两台域控制器如何实现AD迁移
两台域控制器如何实现AD迁移
2011-07-20 14:53 来源：华军资讯编辑整理RSS复制链接打印
核心提示：利用MicrosoftActiveDirectoryMigrationTool可以在两个独立的AD域之间迁移用户、组、计算机等账号，其中2.0版可以实现迁移用户账号密码，本文档描述了如何在两个独立的Win2KAD域之间实现迁移AD用户账户、密码的步骤。
两台域控制器实现AD迁移的方法如下：
AD用户账号、密码迁移步骤
前言
利用MicrosoftActiveDirectoryMigrationTool可以在两个独立的AD域之间迁移用户、组、计算机等账号，其中2.0版可以实现迁移用户账号密码，本文档描述了如何在两个独立的Win2KAD域之间实现迁移AD 用户账户、密码的步骤。
操作步骤
1、在目标域与源域之间建立双向的信任关系。
2、在源域的域控制器中将目标域的系统管理员账号（Administrator）加入到本地管理员组中（Administrators）。
3、在目标域与源域的域控制器上分别安装Win2K的128位加密包。
（这一部分不知道是否必需，但是我在实际操作中安装了该加密包。
而且根据微软的资料，在Win2K标准产品中已经包含了128位加密）
4、在目标域的域控制器上安装ADMTVersion2.0。
5、在目标域上查看系统内建组
“Pre-Windows2000CompatibleAccess”的属性，检查“成员”中是否包括Everyone。
如果没有，必须将Everyone加入，并且重启服务器。
（缺省情况下该组已经包含Everyone）。
6、检查目标域与源域之间的安全策略是否会影响到密码的迁移，如口令长度限制等。
如果有，需要进行相应的调整。
7、在目标域的域控制器的命令提示符下输入如下命令进行保存密码文件的保存：admtkeySourceDomainNameDriveLetter [Password]。
注意：
l 尽管这个密码文件可以保存在任何磁盘上（包括软盘、硬盘），但是为了安全起见建议保存在软盘中。
l 如果你用星号“*”代替密码，会提示你输入密码。
l SourceDomainName必需是源域的NetBIOS名称。
8、建议在源域中选择一台BDC作为密码导出服务器。
9、在源域的密码导出服务器中运行Pwdmig.exe，然后在相应提示中选择步骤7所生成的密码文件（如插入软盘），如果步骤7中输入了密码，那么也必须输入密码。
10、在源域的密码导出服务器上，打开并修改注册表，在
HKEY_LOCAL_MACHINE/System/CurrentControlSet/Control/Lsa下，将
AllowPasswordExport：REG_DWORD的值从0改成1。
然后重新启动计算机。
11、在目标域的域控制器中运行ADMTVersion2.0，选择迁移用户账号，在密码选项中选择迁移密码，根据提示操作则可以完成账号、密码的迁移。
希望本文中描述的两台域控制器实现AD迁移的方法能够对读者有所帮助。
使用ADMT v3.0 域迁移
使用ADMT v3.0 域迁移1、把目标域的功能级别提升为windows2000或以上纯模式。
2、两台域控做辅助dns或转发3、对两个域做一个双向信任关系。
4、目标域安装ADMT v3.05、在迁移密码的时候需要生成一个数据库，.pes文件，用于存放密码。
在目标域的cmd中输入命令：admt key /option:create /sourcedomain: /keyfile:c:\keyfile/keypassword:password(这个密码可有可无)。
完成后，在C盘中就会生成keyfile.pes这个文件，然后把这个文件复制到原域的C:\下，可以用共享的方法。
在这里我对数据库文件创建了个密码。
这个密码可有可无。
6、现在就要开始在原域中安装PES（Password Export Server）服务了，这个服务用于域间资源迁移，在整个迁移过程中其核心作用。
现在来安装PES(pwdmig.msi)。
这个安装文件在目标域中，路径是：C:\WINDOWS\ADMT\PES\。
安装ADMT后才有。
再说明一点这个程序在系统光盘中也有，路径在\I386\ADMT\PWDMIG。
这个是2.0版本的，测试下来和3.0不兼容。
开始安装PES，直至安装完成提示重新启动。
如果你没有在5中设置密码，密码提示框是不会出现的。
建议选择: 目标域\administrator登陆，这样在目标域迁移过程中能直接读取原域中数据库里的信息。
重启后，PES默认是不自动启动的，这需要手动让它运行。
打开services.msc，右击Password Export Server Service, 然后点Start。
现在PES才开始运行。
