Mise à niveau vers AD FS dans Windows Server 2016 avec SQL Server

Important

Plutôt que d'effectuer une mise à niveau vers la dernière version des services AD FS, Microsoft recommande vivement la migration vers Microsoft Entra ID. Pour plus d’informations, consultez Ressources pour la désactivation des services AD FS

Remarque

Commencez uniquement une mise à niveau avec un délai d’exécution définitif prévu pour l’achèvement. Il n’est pas recommandé de conserver AD FS en mode mixte pendant une période prolongée, car le fait de laisser AD FS en mode mixte peut entraîner des problèmes avec la batterie de serveurs.

Déplacer la batterie de serveurs Windows Server 2012 R2 AD FS vers la batterie de serveurs Windows Server 2016 AD FS

Cet article explique comment mettre à niveau votre batterie de serveurs AD FS Windows Server 2012 R2 vers AD FS dans Windows Server 2016. La procédure s’applique quand vous utilisez un serveur SQL Server pour la base de données AD FS.

Mettre à niveau AD FS vers Windows Server 2016 FBL

La nouveauté d’AD FS pour Windows Server 2016 est la fonctionnalité de niveau de comportement de la batterie de serveurs (FBL). Cette fonctionnalité est sont à l’échelle de la batterie de serveurs et détermine les fonctionnalités que la batterie de serveurs AD FS peut utiliser. Par défaut, le FBL d’une batterie de serveurs AD FS Windows Server 2012 R2 se trouve au FBL de Windows Server 2012 R2.

Un serveur Windows Server 2016 AD FS peut être ajouté à une batterie de serveurs Windows Server 2012 R2 et fonctionne sur le même FBL qu’un serveur Windows Server 2012 R2. Pour un serveur Windows Server 2016 AD FS fonctionnant de cette façon, votre batterie de serveurs est dite « mixte ». Toutefois, les nouvelles fonctionnalités de Windows Server 2016 ne sont pas disponibles tant que le FBL n’est pas augmenté à Windows Server 2016.

Voici quelques-unes des fonctionnalités importantes relatives à l’utilisation d’une batterie de serveurs mixte :

• Les administrateurs peuvent ajouter de nouveaux serveurs de fédération Windows Server 2016 à une batterie de serveurs Windows Server 2012 R2 existante. Par conséquent, la batterie de serveurs est en « mode mixte » et fonctionne au niveau de comportement de la batterie de serveurs de Windows Server 2012 R2. Pour garantir un comportement cohérent au sein de la batterie de serveurs, les nouvelles fonctionnalités de Windows Server 2016 ne peuvent pas être configurées ou utilisées dans ce mode.

• Les administrateurs peuvent supprimer tous les serveurs de fédération Windows Server 2012 R2 de la batterie de serveurs en mode mixte. Dans ce scénario, l’un des nouveaux serveurs de fédération Windows Serve 2016 est promu au rôle du nœud principal. L’administrateur peut ensuite augmenter le FBL de Windows Server 2012 R2 à Windows Server 2016. Par conséquent, toutes les nouvelles fonctionnalités d’AD FS Windows Server 2016 peuvent ensuite être configurées et utilisées.

• Les organisations AD FS Windows Server 2012 R2 qui souhaitent effectuer une mise à niveau vers Windows Server 2016 n’ont pas besoin de déployer une batterie de serveurs entièrement nouvelle ni d’exporter et importer des données de configuration. Au lieu de cela, elles peuvent ajouter des nœuds Windows Server 2016 à une batterie de serveurs existante pendant qu’elle est en ligne et n’encourir que le temps d’arrêt relativement bref impliqué dans l’augmentation de FBL.

En mode batterie de serveurs mixtes, la batterie de serveurs AD FS n’est pas capable de nouvelles fonctionnalités introduites dans AD FS dans Windows Server 2016. Les organisations qui souhaitent essayer de nouvelles fonctionnalités peuvent le faire après l'augmentation du FBL. Si votre organisation cherche à tester les nouvelles fonctionnalités avant d'augmenter le FBL, vous devez déployer une batterie de serveurs distincte.

Le reste de l’article décrit la procédure d’ajout d’un serveur de fédération Windows Server 2016 à un environnement Windows Server 2012 R2. Cette procédure a été effectuée dans un environnement de test illustré par le diagramme architectural suivant.

Remarque

Avant de pouvoir passer à AD FS dans le FBL de Windows Server 2016, vous devez supprimer tous les nœuds Windows 2012 R2. Vous ne pouvez pas mettre à niveau un système d’exploitation Windows Server 2012 R2 vers Windows Server 2016 et le promouvoir automatiquement en nœud 2016. Vous devez le supprimer et le remplacer par un nouveau nœud 2016.

Si des groupes AlwaysOnAvailability ou la réplication de fusion sont configurés dans AD FS, supprimez toute réplication des bases de données AD FS avant la mise à niveau et pointez tous les nœuds vers la base de données SQL principale. Une fois ces tâches terminées, effectuez la mise à niveau de la batterie de serveurs comme décrit. Une fois la mise à niveau terminée, ajoutez des groupes AlwaysOnAvailability ou la réplication de fusion dans les nouvelles bases de données.

Le diagramme architectural suivant montre la configuration qui a été utilisée pour valider et enregistrer les étapes suivantes.

Joindre Windows 2016 AD FS Server à la batterie de serveurs AD FS

1. Dans le Gestionnaire de serveur, installez le rôle Services AD FS (Active Directory Federation Services) sur Windows Server 2016.

