林内域或者林间域之间的账户、计算机迁移---实际操作经验

1、林内域或者林间域之间的账户、计算机迁移经过本人试验，觉得初期准备工作是很重要的。项目开始前请大家一定要做好基础架构调研、需求确认、制定初步计划并预留一定的buffer时间。要知道外接因素和环境因素是瞬息万变的：）父域与子域之间默认是信任的，有天在想父子域之间的用户是否可以任意登陆，问了两同事，说法都不一样。有个同事是说是可以互相登陆的，但是自己一直想是否能登陆呢，个人认为不能，可又不能让自己信服。 做了个父子域，两台客户机，XP SP3 域控 WINDOWS 2003 假设主域为hxfx.local，子域为z00w00.hxfx.local客户机xp1加入父域，客户机xp2加入子哉，父域中有一

2、个用户为pang.ding，子域中有一个用户为z00w00.ding。现提问：1、在xp2中用z00w00.ding登陆到hxfx.local是否成功? 然后在xp2中用z00w00.ding登陆到z00w00.hxfx.local 是否成功？2、在xp1中用z00w00.ding登陆到z00w00.hxfx.local 是否成功？ 在xp1中用z00w00.ding登陆到hxfx.local是否成功？如果默认父域用户无法在子域中登录？有没有通过其他办法完成呢？答案：1、不可以 可以2、可以 不可以假设有这么情况，公司A（)收购了公司B(), a和b先前都是独立森林里的根域

3、，现在要将b公司的域树（)迁移到a公司并做子域（),请问如何操作，还有怎么保证中的用户和计算机的数据不会丢失，谢谢！不可能直接进行合并，只能通过森林间迁移实现。 森林 森林 1. 建立子域 2. 建立与的信任 3. 执行到的用户和计算机迁移 4. 森林离线 5. 建立子域 6. 执行到的用户和计算机的迁移后面有3个pdf，一个是这个帖子的，一个是另外收集修改的详细图文步骤，还有一个是微软官方出的最佳实践操作手册，方便查阅。源域：

4、Windows Server 2003 DC （域名DomainA.com，NetBIOS域名DomainA）目标域（新建域）：Windows Server 2003 DC （域名DomainB.com，NetBIOS域名DomainB)要求：平滑迁移，用户在迁移过程中始终能访问源域的资源 一 ADMT迁移之前的准备工作1. 为了更好的降低风险，备份源域DC、要迁移的服务器、VIP客户机（比如领导的）和目标域DC的系统状态和系统盘数据（系统盘数据中包括本地用户配置文件），步骤如下：a. 单击开始，指向程序，指向附件，指向系统工具，然后单击备份。b. 取消选择“总是以向导模式运行”，单击“取消”

5、关闭备份工具，重新打开备份工具。c. 单击备份选项卡。d. 单击以选中C:（假设系统盘为C：）、系统状态。如果是Exchange Server，还需选中Microsoft Exchange ServerServerNameMicrosoft Information Store。e. 指定备份媒体或文件名，开始备份。2. 在开始迁移之前，请执行如下的测试迁移步骤：创建测试用户，将该测试用户添加到合适的全局组，然后在迁移之前和之后验证资源的访问权限。3. 对利用加密文件系统 (EFS) 方式加密的文件进行解密。解密加密文件失败将导致迁移后无法访问加密文件。请确保告知最终用户必须解密所有加密的文件，

6、否则他们将无法访问那些文件。4. 请确保要从中迁移对象的每个域中的系统时间都是同步的。时间偏差将导致 Kerberos 身份验证失败。二 为迁移配置环境1 配置源域和目标域以满足迁移需求1）请验证是否建立了相应的信赖关系。推荐在源帐户域和目标域之间建立双向信任关系，使源域和目标域相互信任。但最少源域要信任目标域。 如下图应该是要按AGDLP来实施，用户才可以登录2）为执行迁移任务分配相应的凭据：要执行迁移，您必须是安装有 ADMT 的计算机上的BuiltinAdministrators 组成员。要迁移用户，您必须是源域和目标域中的BuiltinAdministrators 组成员。要迁移计算机

