查看完整版本: Windows Server活动目录之迁移

Windows Server活动目录之迁移

[size=3]      
   说到活动目录迁移就要用到迁移工具，但Windows本身却并没有自带个工具，我建议大家到微软的官方网站上去

下载，因为可以下到最新版，安装盘里那个版本太低了。这个工具的全称叫Active Directory MigrationTool，我们以下简称ADMT，最新版本是3.0，总算有中文版了。:lol:
　　
　　[b]我先来介绍一下实验的环境:[/b]
　　
　　目标域:
　　
　　域名:demo.com
　　
　　域控制器:server
　　
　　操作系统:Windows Server 2003
　　
　　IP:192.168.5.1
　　
　　子网掩码:255.255.255.0
　　
　　DNS:192.168.5.1
　　
　　源域:
　　
　　域名:ms.com
　　
　　域控制器:win200ser(本来是打算用win2000ser的，一时大意，少打了一个“0”，将错就错了，反正也没有什么关系)
　　
　　操作系统:Windows 2000 Advanced Server
　　
　　IP:192.168.5.10
　　
　　子网掩码:255.255.255.0
　　
　　DNS:192.168.5.10
　　
　　实验目的:要把ms.com上的一个叫“Tom”的用户和一台名叫“Test2000”的计算机帐号迁移到Demo.com。
　　
　　在执行正式的操作以前呢，我们先要来做三个准备工作:
　　
　　[b]1、 把目标域，在这里也就是demo.com的功能级别提升为纯模式。[/b]
　　
　　点击“开始-设置-控制面板-管理工具-Active Directory用户和计算机”:
　　[/size]
如图1[attach]153344[/attach]


[size=3]　　在“demo.com”上击右键:
　　 [/size]
[size=2]如图2[attach]153345[/attach][/size]

[size=3]　　选择上面选中的“提升域功能级别”:

[size=2]如图3[/size][attach]153346[/attach]

[/size][size=3]　　请注意，当前的域功能级别是Windows 2000 混合模式，然后开始提升操作:
　　 [/size]
如图4[attach]153347[/attach]

[size=3]　　点击上图中的“提升按钮”，注意这种操作是不可逆的，提升完成后，就会出现如下画面:
　　 [/size]
如图5[attach]153348[/attach]

[size=3]　　这就表示提升成功了，如果有多台域控制的话，请注意复制时间，以确定这一修改被复制到整个域的所有域控制器上。
　　
　　[b]2、 对两个域做一个双向信任关系。[/b]
　　
　　应该说这是一个关于域的基本操作，但是很遗憾的是很多朋友都在这一步上栽了一个大跟斗，他们都来信告诉我无法建立信任关系，当他们给我看了下面的截图:
　　 [/size]
如图6[attach]153349[/attach]
[img]http://bbs.techtarget.com.cn/attachments/forumid_6/6_JWodHj194ItX.jpg[/img]

[size=3]　　以及听取了他们的整个操作过程以后，我基本上断定是因为他们没有正确配置DNS的原因，我想他们肯定是用本域的DNS服务器去解析信任域的域名，由于本地的DNS服务器里是没有对方域的纪录，所以才会造成无法解析，从而导致信任关系无法建议。在这里我向大家推荐一种方法，就是建议DNS的辅助区域来解决这个问题:
　
[size=2]如图7[attach]153350[/attach][/size]

[/size][size=3]　　先到demo.com域，点击“开始-设置-控制面板-管理工具-DNS”:
　　 [/size]
如图8[attach]153351[/attach]
[img]http://bbs.techtarget.com.cn/attachments/forumid_6/8_1ZimU3MigNtg.jpg[/img]

[size=3]　　展开“SERVER”，定位到“正向查找区域”，并在上面击“右键”:[/size]

[[i] 本帖最后由 garnett_wu 于 2006-11-4 13:32 编辑 [/i]]

如图9[attach]153352[/attach]

[img]http://bbs.techtarget.com.cn/images/attachicons/image.gif[/img]
[size=3]　　选择“新建区域”:
　　 [/size]
如图10[attach]153353[/attach]


[size=3]　　点击“下一步”:
　　 [/size]
如图11[attach]153354[/attach]


[size=3]　　在这里，我们要选择“辅助区域”，然后再点“下一步”:
　　 [/size]
如图12[attach]153355[/attach]


[size=3]　　这里输入和信任域相同的名称，我这里输入的是“ms.com”，然后再点击“下一步”:
　　 [/size]
如图13[attach]153356[/attach]


[size=3]　　这里要输入信任域DNS服务器的IP地址，试验环境中是“192.168.5.10”，继续“下一步”:

