Výroba hnoje a migrace do O365

22.7. 09:23 | Přečteno: 1843× | windows | poslední úprava: 22.7. 09:23

Jak se vytváří hnůj a jak se uklízí?

Výroba hnoje

Příběh začíná heterogenním prostředním. Matka, sestra a děti. Matka se sestrou na Exchange, dvě oddělená AD. Děti jako child domény patřící matce. Protože je třeba na dětech šetřit, tak nemohou mít přeci drahý Exchange. Vybral jsem tedy Kerio Connect, do kterého jsem se z pohledu správy zamiloval. Vždy svižné web rozhraní, přehledná adresářová struktura, filtrování atd. Upgrade na novější verze bez nutnosti plánovat odstávky, protože 4min výpadku si nikdo nevšimne (s Exchange, který spápne hoďku je to neporovnatelné). Bavíme se o 400 schránkách a 1,5TB dat. Na začátku byl problém s rozšířením do Outlooku, který se časem zlepšoval. S jedním mailboxem nebýval problém, ale jedna dcera jela stylem všichni všechno, což je třeba 8 mailboxů v outlooku, každý 20GB a ten addon měl maily v lokální fdb (firebird). Bez SSD je taková věc konečná. V té době nebývaly SSD běžné. Časem se SSD naladily a i Kerio vydávalo vylepšení, až to bylo super. Podpora ActiveSync od začátku také byla, občas nějaká muška, ale dalo se.

Pak přišla Babička ze zahraničí a řekla managementu, že migruje do O365. A protože Babička je z bohatého západu, tak migrovala s nejvyšší licenční pálkou pro všechny, což je E5 za asi 50 EURO/hlava/měsíc.

Matka si řekla, že Babibička je vzor, takže se půjde také do O365 a vyzkouší se to na dětech. Takže migrace z Kerio Connect do O365. Šlo to celkem ok. Mezitím si sestra řekla, že do O365 také půjde, takže taktéž zmigrovala. Výsledkem tedy byly stále tři prostředí, navzájem nepropojitelné.

Matka si za dob covidu řekla, že chce Teams a vedení IT rozjelo Tenant mimo ten, kde měly data děti. Takže čtvrté prostředí, které nebylo zamýšleno jako prostředí, ale jako licence jen pro MS Teams. Nicméně jak to bývá, dočasná řešení bobtnají, data tam proudí, uživatelé se tam množí a ve finále z takových dočasných blbostí vzniknou fungující celky s hafec daty.

Pro tři oblasti existují čtyři prostředí, navzájem nijak nepropojitelné. Super fůra hnoje je tedy na světě. Může se začít gratulovat. Líp už to snad nejde.

Úklid hnoje

Sestra je out, jiný AD strom, hodně uživatelů atd. Takže začneme tím, že se pokusíme spojit matku s dětmi. Až bude matka s dětmi spojena, tak zkusíme zbavit svět dočasného tenantu pro Teamsy. To by mělo ve finále dělat dvě prostředí. A pak je to o tom spojit matku se setrou, pokud už nebude pozdě.

Nyní probíhá fáze spojování matky s dětmi (resp. jedno dítě zůstalo s matkou, chuděra, ale aspoň z něj může být testovací subjekt). Stejný AD strom, ve kterém jsou děti v O365 a matka v Exchange, bez hybridu. Naprostý nestandard.

Jen pro představu, spálil jsem na základních přípravách 60 hodin čistého času (spíše více, nejsem úplně příkladný v doplňování časů do redmine), dalších 7 hodin test migrace a dopracování dalších uživatelských návodů. A to všechno za pomoci týpka z třetí strany, který má s migracemi a O365 zkušenosti. Týpek byl/je konzultační, takže v těch 60h jsme buď prováděli konzultaci příprav a dalších kroků, nebo jsme spolu měnili konfiguraci, nebo jsem prostě psal powershell scripty na čištění uživatelů, konsolidaci, hledání kolizí apod.

Bez nachytřeného týpka, co s tím má zkušenosti, bych to asi nikdy nedal. Má know how, zná voodoo apod. Takže když se třeba jeden uživatel špatně syncoval do O365 a nepomáhalo nic, tak pán přišel s voodoo trikem, kdy se přidal uživateli nesmyslný emailový alias a Entra AD Sync najednou prošel, protože on z dob zaříkávání technologií MS ví, že Entra AD Sync nesyncuje vždy všechno 1:1, ale někdy ví, že toto už prováděl, tak už na to nikdy nesáhne, i když je to špatně, dokud se tam neobjeví pro něj viditelně nějaká změna.

Jak vypadá spojení matky s dětmi?