注意，迁移完所有的资源后，关闭他，其实重启下原域就可以了。
7、修改源域中本地安全机构的注册表HKLM\System\CurrentControllSet\Control\LSA下面有一个名字为AllowPasswordExport的记录项，把这个值由0改成1。
域控迁移方法
域控迁移方法Migrating domain controllers can be a challenging task for any organization. 域控迁移可能对任何组织来说都是一个具有挑战性的任务。
There are several methods that can be used to migrate domain controllers while minimizing the impact on users and maintaining a stable network environment. 有几种方法可以用来迁移域控制器，同时最大限度地减少对用户的影响，并保持稳定的网络环境。
One of the most common methods is to add new domain controllers to the existing domain, which allows for a gradual transfer of services and roles. 最常见的方法之一是向现有域添加新的域控制器，这样可以逐步转移服务和角色。
This approach ensures that there is no disruption to the network, as both old and new domain controllers can coexist during the migration process. 这种方法可以确保网络没有中断，因为在迁移过程中旧的和新的域控制器都可以共存。
Another method for domain controller migration is to use the Active Directory Migration Tool (ADMT) provided by Microsoft. 域控制器迁移的另一种方法是使用微软提供的Active Directory迁移工具（ADMT）。
使用ADMT跨域迁移用户和计算机
使用ADMT跨域迁移用户和计算机环境：1 和两个域，分属于不同的林2 cxz域有用户jim和计算机text3 需要将cxz域用户jim和计算机text迁移到msd域控中步骤：一：建立dns辅助区域二：提升域控制器和林级别三：创建林信任四：在目标域控上安装ADMT迁移工具五：在源域安装pwdmig工具六：将对方的domain admins组添加到本地administrators组里面七：在目标域安装ADMT迁移工具八：迁移用户九：迁移计算机工具下载地址：1 ADMT3.0下载地址：/downloads/zh-cn/details.aspx?FamilyID=6f86937b-533a-466d-a8e8-aff85ad3d212 2 pwdmig下载地址：（在光盘i386\admt\pwdmig\也可以找到，不建议使用）/downloads/zh-cn/results.aspx?freetext=pes&displaylang=zh&stype=s_basic一：建立dns辅助区域1 运行dnsmgmt.msc打开dns管理。
2 首先我们要建立区域复制信任，右击本地域名，点击属性。
（两个域控都要建立）3 我们在区域复制选项卡里面添加允许复制的域控制器的IP地址。
4 我们开始建立辅助区一，选择新建区域选项5 单击下一步6 我们选择辅助区域7 我们选择正向查找区域8 输入区域名称9 输入辅助区域域控制器的IP地址10 单击完成11 我们可以看到已经复制了的dns信息。
二：提升域控制器和林级别注意：两个域控都要做同样的操作。
1 运行domain.msc打开AD域和信任关系2 右击 选择提升域功能级别3 我们选择了windows server 2003 模式4 提示警报，单击确定5 单击确定，确定操作6 右击ad域和信任关系，选择提升林功能级别7 我们选择windows server 2003 模式8 警报提示，单击确定9 单击确定，完成操作。
Windows域(AD)迁移方案
域迁移方案一、事前准备：先分别建立两个位于不同林的域，内建Server若干，结构如下：ADC02 172.16.1.2/24EXS01 172.16.1.101/24ADC01172.16.1.1/24其中：：ADC01作为主域控制器，操作系统为Windows Server 2008 R2，并安装有DHCP服务，作用域范围为172.16.1.100/24——172.16.1.200/24。
