Problem med Server 2008 R2 (För gammal, för dum, förvirrad….)

Som man sagt ovan, Windows Server 2008 får inga nya uppdateringar, däremot säkerhetsuppdateringar. fram tills 10 januari 2023. Beroende på behoven på företaget så kanske en migrering till M365 och Intune är en bra idé? Då kan ni även få in klienthantering, kontohantering och administration av Office (Sharepoint, Teams, Exchange Online osv) i samma miljö. Du har också Autopilot så du slipper sitta själv och koppla dator till AzureAD & Intune och det bara är för dig att köpa dator och dela ut till användaren direkt.

Jag ansvarar för ca 50 Win10-burkar i Intune och är fruktansvärt nöjd med lösningen. Enda som behövs on-prem är en router, ap och switch.

Frågan är hur mycket energi du ska lägga på dessa servrar när du efter årsskiftet ändå måste uppgradera OS då det inte längre får säkerhetsuppdateringar?

Svårt att säga vad som är bästa vägen framåt utan att se systemet, men rimligtvis finns inga garantier att du har backuper som går ända tillbaka till sista kända fungerande konfiguration eller om du har det att du vet vilken backupkopia som motsvarar detta läge. Att ta en backup och sen smälla upp en modern DC på en VM parallellt med de gamla och se om den klarar av att synka ”borde” vara relativt riskfritt. Därifrån tar du en backup till och ser om du kan överföra nyckelfuntionalitet för ditt AD till den nya servern och få upp ytterligare en. Om allt fungerar i det här läget bör du kunna försöka degradera de gamla servrarna till rena domänmedlemmar och migrera deras dokumentinehåll till andra tjänster.

Beroende av hur komplext systemet är i övrigt kan det annars vara en helt giltig väg framåt att skapa en ny AD-domän och börja om - eller helt skippa on prem-resurser om de inte fyller någon relevant funktion för er längre.

Är miljön så pass fungerande att den kan ta emot en till Domänkontrollant så installera upp en ny med Server 2019, gör en utvärdering internt om filservern behövs eller om det mesta är flyttat till Google Workspace. Förvisso skulle ni i samma veva kunna göra en utvärdering om ADt används för något annat än inloggning - i så fall råder jag att den avvecklas och ni kör vidare med lokala konton på datorerna.

Jag vill vända på steken. Först ta rätt på vad det är som inte funkar med replikeringen. Flytt av FSMO är dömt att misslyckas om domänen inte replikerar, du riskerar att få ett ännu mera trasigt ad där flera dc tror de har FSMO roller - och nej det är inte kul att reda ut i efterhand

Oavsett vilket - det här inte något för någon utan rejäl AD-vana plus en komplett backup om man inte är villig att riskera dataförlust/driftstörningar

Det är ibland lättare sagt än gjort och behöver man fråga på Sweclockers är det högst sannolikt att man saknar nödvändig kunskap för att ens förstå vad som är fel ens åtgärda det. Min lilla roadmap är relativt failsafe - om man vill förstå den.

Jag har städat upp konsekvenserna när folk har försökt flytta FSMO i icke replikerande AD. Har du tex två ridmasters så kan du få kontokrockar som kräver manuella borttag och nyupplägg. Två schema masters med olika scheman kan ge också "kul" effekter.

Och av just den anledningen skrev jag att man ska minska antalet DC till en (1). Vad är problemet?

Skaffa en ny fräsch server OMGÅENDE. Absolut tidsfråga innan ras, annars blir det att rodda i detta när det väl skitit sig.
Det finns massvis med exploits och skadlig kod, så släng ut.

Installera en ny server och försök få den att ta över rollerna. Alternativt om ni är få anställda så gå över till AzureAD, men då är frågan med applikationer osv.
Kanske värt att ta in proffshjälp.

Problemet är det data som inte har replikerats från de DC som avvecklas - det datat kommer ju att förloras och beroende på vad det är för data så kan det bli rätt stora konsekvenser. Är det maskinkonton eller bara dess lösenord måste de joinas om (om det går) eller ominstalleras med de effekter det ger. Användare som försvinner, tilldelade behörigheter som inte längre funkar, applikationer och tjänster som tappar sin katalogbaserade konfig (ad integrerad dns och CA server, exchange, skype osv) med mera.

Det kommer alltid att finns inkonsekvent data i ett korrupt AD som man måste hantera på något sätt, det går inte att undvika. Så i stället för att påpeka det uppenbara kan du väl i så fall komma med konkreta förslag till TS istället om du har en bättre lösning.

Just det, det måste hanteras - inte raderas. Därav fixar man replikeringen först innan man ställer till det ännu mer och dessutom riskerar sprida skadan till resten av IT-miljön.
Man får börja med repadmin, dcdiag och Dfsrdiag plus naturligtvis eventloggen för att få grepp på vad det är som strular.