Tady je ochutnávka, jak kydání probíhá (k získání počtu akcí nutno vynásobit koeficientem sračkometu 50):

• O365 - analýza se zaříkávačem MS
• O365 - Instalace Exchange 2019 on-prem (žádná jiná verze není akceptovatelná)
• O365 - nastavení prostupů (proxy je nepřítel, MS to neumí)
• O365 - nasazení Let'sEncrypt certifikátu
• O365 - setřepání dite1.tld uživatelů
• O365 - předělání connectorů (aby šlo jednotlivé domény routovat solo a ne přes default connector)
• O365 - rozjetí hybridního režimu s dite1.tld
• O365 - přidat dite1.tld do AD Sync a odzkoušet migraci do O365
• O365 - setřepání uživatelů matkadomena1.tld a matkadomena2.tld
• O365 - nasadit email address policy pro matkadomena1.tld a matkadomena2.tld
• O365 - analýza a záloha dite2.tld
• O365 - napsat migracční skripty
• O365 - migrace dite2.tld do hybridu (aby vidělo do Exchange on-prem a naopak)
• O365 - dokumentace part 1
• O365 - upravit email address policy tak, aby nebyl problém s dite3.tld
• O365 - setřepání a analýza dite3.tld
• O365 - migrační skripty pro dite3.tld
• O365 - migrace dite3.tld do hybridu
• O365 - Zapnutí exchange writeback
• O365 - Takeoven domén (protože např. shadow tenanty)
• O365 - Přidání MSE domén do hybridu
• O365 - zapnout sync AD uživatelů Matky a ditete4
• O365 - dopsat admin dokumentaci pro správu účtů
• O365 - školení IT správců uživatelů
• O365 - postup migrace
• O365 - MFA pro migrované mailboxy (vymyslet např., aby třeba svářeč bez telefonu, nebo řidič neměli probém)
• O365 - uživatelská dokumentace s MFA
• O365 - nasadit roční ověřený cert (psát scripty pro Let'sEncrypt není na pořadu dne, srát na to)
• O365 - migrace část IT
• O365 - zmigrovat do O365 IT Admin dite1
• O365 - migrace Academy do O365
• O365 - zmigrovat do O365 zbytek IT
• O365 - migrace oddělení1 do O365
• O365 - migrace odděleníxy do O365
• O365 - zjištění, že nelze migrovat některé schránky, protože mnohanásobně překračují limity O365 (počet položek ve složce, počet odeslaných emailů apod.). Prostě O365 nejsou na to, aby se z něj odesílaly emaily, to by tak ještě hrálo.
• O365 - ponechání v on-prem asi 30 mailboxů s tím, že nutost jejich migrace do db nového Exchange
• O365 - migrace mailboxu mezi MSE databázemi, co má 4 900 000 položek v odeslané poště.
• O365 - smazání prázdných db (je na to třeba 20 kontrol a čistících postupů, aby šla db smazat a nezahlásila info, že něco neznámého obsahuje, takže nelze smazat)
• O365 - překopat routingy emailů tak, aby šlo vše přes nový server
• O365 - demont starých MSE
• O365 - ...

Nutno podotknout, že tím, jak světy šly vedle sebe a ne spolu, tak existují kolize, které nejdou dobře řešit. Např. pokud existuje "novak@dite1.tld", tak nemůže (může, ale neměl by) existovat "novak@matka.tld". Přesně tak, pro MS je nutný prefix. Uživatel != email. Email se generuje z aliasu a párují se na to další generované interní aliasy pro vnitřní komunikaci mezi Exchange (MSE) a O365. A teď sranda v podobě toho, že kolizní jsou i uživatelé z nejvyššího managementu.

Výše uvedené je jen třešnička, problémů se skýtá mnohem více.

Závěr

Vykydání hnoje je běh na krutě dlouhou trať a vypadá to i tak, že se neobejde bez krve. MS třeba nepodporuje migrace mezi tenanty, nelze tak migrovat data mezi třeba dočansým MS Teams tenantem a hlavním. MS se odvolává na to, aby se uživatelé obrátili na třetí stranu, která to umí. Jenomže třetí strana sice umí částečně i migraci dat, ale většinou jen neexistujících uživatelů. Pokud už jsou v cílovém tenantu stejní uživatelé, tak smůla, merge dat jaksi asi není moc reálný, nebo velmi obtížný. Dále těžko říci, jak s ACL apod.

Nezbývá, než popřát v dalším kydání hnoje. Nejhorší na tom ale celé je, že se ze mně stal nejnachytřenější správce O365 z teamu. A to se mi nelíbí, protože je to věc, co bych nejraději už neřešil, odškrtnul si jako hotovo a nikdy se k tomu nevrátil.

Zdar Max

PS: Ještě přemýšlím, zda neuvolnit anonymizovanou nekompletní dokumentaci všeho, ale nevím, zda to má smysl. Je to docela rozsáhlé a bez kontextu, jak některé věci fungují, to může být stejně nicneříkající.