7、，您必须是源域和目标域中的Administrators 组成员以及每台要迁移的计算机上的 Administrators 组成员。要与 SID 历史一起迁移，您必须是源域中的 Administrators 组成员以及目标域中的 Domain Admins 组成员。a. com 的 domain admins 同时是B.CN和C.B.CN的本地 administrators成员。b. cn和的domain admins 同时的A.COM本地 administrators成员。不然输入后无法显示器C的域控制器将目标域administrator加入ent admins和sch

8、admins。【本人自己加的】一个满足上述所有权限的简单做法：a在目标域的DC上，把源域的Domain Admins组加入目标域的Administrators组b在源域的DC上，把目标域的Domain Admins组加入源域的Administrators组c把ADMT安装在目标域DC上，要执行迁移时，在ADMT计算机上用属于源域的内置Administrator帐号登录源域，然后执行迁移操作。【按此方法登录后，执行ADMI报错】3）为管理迁移对象配置目标域组织单位 (OU) 结构。4）建议提升源域域功能级别为Windows 2000 本机模式或 Windows Server 2003，目标域域功

9、能级别必须是 Windows 2000 本机模式或 Windows Server 2003。注意：提升域功能级别一定要慎重，此过程不可逆，要先确保没有其他低版本域控制器存在并且以后不需提升低版本的域控制器。5)双方DNS互为转发器，双方DNS主要区域建立了对方辅助区域【本人自己加的】2 配置源域和目标域以迁移 SID 历史要配置源域和目标域以从 Active Directory 域迁移 SID 历史，请完成以下过程：1）在源域中创建支持审核的本地组在源域中，创建本地组 DomainA$。不要向此组中添加成员；否则，SID 历史迁移将失败。2) 启用对源域 PDC 模拟器的 TCP/IP 客户端

10、支持（从Windows Server 2003 域迁移到其他Windows Server 2003 域，可以忽略此步骤）a. 在源域中持有 PDC 模拟器操作管理器角色的域控制器上，单击“开始”，然后单击“运行”。在“打开”中，键入 regedit，然后单击“确定”。b. 在“注册表编辑器”中，定位到以下注册表子项：HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLSA修改数据类型 REG_DWORD 的注册表项 TcpipClientSupport，将该值设置为 1。c. 关闭“注册表编辑器”，然后重新启动计算机。3）在 Windows Ser

11、ver 2003 域中启用审核a. 以管理员的身份登录到目标域中的任何域控制器上。b. 单击“开始”，依次指向“所有程序”和“管理工具”，然后单击“Active Directory 用户和计算机”。c. 在控制台树中，扩展该域，右键单击“域控制器”OU，然后单击“属性”。d. 在“组策略”选项卡上，单击“默认域控制器策略”，然后单击“编辑”。e. 依次双击“计算机配置”、“Windows 设置”、“安全设置”、“本地策略”和“审核策略”。f. 双击“审核帐户管理”，然后选中“成功”和“失败”复选框。g. 单击“应用”，然后单击“确定”。h. 在源域中重复第 a 步到第 g 步。 【2008R2

12、上没有操作】3 配置密码迁移执行林间迁移时，可以使用密码导出服务器 (PES) 服务迁移密码。PES 服务可以安装在支持 128 位加密（Win2000 SP3后就支持）的源域中的任何域控制器中。源域中的 PES 服务安装需要加密密钥，但您必须在目标域中运行 Active Directory 迁移工具 v3 (ADMT v3) 的计算机上创建加密密钥。1）在安装ADMT的目标域DC上创建加密密钥进入命令行中，输入下列内容：cd /d c:md admtadmt key /option:create /sourcedomain:domainA /keyfile:c:admt.pes /keypa

