Jason Jocobo Gestor de Produto

Ninguém adia uma migração do Active Directory por ser difícil copiar objetos.

Pergunte a qualquer equipa de identidade empresarial por que razão a consolidação da floresta que planearam há três anos ainda não se concretizou. Provavelmente não ouvirá que as ferramentas não conseguiram transferir os objetos.

Vais ouvir outra coisa: ninguém conseguia dizer com certeza o que é que se iria partir.

Esta é a verdadeira realidade da migração do Active Directory nos dias de hoje. Trata-se de projetos com milhares de utilizadores, dezenas de milhares de grupos, permissões que ninguém audita desde a última reorganização e aplicações intimamente ligadas a um diretório que vem acumulando decisões há 20 anos.

O risco não é a operação de cópia. O risco é tudo aquilo a que a operação de cópia dá acesso.

Assim, os projetos são adiados. Depois, sofrem atrasos. E, com bastante frequência, acabam por ser cancelados — e a organização continua a gerir um diretório que já sabe que é um peso.

Entretanto, o contexto em torno dessa decisão mudou completamente. A duplicação de grupos, trustes, utilizadores e palavras-passe, bem como a transferência do histórico de SID para além de um limite, sempre envolveu riscos. Mas fazê-lo no panorama atual de ameaças é um exercício fundamentalmente diferente do que era em 1999.

O Active Directory é o principal vetor de ataque na maioria das intrusões em empresas, e uma janela de migração é um período em que as relações de confiança estão abertas, as contas de serviço são executadas com privilégios elevados e os objetos estão em trânsito entre dois ambientes.

A identidade é o plano de controlo para o acesso, a confiança e a continuidade do negócio. Merece mais atenção, controlo e visibilidade do que a maioria das alterações à infraestrutura recebe.


A migração não é a transferência de dados. É um evento relacionado com a segurança da identidade.

Esta é a premissa em que se baseia o Semperis Migrator 2.0, e vale a pena deixá-la bem clara: cada objeto que se migra representa uma fronteira de confiança que é ultrapassada.

As ferramentas de migração são normalmente avaliadas com base no rendimento: quantos objetos e a que velocidade. O Migrator também move objetos rapidamente. Mas o rendimento em termos de objetos nunca foi o que fez com que estes projetos demorassem três anos.

O que ocupa a maior parte do calendário é o trabalho de correção. Uma sincronização que resultou em algo que ninguém previu e as duas semanas gastas a corrigir o problema. Um fim de semana de transição remarcado porque surgiu uma dependência na sexta-feira. Quatro horas de um sábado à noite passadas a tentar descobrir qual dos onze componentes registou o erro. Uma fila de reinstalação de imagens para máquinas que, para começar, nunca precisaram de ser reinstaladas.

As migrações raramente são lentas. Elas param. E depois recomeçam. Por isso, o obstáculo não é a velocidade do motor. É a parte do programa que não está a ser migrada.

O Migrator 2.0 assenta em três questões.

  • Consegues perceber o que está prestes a mudar antes que mude?
  • É possível deslocar terminais em massa sem lhes tocar fisicamente?
  • Quando algo falha, consegue identificar o problema em poucos minutos?

A fiscalização não é o preço que se paga pela segurança aqui; é o que mantém o projeto em andamento.


Quatro problemas e como o Migrator 2.0 os resolve

Eis alguns dos principais pontos críticos de falha na migração do AD que a Semperis resolve.


Não é possível prever o que uma sincronização irá realmente fazer.

Na maioria das máquinas-ferramenta, o resultado de um ciclo de sincronização depende da experiência e da esperança do operador.

O Migrator 2.0 introduz um relatório de preparação: uma pré-visualização completa das alterações previstas, validadas em relação ao ambiente de produção, antes de qualquer alteração ser confirmada.

O que faz com que isto seja mais do que um simples teste é o facto de resolver as suas manipulações de atributos. Se tiver definido regras para reescrever um sufixo UPN, concatenar valores ou aplicar lógica condicional, o relatório de pré-visualização mostra-lhe os valores resultantes — não a regra, mas sim o resultado. Ajuste a transformação, execute novamente a pré-visualização e veja o novo resultado. Repita este processo até que a pré-visualização corresponda exatamente ao que pretende e só então confirme as alterações.

Isso elimina a etapa mais dispendiosa de um programa de migração: descobrir o problema só depois e ter de repetir todo o processo.

A própria sincronização está agora organizada em Conjuntos de Sincronização de Diretórios— contentores no âmbito de um projeto que contêm uma fonte, um destino, definições de importação e de âmbito, seleção de atributos, execução e resultados, tudo num único fluxo de trabalho controlado. As equipas que executam vários fluxos de trabalho simultâneos obtêm uma separação real, em vez de uma configuração global que todos têm receio de alterar. Cenários com vários domínios, várias florestas e um único domínio são todos executados através da mesma interface. As transformações de atributos — reescritas de sufixos UPN, mapeamentos, regras condicionais e baseadas em fórmulas — são configuradas no produto, em vez de numa pilha de scripts personalizados de que ninguém quer assumir a responsabilidade depois de os consultores se irem embora.


É nos pontos finais que as migrações falham de facto.

