- La migración no es un simple traslado de datos. Es un evento relacionado con la seguridad de la identidad.
- Cuatro problemas y cómo los resuelve Migrator 2.0
- No se puede predecir qué va a hacer realmente una sincronización.
- Los puntos finales son donde las migraciones fallan realmente.
- La coexistencia es la forma habitual de funcionamiento, no un caso excepcional.
- Cuando algo falla a las 23:00 h, normalmente no ves nada.
- Y todo ello acompañado de un seguimiento en tiempo real del progreso.
- El papel de la migración de AD en el contexto general…
- …y cómo Migrator se adapta a tus necesidades
- Para saber más
Nadie retrasa una migración de Active Directory porque resulte difícil copiar objetos.
Pregunta a cualquier equipo de identidad corporativa por qué aún no se ha llevado a cabo la consolidación del bosque que planificaron hace tres años. Probablemente no te dirán que las herramientas no podían trasladar los objetos.
Oirás algo más: nadie podía afirmar con certeza qué es lo que se rompería.
Esa es la realidad actual de la migración de Active Directory. Se trata de proyectos con miles de usuarios, decenas de miles de grupos, permisos que nadie ha revisado desde la última reorganización y aplicaciones estrechamente vinculadas a un directorio en el que se han ido acumulando decisiones a lo largo de 20 años.
El riesgo no es la operación de copia. El riesgo es todo aquello con lo que entra en contacto la operación de copia.
Así pues, los proyectos se aplazan. Luego se retrasan. Y, con bastante frecuencia, se cancelan, mientras que la organización sigue gestionando un directorio que ya sabe que supone un lastre.
Mientras tanto, el contexto en torno a esa decisión ha cambiado por completo. Duplicar grupos, fideicomisos, usuarios y contraseñas, y transferir el historial de SID a través de un límite, siempre ha conllevado un riesgo. Pero hacerlo en el panorama actual de amenazas es algo radicalmente diferente a lo que era en 1999.
Active Directory es el principal vector de ataque en la mayoría de las intrusiones en empresas, y una ventana de migración es un periodo en el que las relaciones de confianza están abiertas, las cuentas de servicio se ejecutan con privilegios elevados y los objetos se encuentran en tránsito entre dos entornos.
La identidad es el plano de control que regula el acceso, la confianza y la continuidad del negocio. Merece más atención, control y visibilidad que la que se suele dedicar a la mayoría de los cambios en la infraestructura.
La migración no es un simple traslado de datos. Es un evento relacionado con la seguridad de la identidad.
Esta es la premisa en la que se basa Semperis Migrator 2.0, y conviene dejarlo claro: cada objeto que se migra supone el cruce de un límite de confianza.
Las herramientas de migración suelen evaluarse en función del rendimiento: cuántos objetos y a qué velocidad. Migrator también traslada los objetos rápidamente. Pero el rendimiento en cuanto al número de objetos nunca fue lo que hizo que estos proyectos duraran tres años.
Lo que nos ocupa todo el calendario es el trabajo de corrección. Una sincronización que hizo algo que nadie había previsto y las dos semanas que nos llevó solucionarlo. Un fin de semana de transición reprogramado porque el viernes surgió una dependencia. Cuatro horas de un sábado por la noche dedicadas a averiguar cuál de los once componentes había registrado el error. Una cola de reinstalación de imágenes para equipos que, para empezar, nunca habían necesitado reinstalarse.
Las migraciones rara vez se ejecutan lentamente. Se detienen. Y luego vuelven a empezar. Así que el problema no es la velocidad del motor, sino la parte del programa que no se está migrando.
Migrator 2.0 se articula en torno a tres preguntas.
- ¿Eres capaz de ver lo que está a punto de cambiar antes de que cambie?
- ¿Se pueden mover los dispositivos finales a gran escala sin tocarlos físicamente?
- Cuando algo falla, ¿puedes localizarlo en cuestión de minutos?
El control no es el precio que hay que pagar por la seguridad en este caso; es lo que mantiene el proyecto en marcha.
Cuatro problemas y cómo los resuelve Migrator 2.0
A continuación se enumeran algunos de los principales puntos críticos que pueden provocar fallos en la migración de AD y que Semperis resuelve.
No se puede predecir qué va a hacer realmente una sincronización.
En la mayoría de los procesos de mecanizado, el resultado de una sincronización depende de la experiencia del operario y de la suerte.
Migrator 2.0 introduce un informe de preparación: una vista previa completa de los cambios previstos, validada con respecto al entorno de producción, antes de que se confirme ningún cambio.
Lo que lo convierte en algo más que una simple prueba es que resuelve las modificaciones de atributos. Si has escrito reglas para reescribir un sufijo de UPN, concatenar valores o aplicar lógica condicional, el informe provisional te muestra los valores resultantes —no la regla, sino el resultado—. Ajusta la transformación, vuelve a generar el informe provisional y comprueba el nuevo resultado. Repite el proceso hasta que la vista previa sea la que realmente deseas y, solo entonces, confirma los cambios.
De este modo se elimina la fase más costosa de un programa de migración: darse cuenta a posteriori y tener que volver a ejecutar toda la fase.
La sincronización en sí misma se organiza ahora en «conjuntos de sincronización de directorios»: contenedores con alcance de proyecto que agrupan una fuente, un destino, la configuración de importación y de alcance, la selección de atributos, la ejecución y los resultados en un único flujo de trabajo controlado. Los equipos que gestionan varias líneas de trabajo simultáneas obtienen una separación real, en lugar de una configuración global que nadie se atreve a modificar. Los escenarios multidominio, multibosque y de dominio único se gestionan a través de la misma interfaz. Las transformaciones de atributos —reescritura de sufijos UPN, asignaciones, reglas condicionales y basadas en fórmulas— se configuran en el propio producto, en lugar de en un montón de scripts personalizados de los que nadie quiere hacerse cargo una vez que se marchan los consultores.