13、ssword:ms1232）在源域中配置 PES 服务a. 把ADMT计算机上生成的c:admt.pes文件以及PES目录（默认%windir%ADMTPES）复制到源域中将要运行 PES 服务的域控制器。b. 运行 Pwdmig.msi。在“需要密钥密码”对话框中提供创建密钥时给出的密码“ms123”，然后单击“下一步”。c. 在选择运行 PES 服务所使用的帐户时不要使用Local System帐号，请指定内置Administrator帐号。源域的域管理员badministratord. 安装完成后，重新启动域控制器。e. 域控制器重新启动后，若要启动 PES 服务，请指向“开始”，指向“

14、所有程序”，指向“管理工具”，然后单击“服务”。在详细信息窗格中，右键单击“Password Export Server Service”，然后单击“启动”。注意：请只在迁移密码时运行 PES 服务。完成密码迁移后请停止 PES 服务。在目标域上用源域的administrator 登录并执行。【子域和父域】netdom trust /domain: /quarantine:nonetdom trust /domain: /enablesidhistory:yesnetdom trust /domain: /quarantine:n

15、onetdom trust /domain: /enablesidhistory:yesadmt key /option:create /sourcedomain: /keyfile:c:admt.pes /keypassword:ms123admt key /option:create /sourcedomain: /keyfile:c:cbadmt.pes /keypassword:ms1234 禁用SID FilteringSID Filtering功能若启用将阻止受信任域（目标域）用户访问信任域（源域）资源。为了禁用SID Filtering

16、，在ADMT计算机上用源域Administrator登录，运行：netdom trust domainA.com /domain:domainB.com /quarantine:no确认得到提示：The command completed successfully.5 启用SID HistorySID History功能若禁用将阻止受信任域（目标域）用户使用SID History访问信任域（源域）资源。为了启用SID History，在ADMT计算机上用源域Administrator登录，运行：netdom trust domainA.com /domain:domainB.com /enab

17、lesidhistory:yes确认得到提示：The command completed successfully.三 正式开始迁移1 迁移用户账户和组使用用户帐户迁移向导迁移用户帐户1）在 Active Directory 迁移工具控制台中，单击“操作”，然后单击“用户帐户迁移向导”。2）使用下表中的信息完成用户帐户迁移向导。向导页 操作域选择 在“域”下拉列表中的“源”下，键入或选择源域的 NetBIOS 或域名系统 (DNS) 名称。在“域控制器”下拉列表中，键入或选择域控制器的名称，或选择“任何域控制器”。在“域”下拉列表中的“目标”下，键入或选择目标域的 NetBIOS 或 DNS

18、名称。在“域控制器”下拉列表中，键入或选择域控制器的名称，或选择“任何域控制器”，然后单击“下一步”。用户选择选项 单击“从域中选择用户”，然后单击“下一步”。在“用户选择”页中，单击需要迁移的一批用户帐号，单击“添加”，然后单击“下一步”。组织单位选择 在“目标 OU”中，确保默认情况下列出正确的目标组织单位 (OU)。如果它不正确，则键入正确 OU 的可分辨名称，或者单击“浏览”。在“浏览容器”对话框中，找到目标域和 OU，然后单击“下一步”。密码选项 选择“迁移密码”密码选项，然后单击“下一步”。帐户转换选项 对于目标域，单击“禁用目标帐户”最后，请选中“将用户 SID 迁移至目标域”复

19、选框，然后单击“下一步”。用户帐户 在“用户名”、“密码”和“域”中，键入包括源域中的Administrator帐户的信息，然后单击“下一步”。用户选项 要自定义用户迁移，请选中以下用户选项的复选框，然后单击“下一步”：转换漫游配置文件（如果有漫游配置文件）更新用户权利迁移关联的用户组修复用户的组成员身份（必须选，否则用户将和组脱离）冲突管理 要指定如何处理迁移冲突，请单击迁移并合并冲突对象单击“迁移并合并冲突对象”，并选择在合并前删除现有目标帐户的用户权利完成选择选项后，请单击“下一步”。完成用户帐户迁移向导 复查您的选择，然后单击“完成”。点了3个YES注意：建议分批迁移用户帐号，比如50