       

Komentáře

[no teda]

Famílie ujíždějící na O365, dobře vám tak.

Jinak nečekej moc reakcí, je okurková sezóna - Gréta si válí koule na dovolené, Kapicovi si vzali na dovču protivnýho dědka s sebou pod podmínkou, že nepáchne na ábíčko atd.

[Max]

Když jedeš MS Office, všichni zvyklí na outlook, kooperuje se nad excely apod., tak ti jiná cesta moc nezbývá, než jít do O365. Navíc máš vše all-in-one (MFA, MDM/EMM a další věci), možnost hybridu / možnost velmi solidní integrace, vize vedení, že budou věci víc online, matka co to tlačí apod.
Kdyby jsi měl jít jinou cestou, tak za MFA zaplatíš pálku (cisco Duo apod.), za mdm zaplatíš další pálku (SOTI MobiControl apod.), za možnost integrace třetí strany další problém a začne se to sčítávat. Každé řešení je přitom 2-10USD/měsíc/uživatel.
Zdar Max

[cbrpnk]

Takže vlastne neuveriteľna spokojnosť s kopou hnoja?

[Radovan]

Čím větší kupa hnoje, tím spokojenější mouchy.

Pro ostatní je Linux

[Max]

Když si odmyslím, že občas web nejde, občas vypadne licenční portál a nelze tak zakládat uživatele, občas je web face nepoužitelně pomalý, občas neukazuje aktuální data, zakládací kolečko uživatele se protáhlo z 5min an 30min, nelze sdílet / viděl licence více uživatelů, logy mail provozu lze okamžitě vytáhnout max 24h starý, tak spokojenost :D
Ale co já vím, jsem jen začínající správce Office 365.
Zdar Max

[Gréta]

Gréta si válí koule

jj teďko sem ve volnym čase valela hnojový kule na svržení režimu :D ;D

[VoDo]

ty jsi taky placenej tim lip cim vic remcas kdyz musis v praci pracovat?

[Max]

Ne. A nejspíše jsi nepochopil text. Nestěžuji si na práci, jen se pozastavuji nad tím, kam nekoncepčnost může zajít a náprava je pak peklo.
Každopádně udělal jsem si tak dobrou předpřípravu a uživatelské návody, že jsem dokázal celou firmu zmigrovat za měsíc a s hodně malým overheadem na asistenci ze strany IT (překlopení přes noc, ráno v průměru max hodinka asistence jednoho, nebo více kolegů). Byly např. oddělení, které si vše zvládly nastavit sami (MFA, restartovat outlook, přihlásit se, odebrat si starý email a nastavit si nový mail v telefonu apod.). A kupodivu to byly oddělení plné ženských (fakturace, účtárna apod.).
A nejvtipnější je, že největší problém byl s migrací IT Developerů :D, kromě nechutě např. kolize s jinými online účty, z toho padající neznámé chyby, nutnost mazat lokální keše apod.
Jinak sestra myslím menší počet uživatelů migrovala v řádu měsíců, tak mám aspoň něco na porovnání.
Zdar Max

[_]

u ženských je důležitá kvalita návodu - pokud sedí pokyn v návodu s tím, co vidí na monitoru, tak dají neuvěřitelné věci

Jinak si to užiješ

[Heron]

Já jsem sice admin FreeBSD a Linux serverů na velkých SSD polích, ale na desktopu mám Windows 11 Pro nebo Ent, takže vše funguje, ale o Windows server bych se nestaral, na to mám jiné experty.

A na desktopu funguje skvěle i 365.

A proč mám babičku a sestru na svém účtu?

[Xerces]

Běh na krutě dlouhý čas = 10 a více let?

[Max]

Rok, dva.
Zdar Max

[koroptev]

Kdybys nebyl ovce a jel na macu, tak tenhle problem nemas. Podobny sw spravny uzivatel nepotrebuje.

[Lukass]

Suhlasim to s macom aj ked som dlhorocny linux fanusik na macu veci funguju mozno preto apple nema normalnu AI a idu slimacim tempom, vyckavaju kym nasadenie AI bude bezpecne pretosadzaju na UI liquidglass aby ludia neflflali.

Ja nesom moc az tak znaly temata ja mam od MS zapoatene za 1,9eur 100gb zakladnu sluzbu basic. A outlook je free nie? Ale otazocka neexistuju open source riesenia?

[Ovoce]

Kdyby jel na macu tak by to dotáhl tam, co ty

[Max]

Samozřejmě máš pravdu, ale já jsem otrokem svých zvyklostí. Např. jsem zvyklý měnit velikost oken, ale to v MAC OS nemá plnou podporu, takže bohužel, zůstanu asi boomer nadosmrti.
Zdar Max

[Pete]

Nebylo by lepší, kdybyste se doma sešli třeba u společné večeře a normálně si popovídali, místo abyste si zakládali IT infrastrukturu?