[size=2]如图14[attach]153357[/attach]

[/size]
[/size][size=3]　　最后点击“完成”。
　　 [/size]
如图15[attach]153358[/attach]



[size=3]　　出现上图就表示辅助区域已经建立成功了，然后到源域上再操作一次。
　　
　　说到这儿呢，我顺便还想再和大家提一下转发器的问题，有些朋友喜欢使用转发器来解决上面的问题，从理论上来讲，好像也没有什么讲不通的地方，但是用转发器的时候，很多人都会在上面出现一个严重的错误操作，以我的实验环境为例，这个错误操作就是在demo.com的DNS上设置转发器，转发到ms.com上面的DNS服务器;然后再到ms.com的DNS服务器上设置转发器，转发到demo.com上的DNS服务器。当然我知道大家这么设置的理由是什么，就是当demo.com上的机器需要访问ms.com上的资源的时候，而本地的DNS服务器无法解析，这时可以根据DNS服务器上设置的转发器，转到ms.com上的DNS服务器来进行解析，从而获得正确的IP地址;同理，当ms.com上的机器要访问demo.com上的资源时，也可以利用本地的DNS服务器上的转发器转到demo.com上的DNS服务器上来。以此来解决两个域之间的DNS解析问题。从表面上看，好像还是挺有道理的。但实际上你会为这样的操作付出代价的，什么原因?来分析一下，当一个客户端发出一个请求，是两台DNS服务器上有的纪录，那么是不会有什么问题的，因为当服务器本身能解析请求时，转发器是不起作用的。但是，当下面的客户机发出一个错误的请求，比如输错了一个字母，也就是说发出的请求在两台DNS服务器上都没有纪录的时候，那么这时就会根据转上器上的地址来进行转发，而你又是在两台DNS服务器上设置相互转发，那么这条请求就会从这台服务器到那台服务器，再从那中服务器到这台服务器?????……，并且周而复始，这样就会进入一个死循环，会大大的加重你的服务器的负担，甚至引起死机的可能性也不是没有。所以DNS服务器之间是不能设置相互转发的，这一点请大家切记切记!
　　
　　OK，那我们继续，建立完DNS辅助区域以后，再始建立域的信任关系。[/size]

[[i] 本帖最后由 garnett_wu 于 2006-11-4 13:46 编辑 [/i]]

[size=3]先到目标域上，也就是demo.com上，点击“开始-设置-控制面板-管理工具-Active Directory域和信任关系”:
　　[/size]

如图17[attach]153359[/attach]

[img]http://bbs.techtarget.com.cn/images/attachicons/image.gif[/img]
　　选“属性”:
　　
如图18[attach]153360[/attach]


　　点击“信任”:
　　
如图19[attach]153361[/attach]


　　点击上面的“新建信任”:
　　
如图20[attach]153362[/attach]

[img]http://bbs.techtarget.com.cn/images/attachicons/image.gif[/img]
　　点“下一步”:
　
如图21[attach]153363[/attach]
　

　　输入对方域的DNS名称，这里是“ms.com”，再点“下一步”:
　　
如图22[attach]153364[/attach]

[img]http://bbs.techtarget.com.cn/images/attachicons/image.gif[/img]
　　可以选择信任方向，这里我们选“双向”:
　　
如图23[attach]153365[/attach]


　　点“下一步”:
　　
如图24[attach]153366[/attach]

[img]http://bbs.techtarget.com.cn/images/attachicons/image.gif[/img]
[img]http://bbs.techtarget.com.cn/attachments/forumid_6/16_Ul3JlN6uBNWt.jpg[/img]

[[i] 本帖最后由 garnett_wu 于 2006-11-4 13:57 编辑 [/i]]

再点“下一步”:
　　
如图25[attach]153367[/attach]

　　这里要输入的是信任密码，不要以为是让你输入管理员密码哟，这可是两回事，设置好以后点“下一点”:
　　
如图26[attach]153368[/attach]

[img]http://bbs.techtarget.com.cn/images/attachicons/image.gif[/img]
　　确认一下，要是没有问题就点“下一步”:
　　
如图27[attach]153369[/attach]


　　点“下一步”:
　　
如图28[attach]153370[/attach]


　　选“否”，点击“下一步”:
　　
如图29[attach]153371[/attach]


　　还是选“否”，以上两步请确认另一方被创建后选“是”，由于这里对方域还没有被创建所以这里选“否”，点击“下一步”:
　　
如图30[attach]153372[/attach]