20、个为一批。迁移漫游配置文件（非本地配置文件）也在这一步做。选择“迁移关联的用户组”选项以同时迁移组。选择修复用户的组成员身份以保证用户和组关联。先禁用目标用户帐号，等到用户配置文件迁完再启用，否则用户若提前使用目标用户帐号登录目标域，用户配置文件迁移将失败。默认情况下，迁移后的目标域用户帐号必须在下次使用时修改密码，如不需要等迁移后在用户帐号属性中手动取消这个选项。用户迁移成功2. 迁移用户计算机帐号和安全（包括本地用户配置文件）确保要迁移的用户计算机开机并接入网络，使用计算机迁移向导迁移计算机帐户1） 在 Active Directory 迁移工具控制台中，单击“操作”，然后单击“计算机迁移

21、向导”。2） 使用下表中的信息完成计算机迁移向导。向导页 操作域选择 在“域”中的“源”下，键入源域的 NetBIOS 或域名系统 (DNS) 名称，或者单击下拉列表中的名称。在“域控制器”中，单击域控制器的名称，或单击下拉列表中的“任何域控制器”。在“域”中的“目标”下，键入目标域的 NetBIOS 或 DNS 名称，或者单击下拉列表中的名称。在“域控制器”中，单击域控制器的名称，或单击下拉列表中的“任何域控制器”，然后单击“下一步”。计算机选择选项 单击“从域中选择计算机”，然后单击“下一步”。在“计算机选择”页上，单击源域中要迁移的所有计算机，单击“添加”，然后单击“下一步”。组织单位选

22、择 在“目标 OU”中，将列出默认的目标组织单位 (OU)。确保它是正确的目标 OU。如果它不正确，则键入正确 OU 的可分辨名称，或者单击“浏览”。在“浏览容器”对话框中，找到目标域和 OU，然后单击“下一步”。转换对象 选中下列要执行安全性转换的对象的复选框，然后单击“下一步”：文件和文件夹本地组打印机注册表共享用户配置文件用户权利安全性转换选项 选择安全性转换选项“添加”，然后单击“下一步”。计算机选项 在“向导完成后重新启动计算机之前的时间(分钟):”中，键入1，然后单击“下一步”。对象属性排除 要从迁移中排除某些对象属性，请选中“将特定对象属性从迁移中排除”复选框，选择要排除的对象属

23、性并将它们移到“排除的属性”框中，然后单击“下一步”。冲突管理 请单击“迁移并合并冲突对象”，并选择在合并前删除现有目标帐户的用户权利，然后单击“下一步”。完成计算机迁移向导 复查您的选择，然后单击“完成”。在源域中禁用计算机帐号登录后运行NSLOOKUP是这个样子，不知道为什么？原因是没有配置IP地址权限测试正常迁移完成后，用户桌面文件还在在源域DC上禁用cbpc01计算机帐号注意：建议分批迁移计算机帐号，比如50个为一批。计算机会在迁移后重启，所以请安排合理的时间。3） 如果 Active Directory 迁移工具 (ADMT) 将为一台或多台远程计算机派遣代理，以便完成计算机迁移、安

24、全性转换、服务帐户枚举和帐户引用报告，计算机迁移向导的“代理对话框”页将打开。在“代理操作”选项中选择“运行预检查”，单击开始，当“代理摘要”列表中“预检查”列显示“通过”，再在“代理操作”选项中选择“运行预检查和代理操作”，单击“开始”。如下图： 当代理程序在客户计算机上执行完相关操作后，计算机将进行1分钟倒计时重新启动，启动后ADMT将进行后检查，“后检查”列如果显示“通过”表示迁移计算机帐号完成。如下图： 注意：请在确认计算机帐号后检查通过后，再把相应的目标域用户帐号启用，然后在计算机上登录以确认用户配置文件迁移成功。迁移组策略注：2008 R2 组策略中首选项扩展在XP上应用里，XP系