Os objetos são a parte mais fácil. As falhas que dão origem a tickets de assistência técnica ocorrem na estação de trabalho e no servidor de ficheiros: uma ACL danificada, uma impressora perdida, uma conta de serviço que já não é autenticada, um perfil que não acompanhou o utilizador.

O Agente de Acesso e Controlo Seguro do Migrator gere a transição no local. Não é necessário reconstruir objetos de computador, nem recriar imagens, nem há uma fila de máquinas à espera de uma equipa de suporte a computadores. Os terminais são organizados em grupos de migração e transferidos em ondas dimensionadas para lotes empresariais, o que permite que o programa funcione de forma contínua, em vez de se acumularem tarefas ao longo de uma série de fins de semana de transição.


A coexistência é o modo de funcionamento, não um caso excecional.

Já quase nenhuma migração empresarial é feita de uma só vez. Os programas reais decorrem por fases ao longo de vários meses, com os ambientes de origem e de destino ambos em funcionamento e os utilizadores distribuídos por ambos.

A versão 2.0 do Migrator considera isso como o cenário normal : os fluxos de trabalho de sincronização são agendados em intervalos que se adequam às operações empresariais, as fases são executadas em incrementos controlados e os operadores podem pausar, corrigir e retomar com base nos resultados em tempo real. Um problema numa fase implica a perda dessa fase — e não um retrocesso de todos os processos nem um reinício do programa.


Quando algo avaria às 23h00, normalmente ficamos às escuras.

Os sistemas distribuídos apresentam falhas de forma distribuída e, na primeira hora de qualquer incidente que ocorra durante a transição noturna, o tempo é normalmente dedicado a determinar a que componente se deve recorrer.

O Migrator 2.0 agrupa os registos dos agentes, serviços, consola web, base de dados e infraestrutura numa única interface pesquisável, com IDs de correlação que ligam entradas relacionadas entre componentes, filtragem por gravidade, pesquisa de texto completo e por padrões, e exportação.

Essa é a diferença entre uma triagem medida em horas e uma triagem medida em minutos.

A validação da implementação verifica a conectividade de rede, os certificados, o DNS e o estado dos serviços antes do início da implementação, pelo que os obstáculos que normalmente surgem a meio da migração aparecem, em vez disso, durante a configuração.


A acompanhar tudo isto: acompanhamento em tempo real do progresso.

Contagem de objetos por estado, taxas de sucesso e de falha por tipo de objeto, rendimento, tempo decorrido, uma lista pesquisável de objetos com falha com detalhes do erro e opção de nova tentativa, bem como histórico de SID e resultados da sincronização de palavras-passe. Durante a fase de maior risco do projeto, a resposta à pergunta «em que ponto estamos neste momento?» deve demorar apenas alguns segundos, e não exigir uma chamada para o apoio técnico.

Nada disso representa um sacrifício em termos de velocidade. É precisamente daí que a velocidade provém: menos repetições, ausência de fila de recriação de imagens, ondas que continuam a avançar e falhas detetadas em minutos.

O mesmo raciocínio aplica-se no início de um programa; uma implementação simplificada e repetível é o que reduz o tempo entre a assinatura do contrato e o primeiro objeto migrado. O Migrator funciona num Kubernetes gerido pelo cliente, na nuvem ou nas instalações do cliente.


O lugar que a migração do AD ocupa no panorama geral…

A migração é um ponto sensível no ciclo de vida da identidade, não o seu fim. Os ambientes estão em transição, as autorizações podem sofrer alterações e surgem lacunas de visibilidade.

É por isso que a Semperis enquadra a migração num modelo centrado na segurança, em vez de a considerar um evento isolado, reduzindo a exposição antes da migração, mantendo a estabilidade das operações enquanto a mudança está em curso e contribuindo para uma postura de segurança mais robusta no ambiente de destino após a migração.

A função do Migrator nesse modelo é a de intermediário: fazer avançar a identidade e o acesso em etapas controladas, garantir que cada alteração seja intencional e rastreável e deixar o destino num estado que tenha escolhido, em vez de um que tenha herdado.

As capacidades de avaliação, monitorização e recuperação do ambiente circundante da plataforma Semperis— bem como a informação mais aprofundada sobre os riscos de migração prevista no nosso plano de ação — são o que torna as fases anteriores e posteriores a esta igualmente bem planeadas.

A identidade não é estática. Muda à medida que as organizações se fundem, alienam ativos, se modernizam e se tornam mais resistentes. A mobilidade faz parte desse ciclo de vida e deve ser um processo repetível, em vez de uma situação de emergência que ocorre uma vez por década.


…e onde é que o Migrator se adequa às suas necessidades

Migrator for Active Directory foi concebido para:

  • Migração, consolidação e modernização de AD para AD
  • Integração e alienação no âmbito de fusões e aquisições
  • Consolidação de vários domínios e várias florestas
  • Modernização e reestruturação do domínio
  • Reconstruções orientadas pela segurança
  • Transição para o trabalho nas filiais ou à distância

Quer saber como o « Migrator for Active Directory » 2.0 irá ajudar as suas equipas a planear, executar e monitorizar a migração com maior confiança? Solicite uma demonstração personalizada.


Leitura complementar (conforme o caso)