simplificará y automatizará el proceso de migración.