25、统需要安装补丁：/zh-cn/download/details.aspx?id=36282008 R2禁用USB3 迁移服务器服务帐号在这个步骤中我们将迁移还未迁移的服务器上的服务账号，服务账号需要在相应的计算机帐号迁移之前迁移。服务帐户是分配有“作为服务登录”用户权利的标准用户帐户。1) 使用服务帐户迁移向导标识服务帐户可以使用服务帐户迁移向导或命令行标识通过使用某一服务帐户运行服务的成员服务器和域控制器。在 Active Directory 迁移工具控制台中，单击“操作”，然后单击“服务帐户迁移向导”。使用下表中的信息完成服务帐户迁移向导。向

26、导页 操作域选择 在“域”下拉列表中的“源”下，键入或选择源域的 NetBIOS 或域名系统 (DNS) 名称。在“域控制器”下拉列表中，键入或选择域控制器的名称，或选择“任何域控制器”。在“域”下拉列表中的“目标”下，键入或选择目标域的 NetBIOS 或 DNS 名称。在“域控制器”下拉列表中，键入或选择域控制器的名称，或选择“任何域控制器”，然后单击“下一步”。更新信息 单击“是，更新信息”，然后单击“下一步”。计算机选择选项 单击“从域中选择计算机”，然后单击“下一步”。在“服务帐户选择”对话框中，单击源域中具有服务帐户的所有计算机的名称，再单击“添加”，然后单击“下一步”。此时“代理

27、对话框”将出现在“代理操作”选项中选择“运行预检查”，单击开始。当“代理摘要”列表中“预检查”列显示“通过”时，在“代理操作”选项中选择“运行预检查和代理操作”，单击开始。当“代理操作”列也显示“成功”后，如下图，可以单击“关闭”关闭对话框。 此时出现服务帐户信息对话框：服务帐户信息 选择不需要在 Active Directory 迁移工具数据库中标记为服务帐户的任何用户帐户，单击“跳过/包括”以将它们标记为“跳过”，然后单击“下一步”。 完成服务帐户迁移向导 复查您的选择，然后单击“完成”。2) 使用用户帐户迁移向导转换服务帐户在 Active Directory 迁移工具控制台中，单击“操

28、作”，然后单击“用户帐户迁移向导”。使用下表中的信息完成用户帐户迁移向导。向导页 操作域选择 在“域”下拉列表中的“源”下，键入或选择源域的 NetBIOS 或域名系统 (DNS) 名称。在“域控制器”下拉列表中，键入或选择域控制器的名称，或选择“任何域控制器”。在“域”下拉列表中的“目标”下，键入或选择目标域的 NetBIOS 或 DNS 名称。在“域控制器”下拉列表中，键入或选择域控制器的名称，或选择“任何域控制器”，然后单击“下一步”。用户选择选项 单击“从域中选择用户”，然后单击“下一步”。在“选择用户”页中，选择已由服务帐户迁移向导标识的所有服务帐户，单击“添加”，然后单击“下一步”。组织单位选择 在“目标 OU”中，确保默认情况下列出正确的目标组织单位 (OU)。如果它不正确，则键入正确 OU 的可分辨名称，或者单击“浏览”。在“浏览容器”对话框中，找到目标域和 OU，然后单击“下一步”。密码选项 选择生成复杂密码，然后单击“下一步”。注意：在使用用户帐户迁移向导转换服务帐户时，自动生成复杂密码，而与在该向导页中选择的选项无关。即使选择了“不更新现有用户的密码”，也生成复杂密码。帐户转换选项 对于目标域，单击启用目标帐户最后，如果您要将用户安全标识符 (SID) 迁移到目标域，请选中“将用户 SID 迁移至目标域”复选框，然后单击“下一步”。用户帐户