Jason Jocobo Responsabile di prodotto

Nessuno rimanda una migrazione di Active Directory solo perché è difficile copiare gli oggetti.

Chiedete a qualsiasi team aziendale responsabile della gestione delle identità perché il consolidamento della foresta che avevano pianificato tre anni fa non sia ancora stato realizzato. Probabilmente non vi diranno che gli strumenti non erano in grado di spostare gli oggetti.

Sentirai anche un’altra cosa: nessuno poteva dire con certezza cosa si sarebbe rotto.

Questa è la realtà attuale della migrazione di Active Directory. Si tratta di progetti che coinvolgono migliaia di utenti, decine di migliaia di gruppi, autorizzazioni che nessuno ha verificato dall’ultima riorganizzazione e applicazioni strettamente legate a una directory in cui si sono accumulate decisioni nel corso di 20 anni.

Il rischio non è l'operazione di copia. Il rischio è tutto ciò che l'operazione di copia coinvolge.

Così i progetti vengono rinviati. Poi subiscono ulteriori ritardi. E, abbastanza spesso, vengono cancellati — mentre l’organizzazione continua a gestire una directory che sa già essere un peso.

Nel frattempo, il contesto in cui è stata presa quella decisione è cambiato radicalmente. La duplicazione di gruppi, trust, utenti e password, nonché il trasferimento della cronologia dei SID oltre un confine, ha sempre comportato dei rischi. Tuttavia, farlo nell’attuale panorama delle minacce rappresenta un’operazione fondamentalmente diversa rispetto a quanto avveniva nel 1999.

Active Directory rappresenta il principale vettore di attacco nella maggior parte delle intrusioni nelle reti aziendali, mentre una finestra di migrazione è un periodo in cui i rapporti di fiducia sono aperti, gli account di servizio operano con privilegi elevati e gli oggetti sono in transito tra due ambienti.

L'identità costituisce il piano di controllo per l'accesso, l'affidabilità e la continuità operativa. Merita maggiore attenzione, controllo e visibilità rispetto a quanto ne ricevano la maggior parte delle modifiche all'infrastruttura.


La migrazione non è un semplice trasferimento di dati. È un evento che riguarda la sicurezza dell’identità.

Questa è la premessa su cui si basa Semperis Migrator 2.0, e vale la pena ribadirlo chiaramente: ogni oggetto che si migra rappresenta un confine di fiducia che viene superato.

Le soluzioni per la migrazione vengono solitamente valutate in base alla produttività: quanti oggetti e con quale velocità. Anche Migrator sposta gli oggetti velocemente. Ma la produttività in termini di oggetti non è mai stata la causa per cui questi progetti hanno richiesto tre anni.

Ciò che riempie il calendario è il lavoro di correzione. Una sincronizzazione che ha prodotto risultati inaspettati e le due settimane trascorse a risolvere il problema. Un fine settimana dedicato al passaggio al nuovo sistema riprogrammato perché venerdì è emersa una dipendenza. Quattro ore di sabato sera trascorse a capire quale degli undici componenti avesse generato l’errore. Una coda di reimaging per macchine che, in realtà, non avrebbero mai dovuto essere reinstallate.

Le migrazioni raramente procedono a rilento. Si interrompono. E poi ricominciano. Quindi l’ostacolo non è la velocità del motore, ma la quantità di codice che non viene migrata.

Migrator 2.0 si articola attorno a tre domande.

  • Riesci a intuire cosa sta per cambiare prima che cambi?
  • È possibile spostare gli endpoint in blocco senza toccarli fisicamente?
  • Quando qualcosa non funziona, riesci a individuarlo in pochi minuti?

Qui il controllo non è il prezzo da pagare per la sicurezza; è ciò che permette al progetto di andare avanti.


Quattro problemi e come Migrator 2.0 li risolve

Ecco alcuni dei principali punti critici che causano il fallimento della migrazione AD e che Semperis risolve.