ADC02作为的辅助域控制器，操作系统为Windows Server 2008 R2Exs01为的Mail服务器，操作系统为Windows Server 2003 SP2，Exchange 版本为2003TMG01为防火墙，加入到网域，操作系统为Windows Server 2008R2，Forefront TMG为2010Client为加入到此网域的客户端PC，由DHCP Server分配IP：Ad-cntse为的域控制器，操作系统为Windows Server 2008 R2，为了网域的迁移安装有ADMT以及SQL Server Express 2005 SP2Exs-centse作为的Mail Server，操作系统为Windows Server 2003 SP2，Exchange 版本为2003.备注：所有的Server均处在同一个网段172.16.1.x/24二、的User结构：如图，其中红色圈中部分为自建组别，OA User为普通办公人员组别，拥有Mail账号，admins为管理员群组， Terminal User为终端机用户组别，均没有Mail账号。
以上三组别均建立有相应的GPO限制其权限。
其他Users保持默认设定三、设定域信任关系：1、设定DNS转发器：在域控制器Ad-cntse的DNS管理器设定把的解析交给的DNS，同理，把域控制器ads01的DNS管理器把 的解析交给的DNS。
如下图：2、在“Active Directory 网域及信任”中设定双方网域的信任关系：四、利用ADMT工具把中没有Mail账号的User和组都迁移到域，步骤如下图：选择域和域控制器选择用户选择选项选择User选择OU密码迁移选项User转换选项迁移User的相关设定排除User对象选择如发生冲突应该怎样处理项至此，没有Mail账号的User迁移完毕。
AD域FSMO角色迁移
AD域FSMO角色迁移操作主机通过执行特定任务来使目录正常运行，这些任务是其他域控制器无权执行的。
由于操作主机对于目录的长期性能至关重要，因此必须使其相对于所有需要其服务的域控制器和桌面客户端可用。
在添加更多的域和站点来生成林时，小心放置操作主机非常重要。
若要执行这些功能，必须使托管这些操作主机的域控制器始终可用，且将其放置在网络可靠性较高的区域。
角色传送是将操作主机角色从某域控制器移至另一域控制器的首选方法。
在角色传送过程中，对这两个域控制器进行复制，以确保没有丢失信息。
在传送完成后，之前的角色持有者将进行重新自我配置，以便在新域控制器承担这些职务时，此角色持有者不再尝试做为操作主机。
这样就防止了网络中同时出现两个操作主机的现象，这种现象可能导致目录损坏。
目的每个域中存在三个操作主机角色：* 主域控制器 (PDC) 仿真器。
PDC 仿真器处理所有来自 Microsoft Windows NT 4.0 备份域控制器的复制请求。
它还为客户端处理没有运行可用 Active Directory 客户端软件的所有密码更新，以及任何其他目录写入操作。
* 相对标识符 (RID) 主机。
RID 主机将 RID 池分配至所有的域控制器，以确保可使用单一标识符创建新安全主体。
* 基础结构主机。
给定域的基础结构主机维护任何链接值属性的安全主体列表。
除了这三个域级的操作主机角色外，在每个林中还存在两个操作主机角色：* 管理所有架构更改的架构主机。
* 添加和删除域和应用程序分区复制到林（和从林复制到域）的域命名主机。
指导方针有关初始操作主机角色分配的设计规则和最佳操作，请参阅 Windows Server 2003 部署工具包：计划、测试以及试验部署项目。
在指定域中创建第一个域控制器时，会自动放置操作主机角色持有者。
将这三个域级角色分配至域中创建的第一个域控制器。
将这两个林级角色分配至林中第一个创建的域控制器。
移动操作主机角色（一个或多个）的原因包括：托管操作主机角色的域控制器服务性能不充足、故障或取消，或服从由管理员进行配置更改。
AD的五种操作主机的作用及转移方法
AD的五种操作主机的作用及转移方法AD的五种操作主机的作用及转移方法Active Directory 定义了五种操作主机角色（又称FSMO）：1.架构主机schema master2..域命名主机domain naming master3.相对标识号(RID) 主机RID master4.主域控制器模拟器(PDCE)5.基础结构主机infrastructure master而每种操作主机角色负担不同的工作，具有不同的功能：1.架构主机具有架构主机角色的DC 是可以更新目录架构的唯一DC。
这些架构更新会从架构主机复制到目录林中的所有其它域控制器中。
架构主机是基于目录林的，整个目录林中只有一个架构主机。
2.域命名主机具有域命名主机角色的DC 是可以执行以下任务的唯一DC：向目录林中添加新域。
