Výroba hnoje a migrace do O365

včera 09:23 | Přečteno: 477× | windows | poslední úprava: včera 09:23

Jak se vytváří hnůj a jak se uklízí?

Výroba hnoje

Příběh začíná heterogenním prostředním. Matka, sestra a děti. Matka se sestrou na Exchange, dvě oddělená AD. Děti jako child domény patřící matce. Protože je třeba na dětech šetřit, tak nemohou mít přeci drahý Exchange. Vybral jsem tedy Kerio Connect, do kterého jsem se z pohledu správy zamiloval. Vždy svižné web rozhraní, přehledná adresářová struktura, filtrování atd. Upgrade na novější verze bez nutnosti plánovat odstávky, protože 4min výpadku si nikdo nevšimne (s Exchange, který spápne hoďku je to neporovnatelné). Bavíme se o 400 schránkách a 1,5TB dat. Na začátku byl problém s rozšířením do Outlooku, který se časem zlepšoval. S jedním mailboxem nebýval problém, ale jedna dcera jela stylem všichni všechno, což je třeba 8 mailboxů v outlooku, každý 20GB a ten addon měl maily v lokální fdb (firebird). Bez SSD je taková věc konečná. V té době nebývaly SSD běžné. Časem se SSD naladily a i Kerio vydávalo vylepšení, až to bylo super. Podpora ActiveSync od začátku také byla, občas nějaká muška, ale dalo se.

Pak přišla Babička ze zahraničí a řekla managementu, že migruje do O365. A protože Babička je z bohatého západu, tak migrovala s nejvyšší licenční pálkou pro všechny, což je E5 za asi 50 EURO/hlava/měsíc.

Matka si řekla, že Babibička je vzor, takže se půjde také do O365 a vyzkouší se to na dětech. Takže migrace z Kerio Connect do O365. Šlo to celkem ok. Mezitím si sestra řekla, že do O365 také půjde, takže taktéž zmigrovala. Výsledkem tedy byly stále tři prostředí, navzájem nepropojitelné.

Matka si za dob covidu řekla, že chce Teams a vedení IT rozjelo Tenant mimo ten, kde měly data děti. Takže čtvrté prostředí, které nebylo zamýšleno jako prostředí, ale jako licence jen pro MS Teams. Nicméně jak to bývá, dočasná řešení bobtnají, data tam proudí, uživatelé se tam množí a ve finále z takových dočasných blbostí vzniknou fungující celky s hafec daty.

Pro tři oblasti existují čtyři prostředí, navzájem nijak nepropojitelné. Super fůra hnoje je tedy na světě. Může se začít gratulovat. Líp už to snad nejde.

Úklid hnoje

Sestra je out, jiný AD strom, hodně uživatelů atd. Takže začneme tím, že se pokusíme spojit matku s dětmi. Až bude matka s dětmi spojena, tak zkusíme zbavit svět dočasného tenantu pro Teamsy. To by mělo ve finále dělat dvě prostředí. A pak je to o tom spojit matku se setrou, pokud už nebude pozdě.

Nyní probíhá fáze spojování matky s dětmi (resp. jedno dítě zůstalo s matkou, chuděra, ale aspoň z něj může být testovací subjekt). Stejný AD strom, ve kterém jsou děti v O365 a matka v Exchange, bez hybridu. Naprostý nestandard.

Jen pro představu, spálil jsem na základních přípravách 60 hodin čistého času (spíše více, nejsem úplně příkladný v doplňování časů do redmine), dalších 7 hodin test migrace a dopracování dalších uživatelských návodů. A to všechno za pomoci týpka z třetí strany, který má s migracemi a O365 zkušenosti. Týpek byl/je konzultační, takže v těch 60h jsme buď prováděli konzultaci příprav a dalších kroků, nebo jsme spolu měnili konfiguraci, nebo jsem prostě psal powershell scripty na čištění uživatelů, konsolidaci, hledání kolizí apod.

Bez nachytřeného týpka, co s tím má zkušenosti, bych to asi nikdy nedal. Má know how, zná voodoo apod. Takže když se třeba jeden uživatel špatně syncoval do O365 a nepomáhalo nic, tak pán přišel s voodoo trikem, kdy se přidal uživateli nesmyslný emailový alias a Entra AD Sync najednou prošel, protože on z dob zaříkávání technologií MS ví, že Entra AD Sync nesyncuje vždy všechno 1:1, ale někdy ví, že toto už prováděl, tak už na to nikdy nesáhne, i když je to špatně, dokud se tam neobjeví pro něj viditelně nějaká změna.

Jak vypadá spojení matky s dětmi?