[Max]

To už probělo.
Zdar Max

[X]

Vim, ze jsi v IT uz dloho. Kazdy mame ruzne duvody proc delame to co delame. A proto se ptam proc tohle podstupujes? Proc to delas? Pro prachy? IT knowledge fetis? Pycha? Ja mam rad zajimave problemy, ale jsou zajimave problemy a vylozene sracky.. Hlavne mi prosimte nepis, ze te to bavi.

[Max]

V posledních letech už jen kvůli těm prachům a tomu, že většina věcí mi nevadí a něco mně stále ještě i baví.
Zdar Max

[X]

Ok.Fair.

[johnyK]

o Microsoftu je mozno si myslet ledacos, ale co se jim fakt neda uprit je, ze garantujou sice nesmyslna, ale jista a dobre placena mista pro adminy. Pozoruji to fakt uz 30 let a ten moloch, kterej svetu vnutili je stale vetsi a vetsi. A uz existuji i staty, ktere vazne uvazuji o tom, ze povinnost pouzivat MS-Software si zapisou do ustavy.

[Radovan]

http://danielsoft.cz/bill.pdf

[johnyK]

to jsem neznal - smutne cteni ... ale jak psal autor blogu - matka to chce, babicka to chce , dcery to chteji ... co nadelas ...

[Gréta]

nóó a to je vo normální rodině nebo vo ňáký ty jakože firemní struktuře?? :D

btw babibička to je něco jako prababička?? :O ;D

[Max]

Je to tak, babička je něco jako prababička, jen o generaci mladší :D.
Zdar Max

[Gréta]

nj ale co je to jakoby tamta ňáká babibička :D

[Max]

Babička je maminka matky, to se učí na základce, ne? :).
Zdar Max

[Gréta]

lol ty to fakt nevidiš :D

[Max]

Já to viděl a vidím, ale to mi nebrání v tom tě dál trolit :)
Zdar Max

[Gréta]

ttssss nevidiš a neviš a je ti to trapný přiznat :P :P :D ;D

[Max]

Jaj, už to vidím, vymyslel jsem nové slovo. A líbí se mi. Takže babibičku nechávám. Teď musíme vymyslet význam. Co třeba dočeštěná babibitch :D
Zdar Max

[Jindru]

Taky jsem Měl Kerio. Jen pro legraci, kolik řádků seznamu by řádově měla opačná migrace, všichni do Keria ? A kolik nervů ušetřenejch, s výhledem do budoucn

Bohatý příbuzenstvo by to nepřijalo, moc levné řešení, to nemůže fungovat, Za x-krát víc peněz co nacpou Mš, maj X-krát lepší pocit, a zkousnou i víc případnejch budoucích problémů a výpadků.

Ať je ti Azure nakloněno

[gus]

Pocitam ze bude pokracovani ... na tema babca zmizela neznamo kam, dcery sukaj s matkou, managor vomacka zmrdal managora vomacku za to, ze mu smazal jeho maily a kontakty ...

[Heron]

Ahoj, tohle jsem ti říkal už když jsi pracoval, proč máš všude widle a dokonce i doma AD? To je přece hloupost, dneska máme moderní MINio a před deseti lety Sambu?

[Max]

Já nemám doma AD, kde jsi k tomu přišel? V práci má AD firma stejně jako win servery (s porovnáním s Linux servery je to cca 70% lin vs 30% win). Minio název znám jen jako název S3 storage, nechápu souvislost.
Zdar Max

[Heron]

A co ta diskuse o babičce a sestře? Jinak MINio je free AWS S3, v Golangu a je to OSS, takže to je ideální náhrada za SMB a já v tom mám 4TB dat.

[Max]

Já vím, co je Minion, nasazoval jsem u nás před x lety. Brát to jako náhradu smb, to je dost mimo. Má to úplně jiné zaměření. Náhradou je to max pro tvůj usecase, nikoli obecně.
Zdar Max

[Heron]

Mě to nepřipadá mimo, MINio má uživatele, takže ke každému objektu můžeš mít více přístupů, případně Public, takže je to vlastně dobrá náhrada samby. Já už na to přešel.

[Max]

A jak to uživatelsky přívětivě zpřístupníš uživatelům? Jak si uživatel vykliká přidání přílohy z S3 do mailu? Jak win donutíš k roaming profilům do S3? Samé otázky...
Prostě to není náhrada, je to alternativa pro nějaký typ usecase, toť vše.
Zdar Max

[Heron]

MINio má terminály pro všechny OS, velmi snadno se napíše web, takže to jede i na mobilu.