从目录林中删除现有的域。
添加或删除描述外部目录的交叉引用对象。
3.相对标识号(RID) 主机此操作主机负责向其它DC 分配RID 池。
只有一个服务器执行此任务。
在创建安全主体（例如用户、组或计算机）时，需要将RID 与域范围内的标识符相结合，以创建唯一的安全标识符(SID)。
每一个Windows 2000 DC 都会收到用于创建对象的RID 池（默认为512）。
RID 主机通过分配不同的池来确保这些ID 在每一个DC 上都是唯一的。
通过RID 主机，还可以在同一目录林中的不同域之间移动所有对象。
域命名主机是基于目录林的，整个目录林中只有一个域命名主机。
相对标识号（RID）主机是基于域的，目录林中的每个域都有自己的相对标识号（RID）主机A4.PDCE主域控制器模拟器提供以下主要功能：向后兼容低级客户端和服务器，允许Windows NT4.0 备份域控制器(BDC) 加入到新的Windows 2000 环境。
本机Windows 2000 环境将密码更改转发到PDCE。
每当DC 验证密码失败后，它会与PDCE 取得联系，以查看该密码是否可以在那里得到验证，也许其原因在于密码更改还没有被复制到验证DC 中。
Windows 2003 AD迁移方法步骤
Windows 2003 AD迁移问题PDC—主域控RDC－备份域控RD－应用服务器（windows 2003 r2 sp2）计算机环境：问题就是一个域服务器的迁移，环境三台服务器，1台做为主域服务器（Windows standard 2003 SP2）计算机名DC，1台额外的域服务器（用作备份windows standard 2003 sp2）计算机名BDC，1台新的服务器（Windows standard 2003 R2 SP2）计算机名RD迁移的目的：内网采用工作组模式未采用域模式，域服务器主要提供给RD这台服务器使用，由于RD这台服务器上集成了比较重要的应用，软件的应用需要与AD的RID有关，为了降低服务器的风险性最终将AD服务器和RD服务器合并，将AD转移到RD上兼作域服务器。
操作步骤：备份>>删除BDC>>提升RD为额外域服务器>>提升RD为GC>>获得FSMO角色>>查询FSMO角色权限>>删除原有主域服务器1、备份（这是雷打不动的必须的步骤，不然迟早得玩完），主域服务器DC、应用服务器RD，我做的是Ghost备份，慢得很吃晚饭都没备完，呆得无聊青蛙跳2、删除之前得额外的域服务器BDC3、提升RD为额外的域服务器，并安装DNS组件，并将TCP/IP中的DNS设置为本机，这个很重要否则在AD服务器down掉后无法解析准备工作做完了下面开始提升RD的权限了4、将RD提升为GC，可以同时拥有多个GC启动“Active Directory 站点和服务”管理单元。
单击“开始”，指向“管理工具”，然后单击“Active Directory 站点和服务”。
在控制台树中，双击“站点”，然后双击站点名称。
双击“服务器”，单击您的域控制器，右键单击“NTDS 设置”，然后单击“属性”。
在“常规”选项卡上，单击“全局编录”复选框，将其选中，以将全局编录角色分配给该服务器。
AD的迁移
把Windows 2000 Server的域控制器迁移到Windows Server 2003域控制器的具体操作步骤1．为新服务器安装好Windows Server 2003的操作系统，然后加入到Windows 2000 Server的域中。
2．在Windows 2000 Server 上更新林架构（把Windows Server 2003的光盘插入Windows Server 2000的计算机中，然后运行：E:\I386\ADPREP.EXE /forestprep. 注意：E盘是光盘）(如果更新到Windows Server 2003 R2, 需要把R2的第2张光盘插入光驱，然后运行命令Drive:\CMPNE NTS\R2\ADPREP\adprep.exe /forestprep)3．在Windows 2000 Server 上更新域架构（把Windows Server 2003的光盘插入Windows Server 2000的计算机中，然后运行：E:\I386\ADPREP.EXE /Domainprep. 注意：E盘是光盘）4．把Windows Server 2003提升为Windows 2000 Server的附加域控制器。
（在Windows Server 2003上运行dcpromo）5．让Windows Server 2003成为PDC1)把5中操作主机（架构主机，域命名主机，PDC仿真器，RID主机，基础结构主机）传递到Windows Server 2003上（安装超级工具包——>ntdsutil→Roles→Connections→Connectto Server →quit→T ransfer 五种操作主机的名称）2)让Windows Server 2003成为GC(全局编录服务器)在“Active Driectory站点和服务”工具中操作。