Tady je ochutnávka, jak kydání probíhá (k získání počtu akcí nutno vynásobit koeficientem sračkometu 50):

• O365 - analýza se zaříkávačem MS
• O365 - Instalace Exchange 2019 on-prem (žádná jiná verze není akceptovatelná)
• O365 - nastavení prostupů (proxy je nepřítel, MS to neumí)
• O365 - nasazení Let'sEncrypt certifikátu
• O365 - setřepání dite1.tld uživatelů
• O365 - předělání connectorů (aby šlo jednotlivé domény routovat solo a ne přes default connector)
• O365 - rozjetí hybridního režimu s dite1.tld
• O365 - přidat dite1.tld do AD Sync a odzkoušet migraci do O365
• O365 - setřepání uživatelů matkadomena1.tld a matkadomena2.tld
• O365 - nasadit email address policy pro matkadomena1.tld a matkadomena2.tld
• O365 - analýza a záloha dite2.tld
• O365 - napsat migracční skripty
• O365 - migrace dite2.tld do hybridu (aby vidělo do Exchange on-prem a naopak)
• O365 - dokumentace part 1
• O365 - upravit email address policy tak, aby nebyl problém s dite3.tld
• O365 - setřepání a analýza dite3.tld
• O365 - migrační skripty pro dite3.tld
• O365 - migrace dite3.tld do hybridu
• O365 - Zapnutí exchange writeback
• O365 - Takeoven domén (protože např. shadow tenanty)
• O365 - Přidání MSE domén do hybridu
• O365 - zapnout sync AD uživatelů Matky a ditete4
• O365 - dopsat admin dokumentaci pro správu účtů
• O365 - školení IT správců uživatelů
• O365 - postup migrace
• O365 - MFA pro migrované mailboxy (vymyslet např., aby třeba svářeč bez telefonu, nebo řidič neměli probém)
• O365 - uživatelská dokumentace s MFA
• O365 - nasadit roční ověřený cert (psát scripty pro Let'sEncrypt není na pořadu dne, srát na to)
• O365 - migrace část IT
• O365 - zmigrovat do O365 IT Admin dite1
• O365 - migrace Academy do O365
• O365 - zmigrovat do O365 zbytek IT
• O365 - migrace oddělení1 do O365
• O365 - migrace odděleníxy do O365
• O365 - zjištění, že nelze migrovat některé schránky, protože mnohanásobně překračují limity O365 (počet položek ve složce, počet odeslaných emailů apod.). Prostě O365 nejsou na to, aby se z něj odesílaly emaily, to by tak ještě hrálo.
• O365 - ponechání v on-prem asi 30 mailboxů s tím, že nutost jejich migrace do db nového Exchange
• O365 - migrace mailboxu mezi MSE databázemi, co má 4 900 000 položek v odeslané poště.
• O365 - smazání prázdných db (je na to třeba 20 kontrol a čistících postupů, aby šla db smazat a nezahlásila info, že něco neznámého obsahuje, takže nelze smazat)
• O365 - překopat routingy emailů tak, aby šlo vše přes nový server
• O365 - demont starých MSE
• O365 - ...

Nutno podotknout, že tím, jak světy šly vedle sebe a ne spolu, tak existují kolize, které nejdou dobře řešit. Např. pokud existuje "novak@dite1.tld", tak nemůže (může, ale neměl by) existovat "novak@matka.tld". Přesně tak, pro MS je nutný prefix. Uživatel != email. Email se generuje z aliasu a párují se na to další generované interní aliasy pro vnitřní komunikaci mezi Exchange (MSE) a O365. A teď sranda v podobě toho, že kolizní jsou i uživatelé z nejvyššího managementu.

Výše uvedené je jen třešnička, problémů se skýtá mnohem více.

Závěr

Vykydání hnoje je běh na krutě dlouhou trať a vypadá to i tak, že se neobejde bez krve. MS třeba nepodporuje migrace mezi tenanty, nelze tak migrovat data mezi třeba dočansým MS Teams tenantem a hlavním. MS se odvolává na to, aby se uživatelé obrátili na třetí stranu, která to umí. Jenomže třetí strana sice umí částečně i migraci dat, ale většinou jen neexistujících uživatelů. Pokud už jsou v cílovém tenantu stejní uživatelé, tak smůla, merge dat jaksi asi není moc reálný, nebo velmi obtížný. Dále těžko říci, jak s ACL apod.

Nezbývá, než popřát v dalším kydání hnoje. Nejhorší na tom ale celé je, že se ze mně stal nejnachytřenější správce O365 z teamu. A to se mi nelíbí, protože je to věc, co bych nejraději už neřešil, odškrtnul si jako hotovo a nikdy se k tomu nevrátil.

