admt 3.0迁移不同域帐号密码组详细过程.doc

ADMT 
一. 虚拟环境
Target Domain
Domain Name: (windows 2003)
IP Address:
Source Domain
Domain Name:hnp. (windows 2003)
IP Address:
建立帐号和群组,共享资源
二. 迁移流程
ADMT
NT Domain Restructure to an Active Directory Forest
Active Directory Domain Restructure
Active Directory Domain Resturcture
其中在Interforest和Intraforest中还是有一些区别的
主要一点是Interforest里面对象是克隆,而在Intraforest里面对象是移动
  整个迁移的流程图
三. 迁移前期工作
target域需要Windows 2000或者Windows 2003域功能级别
建立source和target之间的域信任关系
关闭SID Filter, 默认在Windows 2000 SP4以上及Windows2003启用了SID Filter, 在迁移过程中,为了让用户可以正常原有资源,我们需要迁移SID Histrory.
dom命令关闭SID Filter
将目标域的Domain Admins群组加入到Source administrators群组
以下三个步骤可以在ADMT第一次运行时由ADMT自动创建
$$$本地群组
PDC角色上开启TCP/IP Client Support功能
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\LSA
   TcpipClientSupport   DWORD   1

   Group Policy-Default Domain Controllers puter Configuration-Windows Settings-Security Settings-Local Policies-Audit Policy
   Audit accout management   ess,Failure

在target domain controller上安装ADMT (ADMT 2008)
,无论是采用SQL还是WMSDE,默认都会在本地安装WMSDE。

 森林之间迁移使用PES(Password Export Server)服务来迁移密码,PES服务可以安装在source域的任何DC上(支持128位加密,Windows 2003,2000+sp3以上默认支持)。
安装PES服务首先需要一个加密钥匙,这个加密钥匙在target域安装ADMT的机器上创建
 admt key /option:create /sourcedomain:<> /keyfile:<>/keypassword:<>
在source域DC上启动PES服务,需要安装ADMT,
执行%systemroot%\windows\ADMT\PES\
导入刚才在target域导出的加密钥匙
输入服务帐号,建议使用在target域中验证的帐号,如果使用本地系统帐号,确保在target域中,Pre windows patible access group中包含everyone group和Anonymous logon group
在services里面启动PES服务

   按照ADMT迁移文档的建议,共享文件资源,采用Users->Global Groups->Local Domain Groups->Permission的方式
   迁移帐号顺序:Services Account-->Global Group-->User Account
 
   迁移user account步骤:
,选择不更新现有用户密码,生成复杂密码
禁用目标帐户,将用户SID迁移到目标域
转换漫游配置文件

安全性转换向导,先前迁移的对象
用户配置文件
替换安全性引用
3