Non è possibile prevedere quale sarà l'effettivo risultato di una sincronizzazione.

Nella maggior parte degli impianti di lavorazione, l’esito di un ciclo di sincronizzazione dipende dall’esperienza dell’operatore e dalla speranza.

Migrator 2.0 introduce un report di staging: un'anteprima completa delle modifiche previste, convalidata rispetto all'ambiente di produzione, prima che venga effettuato qualsiasi commit.

Ciò che lo rende più di una semplice simulazione è il fatto che risolve le manipolazioni degli attributi. Se hai scritto delle regole per riscrivere un suffisso UPN, concatenare valori o applicare una logica condizionale, il report di staging ti mostra i valori risultanti — non la regola, ma l’output. Modifica la trasformazione, esegui nuovamente lo staging e osserva il nuovo risultato. Ripeti l’operazione finché l’anteprima non corrisponde esattamente a ciò che desideri, e solo allora conferma.

In questo modo si elimina la fase più costosa di un programma di migrazione: scoprire il problema a posteriori e dover ripetere l’intera fase.

La sincronizzazione stessa è ora organizzata in “Directory Synchronization Sets”— contenitori a livello di progetto che racchiudono una sorgente, una destinazione, le impostazioni di importazione e di ambito, la selezione degli attributi, l’esecuzione e i risultati in un unico flusso di lavoro controllato. I team che gestiscono diversi flussi di lavoro simultanei ottengono una separazione effettiva, anziché un’unica configurazione globale che tutti temono di modificare. Gli scenari multi-dominio, multi-foresta e a dominio singolo vengono tutti gestiti tramite la stessa interfaccia. Le trasformazioni degli attributi — riscrittura dei suffissi UPN, mappature, regole condizionali e basate su formule — vengono configurate direttamente nel prodotto anziché in una pila di script personalizzati di cui nessuno vuole assumersi la responsabilità una volta che i consulenti se ne sono andati.


È proprio negli endpoint che le migrazioni falliscono.

Gli oggetti sono la parte più semplice. I problemi che generano richieste di assistenza si verificano sulla postazione di lavoro e sul file server: un ACL danneggiato, una stampante non più rilevata, un account di servizio che non si autentica più, un profilo che non è stato trasferito all’utente.

L'agente Secure Access and Control di Migrator gestisce il passaggio in loco. Non è necessario ricostruire gli oggetti del computer, né reinstallare il sistema operativo, né creare una coda di macchine in attesa del team responsabile dei desktop. Gli endpoint vengono organizzati in gruppi di migrazione e spostati in ondate dimensionate per i lotti aziendali, il che consente al programma di funzionare in modo continuo anziché accumulare ritardi a causa di una serie di fine settimana dedicati al passaggio.


La coesistenza è la modalità operativa, non un caso eccezionale.

Ormai quasi nessuna migrazione aziendale avviene più con il metodo “big bang”. I programmi reali vengono eseguiti in fasi che si protraggono per mesi, con l’ambiente di origine e quello di destinazione entrambi operativi e gli utenti distribuiti tra i due.

Migrator versione 2.0 considera questa come la situazione normale : i flussi di lavoro di sincronizzazione vengono programmati in finestre temporali che si allineano alle operazioni aziendali, le fasi vengono eseguite in incrementi controllati e gli operatori possono mettere in pausa, correggere e riprendere l’esecuzione in base ai risultati in tempo reale. Un problema in una fase comporta la perdita di quella fase, non il rollback di tutti i processi e il riavvio del programma.


Quando qualcosa va storto alle 23:00, di solito non ci si vede nulla.

I sistemi distribuiti presentano guasti in modo distribuito, e la prima ora di qualsiasi incidente che si verifica durante il passaggio notturno viene solitamente dedicata a capire a quale componente rivolgersi.