Zdar Max

PS: Ještě přemýšlím, zda neuvolnit anonymizovanou nekompletní dokumentaci všeho, ale nevím, zda to má smysl. Je to docela rozsáhlé a bez kontextu, jak některé věci fungují, to může být stejně nicneříkající.

       

Komentáře

[včera 11:31 no teda]

Famílie ujíždějící na O365, dobře vám tak.

Jinak nečekej moc reakcí, je okurková sezóna - Gréta si válí koule na dovolené, Kapicovi si vzali na dovču protivnýho dědka s sebou pod podmínkou, že nepáchne na ábíčko atd.

[Max]

Když jedeš MS Office, všichni zvyklí na outlook, kooperuje se nad excely apod., tak ti jiná cesta moc nezbývá, než jít do O365. Navíc máš vše all-in-one (MFA, MDM/EMM a další věci), možnost hybridu / možnost velmi solidní integrace, vize vedení, že budou věci víc online, matka co to tlačí apod.
Kdyby jsi měl jít jinou cestou, tak za MFA zaplatíš pálku (cisco Duo apod.), za mdm zaplatíš další pálku (SOTI MobiControl apod.), za možnost integrace třetí strany další problém a začne se to sčítávat. Každé řešení je přitom 2-10USD/měsíc/uživatel.
Zdar Max

[cbrpnk]

Takže vlastne neuveriteľna spokojnosť s kopou hnoja?

[včera 13:35 Radovan]

Čím větší kupa hnoje, tím spokojenější mouchy.

Pro ostatní je Linux

[Max]

Když si odmyslím, že občas web nejde, občas vypadne licenční portál a nelze tak zakládat uživatele, občas je web face nepoužitelně pomalý, občas neukazuje aktuální data, zakládací kolečko uživatele se protáhlo z 5min an 30min, nelze sdílet / viděl licence více uživatelů, logy mail provozu lze okamžitě vytáhnout max 24h starý, tak spokojenost :D
Ale co já vím, jsem jen začínající správce Office 365.
Zdar Max

[VoDo]

ty jsi taky placenej tim lip cim vic remcas kdyz musis v praci pracovat?

[Max]

Ne. A nejspíše jsi nepochopil text. Nestěžuji si na práci, jen se pozastavuji nad tím, kam nekoncepčnost může zajít a náprava je pak peklo.
Každopádně udělal jsem si tak dobrou předpřípravu a uživatelské návody, že jsem dokázal celou firmu zmigrovat za měsíc a s hodně malým overheadem na asistenci ze strany IT (překlopení přes noc, ráno v průměru max hodinka asistence jednoho, nebo více kolegů). Byly např. oddělení, které si vše zvládly nastavit sami (MFA, restartovat outlook, přihlásit se, odebrat si starý email a nastavit si nový mail v telefonu apod.). A kupodivu to byly oddělení plné ženských (fakturace, účtárna apod.).
A nejvtipnější je, že největší problém byl s migrací IT Developerů :D, kromě nechutě např. kolize s jinými online účty, z toho padající neznámé chyby, nutnost mazat lokální keše apod.
Jinak sestra myslím menší počet uživatelů migrovala v řádu měsíců, tak mám aspoň něco na porovnání.
Zdar Max

[včera 13:12 _]

u ženských je důležitá kvalita návodu - pokud sedí pokyn v návodu s tím, co vidí na monitoru, tak dají neuvěřitelné věci

Jinak si to užiješ

[včera 14:03 Xerces]

Běh na krutě dlouhý čas = 10 a více let?

[Max]

Rok, dva.
Zdar Max

[včera 16:12 koroptev]

Kdybys nebyl ovce a jel na macu, tak tenhle problem nemas. Podobny sw spravny uzivatel nepotrebuje.

[včera 16:34 Lukass]

Suhlasim to s macom aj ked som dlhorocny linux fanusik na macu veci funguju mozno preto apple nema normalnu AI a idu slimacim tempom, vyckavaju kym nasadenie AI bude bezpecne pretosadzaju na UI liquidglass aby ludia neflflali.

Ja nesom moc az tak znaly temata ja mam od MS zapoatene za 1,9eur 100gb zakladnu sluzbu basic. A outlook je free nie? Ale otazocka neexistuju open source riesenia?

[Ovoce]

Kdyby jel na macu tak by to dotáhl tam, co ty

[Max]

Samozřejmě máš pravdu, ale já jsem otrokem svých zvyklostí. Např. jsem zvyklý měnit velikost oken, ale to v MAC OS nemá plnou podporu, takže bohužel, zůstanu asi boomer nadosmrti.
Zdar Max

[včera 17:57 Pete]

Nebylo by lepší, kdybyste se doma sešli třeba u společné večeře a normálně si popovídali, místo abyste si zakládali IT infrastrukturu?

[Max]

To už probělo.
Zdar Max