　　最后点击完成。
　　
　　接下来就到源域上面也去进行同样的设置。不过Windows 2000域创建信任关系要比Windows 2003域来得简单，这里我就不写了。
　　
　　信任关系被创建后，接下来就是相互把对方域的管理员帐号添加到本域的Bulitin容器下的Administrators组。这个操作就不说了。
　　
　　前期的准备工作就到此为止了，开始进行正式的迁移操作了:
　　
　　首先当然是安装迁移工具，这里我安装的是ADMT3.0，安装过程很简单，只要狂点下一步就可以完成了。但要注意的是，ADMT工具一定要装在目标域上。安装完成后，我们可以点击“开始-设置-控制面板-管理工具-Active Directory迁移工具”:
　　

如图31[attach]153373[/attach]


　　乍一看，就会吓一跳，什么都没有，怎么迁移?别急，在“Active Directory迁移工具”上击“右键”:
　
如图32[attach]153374[/attach]

[img]http://bbs.techtarget.com.cn/attachments/forumid_6/32_bdmhY629qldY.jpg[/img]

[[i] 本帖最后由 garnett_wu 于 2006-11-4 15:37 编辑 [/i]]

都看到了吧，功能众多吧?这里本人仅仅向大家演示一上用户迁移和计算机迁移，所以我先点击“用户帐号迁移向导”:
　　

如图33[attach]153385[/attach]


　　点“下一步”:
　　

如图34[attach]153386[/attach]


　　这里要正确的填写“源域”和“目标域”，千万别倒过来哟。然后再点“下一步”:
　　

如图35[attach]153387[/attach]


　　在这里选择“从域中选择用户”:
　　

如图36[attach]153388[/attach]


　　点击“添加”:
　　
如图37[attach]153389[/attach]


　　找到我们要迁移的用户，这里是“tom”,然后点“确定”:
　　

如图38[attach]153390[/attach]


　　点击“下一步”:
　　

如图39[attach]153391[/attach]


　　这里要选择的是目标OU，也是把用户迁移到哪，如果你不知道上图中所示的这种书写形式的话，可以点击“浏览”进行选择OU，选择完成后，系统会自动转换。

[[i] 本帖最后由 garnett_wu 于 2006-11-4 15:38 编辑 [/i]]

再点“下一步”:

如图40[attach]153375[/attach]


　　这里需要提醒一下大家，要选择“生成复杂密码”，暂时还不能选择“迁移密码”，而且大家还要注意密码文件的存储位置，以迁移完成后去寻找那个密码。如果选择了“迁移密码”，那么会出现下面的出错提示:
　　
如图41[attach]153376[/attach]


　　要迁移密码呢，在ADMT的帮助信息里有详细的介绍，这里我就不重复了。我们还是暂时不迁移密码，点“下一步”:
　　
如图42[attach]153377[/attach]


　　这里可以设置被迁移帐号迁移成功后，是禁用还是启用，几天后过期等信息，我这里选择和源相同，注意的是建议大家把“将用户SID迁移至目标域”前的勾打上。这样就可以把源帐号的SID复制到与新帐号相关联的历史标记中，同时还会触发SID审核，可能会引起源域的域控制器的重启，这时请等待重启完成:
　　
如图43[attach]153378[/attach]

　[b]

如图44[attach]153379[/attach]


[/b]　　如果用到了“漫游用户配置文件”的话，可以选上第一项，其它的可以保持默认，然后点击“下一步”:
　　
如图45[attach]153380[/attach]

　　这里可以把一些用户属性进行排除，被排除的将不会进行迁移，建议大家还是保存默认的好。除非有些属性到了目标域后会引起问题。点“下一步”:
　　
如图46[attach]153381[/attach]

　　大家可以根据自己的需要进行对上图的选择，就是当目标域中存在同名帐号之类的冲突现象时，所采取的动作，是迁移还是不迁移，或者怎么迁移的情况。选定后，请点击“下一步”:
　　

如图47[attach]153382[/attach]

　　请大家确认上面的信息，如果没有问题，点击“完成”:
　　

如图48[attach]153383[/attach]


　　上面是一个进度表和一个简单的日志记录，上图表示迁移成功!然后再到目标域的“Active Directory用户和计算机”里去看一下有没有“tom”这个用户:
　　

如图49[attach]153384[/attach]


　　看到了吧，已经成功迁移过来了。

[[i] 本帖最后由 garnett_wu 于 2006-11-4 14:25 编辑 [/i]]

再来看一个如何迁移计算机帐号的，上面我们选择的是“用户帐号迁移向导”，现在我们要选择的是“计算机迁移向导”:
　　
如图50[attach]153393[/attach]


　　点“下一步”，下面的图和上例中差不多，我就只截出和上面不一样的图:
　　
　　第六步:
　　

如图51[attach]153394[/attach]


　　这里我全部选上了:
　　

如图52[attach]153395[/attach]


　　这里我选择的是“添加”:
　　
如图53[attach]153396[/attach]


　　迁移成功后，计算机多少时间后重启在上图中指定，剩下的和上面的迁移用户基本一至，完成后可以到目标域的“Active Directory用户和计算机”里去看一下有没有“test2000”这台计算机:
　　
如图54[attach]153397[/attach]

　　也迁移过来了吧?
　　
　　现在你可以到客户端上去把test2000这台计算机重新加入到demo.com，然后再用“tom”这个用户登陆，你会发现设置和以前一样保持不变的

[[i] 本帖最后由 garnett_wu 于 2006-11-4 14:29 编辑 [/i]]

和我培训那有点不同，不过大体一样，而起有些还考类得好全面。多谢发表着

真的很全面,并且都有贴图配合
谢谢楼主和版主

今天我在ad迁移中遇到这样一个问题，我把gz.net的ntt迁移到cia.us中，当到最后完成时他出现这样的报错在日志中ERR2:7301 在 CIA.us 中创建 CN=ntt 失败。hr=80070005  拒绝访问
请问这是什么问题引起的？如何解决？

谢谢，太谢谢了
以前我做的时候一直出错

写的好啊！！！ 呵呵。

希望以后多到你的贴子。谢谢！

好东西，，不过有点看不懂，

好帖子啊，对于我们这些菜鸟来说最缺少的就是这种图文并茂的文章了，谢谢~！:loveliness:

非常好！:lol:

支持把,顶

不是很懂，但还是有收获，谢谢

图文并茂  学习了  谢LZ

好东西啊　　学习了　　楼主辛苦了！

请问楼主,我在原域和目标域上分别添加对方的DNS为自己的辅助区域的时候出现了问题
:::
添加过程都没问题,但添加完后,打开DNS服务器后出现了对方的DNS在自己DNS目录下,但当点击看子目录时,发现刚添加进来的辅助区域是不可用的,打差的,





我重启后,还是这样


2个DNS服务器都这样
请教是为什么啊?

注:
刚开始的时候PING 对方DNS服务器名是不通的，添加完后就可以PING通了

请各位帮忙
不知道这样会不会影响下面的建立信任关系和迁移AD?

非常感谢，对我太有用了！！

ADMT很不错的迁移工具!!  
感谢楼主共享部署文章!:lol:

哪位大哥帮帮忙,忙我解决我的问题啊20楼和21楼的
谢谢啦

很不错

很实在
希望多看到楼主的帖哦

非常详细，辛苦了　

现在还没学习到这么深的程度，先学了，后边慢慢理解

[quote]原帖由 [i]zha119001[/i] 于 2007-1-15 17:24 发表
请问楼主,我在原域和目标域上分别添加对方的DNS为自己的辅助区域的时候出现了问题
:::
添加过程都没问题,但添加完后,打开DNS服务器后出现了对方的DNS在自己DNS目录下,但当点击看子目录时,发现刚添加进来的辅助 ... [/quote]


请设置允许区域复制.

回复 #1 garnett_wu 的帖子

楼主好强，说的蛮详细的！谢谢

好帖子啊，对于我们这些菜鸟来说最缺少的就是这种图文并茂的文章了，谢谢~！:D

恩，学到了很多的东西！谢谢楼主

在虚拟机里面(VMware或者VPC)  在创建信任关系时绝对会失败..
不管你设置是转发器还是辅助区域.

有个小技巧能保证大家一次性就成功.
那就是在各自的DC里面先输入对方的\\FQDN的方式访问一下对方的资源.例如在ms.com所在的域控制器上输入\\DC主机名.demo.com

然后再创建信任关系,一定可以成功的.

谢谢楼主。对学习信任，ADMT很有帮助。对DNS转发器的描述也很精彩:)

不错,图文双讲.

:D :D :D 好东西

很好，虽然暂时没用，但作为知识积累以后可少走弯路。谢谢了！

很全面,都有贴图配合,好好看一下.

好久没看到,我们公司从NT移到了2003,所有用户需要重新加入域呢,非常麻烦.

好久没看到,我们公司从NT移到了2003,所有用户需要重新加入域呢,非常麻烦.不知有没有更好的办法,而且有些加进去后,登陆进入桌面非常的慢

版主不错。。我支持你。/

谢谢版主