Sie befinden sich hier: Themen. IT-Grundschutz. IT-Grundschutz-Kataloge. Dokument: M 2.408 Planung der Migration von Verzeichnisdiensten - IT-Grundschutz-Kataloge - 10. EL Stand 2008
direkt zu der Navigation Servicebereich. direkt zu der Hauptnavigation. direkt zur Themennavigation. direkt zum Seiteninhalt.

M 2.408 Planung der Migration von Verzeichnisdiensten

Verantwortlich für Initiierung: Leiter IT, IT-Sicherheitsbeauftragter

Verantwortlich für Umsetzung: Leiter IT, Administrator

Oftmals wird ein Verzeichnisdienst nicht vollständig neu aufgebaut, sondern es existieren bereits einzelne Verzeichnisdienste im Institutionsnetz, die aber nur auf die Unterstützung bestimmter Anwendungen oder Fachverfahren abgestimmt sind oder ihren Dienst nur in einem Teilnetz zur Verfügung stellen. Letzteres trifft insbesondere zu, wenn ehemals autonome Teile einer Organisation in Folge von Zusammenlegungen zu einem Netz vereinigt werden. Die Migration eines Verzeichnisdienstes kann auch durch die Umstellung der Server-Landschaft auf eine neue Hardware, ein neues Betriebssystem oder durch den Wechsel von einer Betriebssystem-Version auf eine aktuellere begründet sein.

In jedem Fall erfordert die Migration von Verzeichnisdiensten eine sorgfältige Planung, da aufgrund der Umstellung Sicherheitslücken entstehen könnten.

Für die Migration eines Verzeichnisdienstes stehen verschiedene Migrationsverfahren zur Verfügung, die sich insbesondere im zusätzlichen Bedarf an Hardware unterscheiden:

  1. Aktualisierung des Verzeichnisdienstes: Bei dieser Umstellungsart wird ein Update des Verzeichnisdienstes auf die vorhandenen Rechner aufgespielt. Es ist keine zusätzliche Hardware notwendig. Nachteilig ist jedoch, dass der betroffene Rechner während der Umstellung nicht genutzt werden kann.
  2. Vollständige Neuinstallation: Die Migration geschieht durch einen parallelen Aufbau der Verzeichnisdienst-Infrastruktur. Nach Installation und Konfiguration geht der neue Verzeichnisdienst in den Wirkbetrieb über. Das existierende System wird dabei nicht beeinflusst und kann in dieser Zeit weiter genutzt werden. Allerdings entsteht bei dieser Variante ein hoher Bedarf an zusätzlicher Hardware.
  3. Rollende Migration: Diese Variante bietet sich an, wenn der Verzeichnisdienst in hierarchische Teilstrukturen (Partitionen) aufgeteilt ist. Für die jeweilige Partition wird zunächst eine parallele Struktur aufgebaut, die dann nach erfolgtem Aufbau genutzt wird. Die so frei gewordene Hardware kann anschließend für den parallelen Aufbau der nächsten Teilstruktur verwendet werden.

Eine generelle Empfehlung für eines der Verfahren zur Migration des Verzeichnisdienstes kann jedoch nicht gegeben werden, da das geeignete Verfahren stark von den jeweiligen Gegebenheiten abhängt und auf die Institution zugeschnitten werden muss.

Die Migration ist auch in zwei Phasen möglich. Zuerst werden die existierenden Verzeichnisdienst-Strukturen Eins-zu-Eins übernommen. Im eigentlichen Sinne wird dabei nur ein Update der Software bzw. des Betriebssystems auf den jeweiligen Verzeichnisdienst-Servern durchgeführt. Dies hat den Nachteil, dass Unzulänglichkeiten vielfach erhalten bleiben und eine Konfiguration des Verzeichnisdienstes unter Sicherheitsgesichtspunkten weiterhin erforderlich ist.

In einem zweiten Schritt erfolgt dann Restrukturierung des Verzeichnisdienstes. Dieses Vorgehen entspricht meist einem völligen Neuaufbau. Es bietet den Vorteil, dass hierbei alte und komplizierter administrierbare Strukturen durch neue ersetzt werden können. Außerdem lassen sich Veränderungen in der Organisation im Verzeichnisdienst entsprechend abbilden. Es ist dabei jedoch zu beachten, dass die Planung und Umsetzung der neuen Struktur meist mit großem Aufwand verbunden ist.

Migrationskonzept

Aufgrund der Komplexität der Migration eines Verzeichnisdienstes muss vorab ein entsprechendes Migrationskonzept erstellt werden. Dabei sollten insbesondere folgende Punkte berücksichtigt werden:

Migration planen und dokumentieren

Die Migration muss in ihren einzelnen Schritten möglichst detailliert geplant, der angestrebte Migrationsprozess dokumentiert und allen Beteiligten zugänglich gemacht werden. Im Überblick sind folgende Schritte im Rahmen des Migrationprozesses durchzuführen:

Meta-Verzeichnisdienst statt Migration

Stellt sich bei der Planung zur Migration des Verzeichnisdienstes heraus, dass diese Migration zu aufwändig würde oder nicht innerhalb eines vorgegebenen Zeitrahmens zu realisieren wäre, kann der Einsatz eines sogenannten Meta-Verzeichnisdienstes in Betracht gezogen werden.

Ein Meta-Verzeichnisdienst dient dazu, die Daten von anderen, bereits existierenden Verzeichnisdiensten zusammenzufassen. Damit ist es möglich, mehrere unterschiedlich Verzeichnisdienste zu synchronisieren. Zur Realisierung gibt es verschiedene Ansätze:

Die hier aufgeführten Aspekte dienen als Leitfaden für ähnliche und weitergehende Fragestellungen, die im Rahmen des Migrationskonzeptes adressiert werden müssen. Es ist zu beachten, dass ein Migrationsplan immer auf die konkrete Situation zugeschnitten sein muss und die jeweiligen lokalen Anforderungen an die Migration reflektiert.

Prüffragen: