Migrazione e consolidamento Active Directory: foreste, domini, identità ibrida

Active Directory regge autenticazione, autorizzazioni, policy e stampanti di tutta l’azienda: spostarla, unirla o dividerla non è un’operazione da affrontare a tentativi. Nexsys progetta ed esegue migrazioni e consolidamenti di Active Directory con una fase di coesistenza, un pilot su utenti reali e un rollback previsto fin dall’inizio.

Quando serve una migrazione di Active Directory

• Consolidamento di più domini o foreste dopo una fusione o un’acquisizione.
• Carve-out: un ramo d’azienda che deve uscire con le proprie identità e i propri dati.
• Domini storici con suffisso .local o UPN non instradabili, che bloccano l’integrazione con il cloud.
• Ridisegno di unità organizzative e GPO stratificate negli anni e non più leggibili.
• Dismissione di trust verso domini che non servono più.
• Preparazione all’identità ibrida, prima di sincronizzare le identità verso Microsoft Entra ID.

Scenari di migrazione che gestiamo

• Forest-to-forest: migrazione tra foreste separate, con trust temporanei e finestra di coesistenza.
• Consolidamento di domini in un unico dominio, con riorganizzazione di OU e deleghe.
• Cross-forest con SIDHistory, quando i permessi sui file server devono continuare a funzionare durante la transizione.
• Migrazione di AD CS e della gerarchia dei certificati.
• DNS e zone integrate in Active Directory, inclusi i record di servizio.
• GPO e preferenze: analisi, bonifica e riporto solo di ciò che è ancora in uso.
• Service account e gMSA, con censimento delle applicazioni che li usano.
• Trust temporanei per la coesistenza e loro rimozione controllata a fine progetto.

Identità ibrida: Entra Connect o Cloud Sync

La scelta tra Entra Connect e Cloud Sync dipende da quante foreste vanno sincronizzate, da quali attributi servono e da che tipo di filtri e trasformazioni sono in gioco. In entrambi i casi il punto critico è lo stesso: l’allineamento degli UPN e la corrispondenza tra oggetti on-premise e oggetti cloud, con hard match e soft match gestiti in modo esplicito invece che subiti.

Se la migrazione di Active Directory viaggia insieme al passaggio delle caselle, i due progetti vanno sincronizzati: trovi il perimetro del servizio nella pagina dedicata alla migrazione a Microsoft 365. Il consolidamento dell’identità prosegue poi sul fronte della Identity Security.

Il metodo Nexsys per la migrazione di Active Directory

Assessment. Fotografia dello stato reale: salute della replica e dei Domain Controller, inventario delle applicazioni che autenticano via LDAP, NTLM o Kerberos, GPO effettivamente applicate, service account, trust e dipendenze DNS.

Piano con coesistenza. Si decide cosa convive e per quanto: trust, sincronizzazione degli oggetti, risoluzione dei nomi, accesso alle risorse condivise durante il passaggio.

Pilot. Un gruppo ristretto di utenti e postazioni reali, scelto per coprire i casi difficili e non quelli comodi.

Migrazione a batch. Utenti, gruppi, computer e risorse si spostano per ondate, con verifica degli accessi a ogni ondata invece che alla fine.

Cutover. Spostamento dei servizi di autenticazione e dei riferimenti applicativi, con finestra concordata e piano di rientro.

Decommissioning. Rimozione dei trust temporanei, dei domini di origine e dei Domain Controller non più necessari, senza lasciare oggetti orfani.

Hardening. L’ambiente nuovo nasce con le impostazioni di sicurezza già corrette, invece di ereditare quelle vecchie.

Devi solo aggiornare i Domain Controller?

Se il tuo obiettivo non è unire o dividere domini ma portare i Domain Controller su una versione supportata, il percorso è diverso e più lineare: promozione dei nuovi DC, trasferimento dei ruoli FSMO, innalzamento dei livelli funzionali, dismissione dei vecchi. Lo trovi spiegato nella guida alla migrazione dei Domain Controller a una versione supportata di Windows Server.

Dopo la migrazione

Un dominio appena consolidato è il momento migliore per chiudere i conti con le password vecchie, le deleghe dimenticate e gli account di servizio con privilegi eccessivi: è il perimetro dell’assessment e hardening di Active Directory. Sul fronte degli accessi, la protezione prosegue con la Identity Security.

Formazione per il tuo team IT

Se vuoi che siano le tue persone a governare il dominio dopo il progetto, il corso Active Directory copre struttura, GPO, deleghe e manutenzione ordinaria.

Domande frequenti sulla migrazione di Active Directory

Serve SIDHistory?

Serve quando i permessi su file server, applicazioni o database devono continuare a funzionare mentre gli utenti sono già nel dominio nuovo. È una scelta di transizione, non una condizione permanente: a fine progetto va rimossa insieme ai trust temporanei. Se invece i permessi vengono ricostruiti, si può farne a meno.

Quanto dura una migrazione di Active Directory?

Dipende da quanti domini e foreste sono coinvolti, da quante applicazioni autenticano contro il dominio e da quanto è stratificato l’impianto di GPO. La variabile che sposta davvero i tempi non è il numero di utenti, ma il numero di applicazioni con dipendenze non documentate.

Gli utenti restano fermi durante la migrazione?

No. Il progetto è costruito proprio per evitarlo: la coesistenza permette agli utenti di lavorare mentre gli oggetti si spostano a ondate. Le finestre di fermo vero si concentrano sul cutover dei servizi e vengono concordate in anticipo.

Cosa succede alle GPO esistenti?

Vengono analizzate prima di essere spostate. In quasi tutti gli ambienti storici una parte delle policy non è più applicata a nessuno o è in conflitto con altre: portarle nel dominio nuovo così come sono significa trasferire anche il disordine. Si riporta ciò che è in uso, documentando il resto.

Si possono fare insieme migrazione AD e Microsoft 365?

Sì, ed è spesso la scelta giusta, ma vanno sequenziati: prima si mette in ordine l’identità on-premise (UPN, duplicati, attributi), poi si sincronizza verso il cloud. Farlo nell’ordine inverso significa portare in Entra ID gli stessi problemi, moltiplicati.

Parliamo del tuo dominio: richiedi un assessment di Active Directory