2. Dans l’Assistant Configuration AD FS, joignez le nouveau serveur Windows Server 2016 à la batterie de serveurs AD FS existante.

3. Dans l’écran d’accueil, sélectionnez Ajouter un serveur de fédération à une batterie de serveurs de fédération, puis Suivant.

4. Dans l’écran Se connecter aux services de domaine Active Directory, spécifiez un compte d’administrateur autorisé à effectuer la configuration des services de fédération, puis sélectionnez Suivant.

5. Dans l’écran Spécifier la batterie de serveurs, entrez le nom du serveur SQL et de l’instance, puis sélectionnez Suivant.

   

6. Dans l’écran Spécifier le certificat SSL, spécifiez le certificat, puis sélectionnez Suivant.

   

7. Dans l’écran Spécifier le compte de service, spécifiez le compte de service, puis sélectionnez Suivant.

8. Dans l’écran Examiner les options, passez en revue les options et sélectionnez Suivant.

9. Dans l’écran Vérifications des conditions requises, assurez-vous que toutes les vérifications des conditions requises ont été effectuées, puis sélectionnez Configurer.

10. Dans l’écran Résultats, assurez-vous que le serveur est correctement configuré, puis sélectionnez Fermer.

Supprimer le serveur Windows Server 2012 R2 AD FS

La procédure suivante explique comment supprimer le serveur Windows Server 2012 R2 AD FS.

Remarque

Vous n’avez pas besoin de définir le serveur AD FS principal avec la commande Set-AdfsSyncProperties -Role lorsque vous utilisez SQL comme base de données. Tous les nœuds sont considérés comme principaux dans cette configuration.

1. Dans Gestionnaire de serveur, accédez au serveur Windows Server 2012 R2 AD FS. Sous Gérer, sélectionnez Supprimer des rôles et des fonctionnalités :

   

2. Dans l’écran Avant de commencer, sélectionnez Suivant, puis, dans l’écran de Sélection du serveur, sélectionnez Suivant.

3. Sur l'écran Rôles de serveur, décochez l'option Services AD FS (Active Directory Federation Services), puis sélectionnez Suivant.

   

4. Dans la page Fonctionnalités, sélectionnez Suivant.

5. Dans l’écran Confirmation, sélectionnez Supprimer.

6. Une fois la suppression de la fonctionnalité terminée, redémarrez le serveur.

Augmenter le niveau de comportement de batterie de serveurs (FBL)

La procédure suivante explique comment augmenter le FBL pour le serveur.

Important

Avant de poursuivre le processus détaillé dans cette section, passez en revue les conditions requises suivantes :

• Vérifiez que les processus de préparation de la forêt et du domaine sont terminés sur votre environnement Active Directory et que Active Directory dispose du schéma Windows Server 2016. La procédure décrite dans cet article est basée sur une architecture qui a démarré avec un contrôleur de domaine Windows 2016. L’exemple d’architecture ne nécessite pas les étapes décrites dans cette section, car les tâches sont incluses dans le processus d’installation d’AD.

• Assurez-vous que Windows Server 2016 est à jour en exécutant Windows Update à partir des Paramètres. Continuez le processus de mise à jour jusqu’à ce qu’aucune autre mise à jour ne soit nécessaire.

• Assurez-vous que votre compte de service AD FS dispose des autorisations administratives sur le serveur SQL et sur chaque serveur de la batterie de serveurs ADFS.

1. Sur le serveur Windows Server 2016, ouvrez PowerShell et exécutez la commande suivante :

   $cred = Get-Credential
   

2. Entrez les identifiants qui disposent des privilèges d’administrateur sur le serveur SQL.

3. Dans PowerShell, entrez la commande suivante :

   Invoke-AdfsFarmBehaviorLevelRaise -Credential $cred
   

4. À l’invite, sélectionnez Y (oui) pour commencer à augmenter le niveau. Une fois l’opération terminée, le FBL est augmenté.

   

   Si vous accédez à Gestion AD FS, vous voyez les nouveaux nœuds.

5. Vous pouvez utiliser l’applet de commande PowerShell Get-AdfsFarmInformation pour afficher le FBL actuel :

   

Mise à niveau de la version de configuration des serveurs WAP existants

1. Sur chaque proxy d’application web, reconfigurez le WAP en exécutant la commande PowerShell suivante dans une fenêtre avec élévation de privilèges :

   $trustcred = Get-Credential -Message "Enter Domain Administrator credentials"
   Install-WebApplicationProxy -CertificateThumbprint {SSLCert} -fsname fsname -FederationServiceTrustCredential $trustcred
   

2. Exécutez la commande suivante pour supprimer les anciens serveurs du cluster et ne conserver que les serveurs WAP exécutant la dernière version du serveur (reconfigurée précédemment) :

   Set-WebApplicationProxyConfiguration -ConnectedServersName WAPServerName1, WAPServerName2
   

3. Exécutez la commande suivante pour vérifier la configuration WAP. La valeur ConnectedServersName reflète le serveur exécuté à partir de la commande précédente :

   Get-WebApplicationProxyConfiguration
   

4. Pour mettre à niveau le ConfigurationVersion des serveurs WAP, exécutez la commande PowerShell suivante :

   Set-WebApplicationProxyConfiguration -UpgradeConfigurationVersion
   

5. Réexécutez la commande Get-WebApplicationProxyConfiguration et vérifiez que le ConfigurationVersion est mis à niveau.