本文转自: https://blog.51cto.com/hubuxcg/1554925

前言:

前段时间完对某公司AD、Exchange的跨域迁移,现将环境重新模拟一次,并将操作过程记录总结,供大家参考!

环境说明:

现用域名为Contoso.local,现因业务需求,需将现所有域名更换为sysmicro.cn,现有环境为DC+Exchange一台(Win2008R2+Exchange2010),主机名为:Mail.contoso.local,文件服务器一台(Win2008R2), 主机名为:File.contoso.local,及其它应用的成员服务器(这里不做介绍),平稳迁移到新的域名sysmicro.cn,迁移后DC两台(Win2008R2),主机名为:DC.sysmicro.cn,DC2.sysmicro.cn,Exchange一台(Win2008R2+Exchange2010),主机名为:ex01.sysmicro.cn,文件服务器一台(Win2008R2),主机名为:file.sysmicro.cn,其它略。

主要步骤:1、安装准备好新域的DC和Exchange,2、配置域信任,3、安装ADMT/PES迁移用户账号、组、计算机等对象;4、迁移用户邮箱

安装做准备新域DC和Exchange过程这里不作介绍了,从域信任开始:

第一部分:配置两个域的双向信任:

1、 分析在两台DC的DNS上开启区域传送权限(可以依需要,配置到指定服务器,或是所有服务器)

clip_p_w_picpath002

2、 分别在DNS增加对方DNS为辅助区域

clip_p_w_picpath004
clip_p_w_picpath006

3、 打开AD Domain and Trusts,添加信任:

clip_p_w_picpath008

4、 在向导中,输入对方域的域名:

clip_p_w_picpath010

5、 选择外部信任:

clip_p_w_picpath012
clip_p_w_picpath014

6、 选择双向信任:

clip_p_w_picpath016

7、 选择信任

clip_p_w_picpath018

8、 输入对方域中有管理员权限的账号和密码:

clip_p_w_picpath020

9、 选择默认选项:

clip_p_w_picpath022

10、 完成配置!

clip_p_w_picpath024

11、 分别在两个域的AD Users and Computers中,将对方Domain Admin加到Administrators组成员:

在Locations中,选择对方域,然后查到到Domain admin

clip_p_w_picpath026
clip_p_w_picpath028

12、 添加完成!

clip_p_w_picpath030

13、 信任及权限配置完成!

第二部分:安装配置ADMT,迁移AD内容!

以下步骤在目标域完成:即需要迁移到的新域:

1、 安装SQL Express,过程略,使用默认选项完成安装!

2、 如果ADMT和SQL Express是安装在DC,还需完成3-6步骤操作:

3、 创建域本地组,可格式: “SQLServerMSSQLUser$$”,如你的DC主机名为DC1则命令如下:

NET LOCALGROUP SQLServerMSSQLUser$DC1$SQLEXPRESS /ADD

4、用SC.exe命令查看地SQL Services SID:

SC SHOWSID MSSQL$SQLEXPRESS

5、创建ADMT\Data目录,用于存放AMDT的SQL数据库:

MD %SystemRoot%\ADMT\Data

6、对创建的目录调整权限:注意:将星号“*”后面的SID替换为第4步中查询的SID

ICACLS %systemroot%\ADMT\Data /grant *S-1-5-80-3880006512-4290199581-3569869737-363123133:F

clip_p_w_picpath002

7、执行ADMT安装程序,在数据库选择界面,输入第1步中安装SQL主机及实例名,如果为本机安装,默认为:.\sqlexpress

clip_p_w_picpath004

8、因为是新安装,且没有之前数据库需要导入,所以选默认选项:不从现有数据库导入

clip_p_w_picpath006

9、下一步,完成!

clip_p_w_picpath008

10、开启ADMT,能正常启动,安装、配置完成!

clip_p_w_picpath010

11、用ADMT工具,生成PES密钥文件:

Admt key /option:create /sourcedomain:contoso.local /keyfile:c:\contoso.pes /keypassword:sysmicro.cn

clip_p_w_picpath012

12、生存的文件如下,将其COPY到需要迁移的源域控下,

clip_p_w_picpath014

以下步骤在源域完成:即需要迁移的旧域:

1、 在需要迁移的原域控上,安装PES

clip_p_w_picpath016

2、 选择加密文件,即第11步中生成的文件,

clip_p_w_picpath018

3、 输入PES密码,即第11步中,Keypassword后面的值:

clip_p_w_picpath020

4、 开始安装:

clip_p_w_picpath022

5、 指定启动此服务的账号,完成安装、重启!

clip_p_w_picpath024

6、 重启后,手动启动PES服务,以支持密码迁移!

clip_p_w_picpath026

以下步骤在目标域完成:即需要迁移到的新域:

7、 转到新域的域控上,开启ADMT,在Active Directory Migration Tool上点右键,选择User Account Migration Wizard:

clip_p_w_picpath028

8、 指定需要迁移的源域的域名及域控、目标域域名及域控

clip_p_w_picpath030

9、 选择需要迁移的用户:

clip_p_w_picpath032

10、 添加用户:

clip_p_w_picpath034

11、 选择目标OU:

clip_p_w_picpath036

12、 选择:迁移密码:

clip_p_w_picpath038

13、 选中:迁移用户SID:

clip_p_w_picpath040

14、 输入原域中,有权限的账号和密码:

clip_p_w_picpath042

15、 可依实际需要,是否需要迁移用户权限、组等设置

clip_p_w_picpath044

16、 可排除不需要迁移的属性对象:

clip_p_w_picpath046

17、 下一步、完成后,开始迁移!

clip_p_w_picpath048

18、 迁移成功,可以点击View Log,查看详细信息!

clip_p_w_picpath050

19、 进到AD Users and Computers,可以看到,刚才中的两个用户已顺利迁移过来!

clip_p_w_picpath052

20、 ADMT迁移过来的用户,都会将账号属性设置为:下次登录需要更换密码

clip_p_w_picpath054

21、 如果需要针对多个用户去掉此选顶,可以在用户管理中,一次选中多个用户、右键、属性,切换到Account选项卡,在”User must change password at next logon“,在最前面选中、确认即可!

clip_p_w_picpath056

22、 再次打开其中一个用户,下次登录需要更换密码的选项已取消!

clip_p_w_picpath058

23、 如果需要迁移计算机,可参考上面步骤中的20-30,迁移完后,需要在用户计算机上手动更改域及手动迁移用户配置文件!文件服务器等成员服务器,也适用,迁移完后用文件和目录权限会一同迁移到新的域环境,这里不作介绍!