3)在Windows Server 2003上为DNS服务做备份6．把Windows 2000 Server从DC变成Member Server(命令dcpromo) 7．把Windows 2000 Server 退出域并关机，然后把Windows Server 2003的IP地址改成原先windows Server 2000的IP地址。
两台域控制器如何迁移AD
两台域控制器如何迁移AD两台域控制器如何迁移AD两台域控制器如何迁移AD，下面店铺准备了关于两台域控制器实现AD迁移的方法，提供给大家参考!AD用户账号、密码迁移步骤利用MicrosoftActiveDirectoryMigrationT ool可以在两个独立的AD域之间迁移用户、组、计算机等账号，其中2.0版可以实现迁移用户账号密码，本文档描述了如何在两个独立的Win2KAD域之间实现迁移AD用户账户、密码的步骤。
操作步骤1、在目标域与源域之间建立双向的信任关系。
2、在源域的域控制器中将目标域的系统管理员账号(Administrator)加入到本地管理员组中(Administrators)。
3、在目标域与源域的域控制器上分别安装Win2K的128位加密包。
(这一部分不知道是否必需，但是我在实际操作中安装了该加密包。
而且根据微软的资料，在Win2K标准产品中已经包含了128位加密)4、在目标域的域控制器上安装ADMTVersion2.0.5、在目标域上查看系统内建组“Pre-Windows2000CompatibleAccess”的属性，检查“成员”中是否包括Everyone.如果没有，必须将Everyone加入，并且重启服务器。
(缺省情况下该组已经包含Everyone)。
6、检查目标域与源域之间的安全策略是否会影响到密码的迁移，如口令长度限制等。
如果有，需要进行相应的调整。
7、在目标域的域控制器的`命令提示符下输入如下命令进行保存密码文件的保存：admtkeySourceDomainNameDriveLetter [Password]。
注意：尽管这个密码文件可以保存在任何磁盘上(包括软盘、硬盘)，但是为了安全起见建议保存在软盘中。
如果你用星号“*”代替密码，会提示你输入密码。
SourceDomainName必需是源域的NetBIOS名称。
8、建议在源域中选择一台BDC作为密码导出服务器。
9、在源域的密码导出服务器中运行Pwdmig.exe，然后在相应提示中选择步骤7所生成的密码文件(如插入软盘)，如果步骤7中输入了密码，那么也必须输入密码。
ad域操作主机角色的转移
实战操作主机角色转移今天我们通过一个实例为大家介绍如何实现操作主机角色的转移，这样如果Active Directory中操作主机角色出现了问题，我们就可以用今天介绍的知识来进行故障排除。
我们首先要明确一个重要原则，那就是操作主机角色有且只能有一个！如果操作主机角色工作在林级别，例如架构主机和域命名主机，那在一个域林内只能有一个架构主机和域命名主机。
如果操作主机角色工作在域级别，例如PDC 主机，结构主机和RID主机，那就意味着一个域内只能有一个这样的操作主机角色。
我们的实验拓扑如下图所示，域内有两个域控制器，Florence和Firenze。
Florence是域内的第一个域控制器，目前所有的操作主机角色都在Florence上，我们通过实验来介绍如何在Florence和Firenze间切换操作主机角色。
其实当我们用Dcpromo卸载域控制器上的Active Directory时，这个域控制器会自动把自己所承担的操作主机角色转移给自己的复制伙伴，这个过程完全不需要管理员的干预。
但如果我们希望指定一个域控制器来负责操作主机角色，我们就需要手工操作了。
我们首先为大家介绍如何用MMC控制台把五个操作主机角色从Florence转移到Firenze上。
一从Florence转移到Firenze在Florence上打开Active Directory用户和计算机，如下图所示，右键点击域名，在菜单中选择“操作主机”。
如下图所示，我们发现可以转移三个操作主机角色，分别是PDC主机，RID主机和结构主机，但奇怪的是，我们希望把操作主机角色从Florence转移到Firenze，但为何工具中显示的是我们只能把操作主机角色从Florence转移到Florence呢？上述问题很容易解释，如果我们希望把Firenze作为操作主机角色转移的目标，那我们就需要把域控制器的焦点首先指向Firenze。
从下图所示，在Active Directory用户和计算机中右键单击，选择“连接到域控制器”，从域控制器列表中选择Firenze即可。