Los puntos finales son donde las migraciones fallan realmente.
Los objetos son la parte fácil. Los fallos que dan lugar a incidencias en el servicio de asistencia técnica se producen en la estación de trabajo y en el servidor de archivos: una lista de control de acceso (ACL) defectuosa, una impresora que no se detecta, una cuenta de servicio que ya no se autentica o un perfil que no se ha transferido al usuario.
El agente de acceso y control seguro de Migrator gestiona la transición sin necesidad de intervenir. No es necesario reconstruir objetos informáticos, ni crear nuevas imágenes, ni que haya una cola de equipos a la espera del equipo de administradores de escritorios. Los terminales se organizan en grupos de migración y se trasladan en oleadas adaptadas a los lotes de la empresa, lo que permite que el programa se ejecute de forma continua en lugar de acumularse tras una serie de fines de semana de transición.
La coexistencia es la forma habitual de funcionamiento, no un caso excepcional.
Ya casi ninguna migración empresarial se lleva a cabo de forma radical. Los programas reales se ejecutan por fases a lo largo de varios meses, con los entornos de origen y destino ambos en funcionamiento y los usuarios repartidos entre ambos.
Migrator Versión 2.0 considera que ese es el caso habitual : los flujos de trabajo de sincronización se programan en intervalos que se ajustan a las operaciones empresariales, las oleadas se ejecutan en incrementos controlados y los operadores pueden pausarlas, corregirlas y reanudarlas en función de los resultados en tiempo real. Un problema en una oleada te cuesta solo esa oleada, no una reversión de todos los procesos ni un reinicio del programa.
Cuando algo falla a las 23:00 h, normalmente no ves nada.
Los sistemas distribuidos fallan de forma distribuida, y la primera hora de cualquier incidencia que se produzca durante la noche de transición suele dedicarse a determinar a qué componente hay que recurrir.
Migrator 2.0 agrupa los registros de agentes, servicios, consolas web, bases de datos e infraestructura en una única interfaz de búsqueda que incluye identificadores de correlación que vinculan las entradas relacionadas entre los distintos componentes, filtrado por gravedad, búsqueda de texto completo y por patrones, y exportación.
Esa es la diferencia entre un triaje que se mide en horas y uno que se mide en minutos.
La validación de la implementación comprueba la conectividad de red, los certificados, el DNS y el estado de los servicios antes de que comience el despliegue, de modo que los obstáculos que normalmente surgen a mitad de la migración se detectan ya durante la configuración.
Y todo ello acompañado de un seguimiento en tiempo real del progreso.
Recuento de objetos por estado, índices de éxito y fracaso por tipo de objeto, rendimiento, tiempo transcurrido, una lista de objetos fallidos en la que se pueden realizar búsquedas con detalles del error y la posibilidad de reintentar, así como el historial de SID y los resultados de la sincronización de contraseñas. Durante la fase de mayor riesgo del proyecto, responder a la pregunta «¿en qué punto nos encontramos ahora mismo?» debería llevar unos segundos, no una llamada al servicio de asistencia.
Nada de eso supone una merma en la velocidad. De ahí es precisamente de donde proviene la velocidad: menos repeticiones, ausencia de cola de reimagen, oleadas que no se detienen y fallos detectados en cuestión de minutos.
El mismo razonamiento se aplica al inicio de un programa; una implementación optimizada y repetible es lo que acorta el tiempo que transcurre entre la firma del contrato y el primer objeto migrado. Migrator se ejecuta en Kubernetes gestionado por el cliente, ya sea en la nube o en las propias instalaciones.
El papel de la migración de AD en el contexto general…
La migración es un punto delicado en el ciclo de vida de la identidad, no su final. Los entornos se encuentran en transición, los permisos pueden variar y surgen lagunas de visibilidad.
Por eso, Semperis enmarca la migración en un modelo centrado en la seguridad, en lugar de considerarla un evento aislado, lo que permite reducir la exposición antes del traslado, mantener la estabilidad de las operaciones mientras se lleva a cabo el cambio y garantizar una postura de seguridad más sólida en el entorno de destino una vez finalizado el proceso.
La función de Migrator en ese modelo es la de intermediario: hacer avanzar la identidad y el acceso en etapas controladas, garantizar que cada cambio sea intencionado y trazable, y dejar el destino en el estado que hayas elegido, en lugar de uno heredado.
Las capacidades de evaluación, seguimiento y recuperación del entorno de la plataforma Semperis—así como la información más detallada sobre los riesgos de migración prevista en nuestra hoja de ruta— son las que hacen que las fases anteriores y posteriores sean igualmente planificadas.
La identidad no es algo estático. Cambia a medida que las organizaciones se fusionan, se desprenden de activos, se modernizan y se refuerzan. La movilidad forma parte de ese ciclo de vida, y debería ser un proceso repetible, en lugar de una situación de emergencia que se produce una vez cada década.
…y cómo Migrator se adapta a tus necesidades
Migrator for Active Directory está diseñado para:
- Migración, consolidación y modernización de AD a AD
- Integración tras fusiones y adquisiciones y desinversiones
- Consolidación multidominio y multibosque
- Modernización y reestructuración del dominio
- Reconstrucciones orientadas a la seguridad
- Transición de las sucursales o del personal que trabaja a distancia
¿Quieres descubrir cómo « Migrator for Active Directory 2.0» ayudará a tus equipos a planificar, llevar a cabo y supervisar la migración con mayor confianza? Solicita una demostración personalizada.
Lecturas complementarias (según corresponda)