Migrator 2.0 aggrega i log degli agenti, dei servizi, della console web, del database e dell'infrastruttura in un'unica interfaccia ricercabile, con ID di correlazione che collegano le voci correlate tra i vari componenti, filtri per livello di gravità, ricerca full-text e per pattern, nonché funzionalità di esportazione.

Questa è la differenza tra un triage misurato in ore e uno misurato in minuti.

La verifica di validità della distribuzione controlla la connettività di rete, i certificati, il DNS e lo stato dei servizi prima dell'avvio dell'implementazione, in modo che gli ostacoli che normalmente emergono a metà della migrazione vengano invece individuati già durante la fase di configurazione.


Il tutto accompagnato da un monitoraggio in tempo reale dei progressi.

Conteggio degli oggetti per stato, percentuali di successo e di fallimento per tipo di oggetto, velocità di elaborazione, tempo trascorso, un elenco ricercabile degli oggetti con errori contenente i dettagli dell’errore e la possibilità di riprovare, nonché la cronologia dei SID e i risultati della sincronizzazione delle password. Durante la fase di maggior rischio del progetto, rispondere alla domanda “a che punto siamo adesso” dovrebbe richiedere pochi secondi, non una chiamata all’assistenza.

Nulla di tutto ciò comporta un compromesso in termini di velocità. È proprio da qui che deriva la velocità: meno esecuzioni ripetute, nessuna coda di reimaging, ondate che continuano a muoversi e guasti individuati in pochi minuti.

Lo stesso ragionamento vale all’inizio di un programma: un’implementazione snella e ripetibile è ciò che riduce il tempo che intercorre tra la firma del contratto e il primo oggetto migrato. Migrator gira su Kubernetes gestito dal cliente, sia nel cloud che in locale.


Il ruolo della migrazione AD nel quadro generale…

La migrazione rappresenta un punto delicato nel ciclo di vita dell’identità, non la sua conclusione. Gli ambienti sono in fase di transizione, le autorizzazioni possono subire variazioni e si creano lacune nella visibilità.

Ecco perché Semperis inserisce la migrazione all’interno di un modello incentrato sulla sicurezza, anziché considerarla un evento a sé stante, riducendo così i rischi prima del trasferimento, garantendo la stabilità delle operazioni durante la fase di transizione e favorendo una maggiore sicurezza nell’ambiente di destinazione una volta completata la migrazione.

Il ruolo di Migrator in quel modello è quello di mediatore: far progredire l’identità e l’accesso in fasi controllate, garantire che ogni modifica sia intenzionale e tracciabile, e lasciare la destinazione in uno stato scelto da te piuttosto che in uno ereditato.

Le funzionalità di valutazione, monitoraggio e ripristino dell’ambiente circostante della piattaforma Semperis—insieme alle informazioni più approfondite sui rischi legati alla migrazione previste nella nostra roadmap—sono ciò che rende altrettanto ponderate le fasi che la precedono e quelle che la seguono.

L'identità non è statica. Cambia man mano che le organizzazioni si fondono, cedono attività, si modernizzano e si rafforzano. La mobilità fa parte di quel ciclo di vita e dovrebbe essere un processo ripetibile, piuttosto che un'emergenza che si verifica una volta ogni dieci anni.


…e in quali casi Migrator fa al caso tuo

Migrator for Active Directory è progettato per:

  • Migrazione, consolidamento e modernizzazione da AD ad AD
  • Integrazione e cessione nell'ambito delle operazioni di fusione e acquisizione
  • Consolidamento multidominio e multiforesta
  • Modernizzazione e riorganizzazione del settore
  • Ricostruzioni orientate alla sicurezza
  • Transizione delle filiali o del personale in telelavoro

Vuoi scoprire in che modo “ Migrator for Active Directory ” 2.0 aiuterà i tuoi team a pianificare, eseguire e monitorare la migrazione con maggiore sicurezza? Richiedi una demo personalizzata.


Ulteriori letture (se del caso)