Active Directory 網域遷移完整步驟指南

將舊網域遷移至新網域需嚴謹規劃，以下為關鍵步驟總覽：

遷移前置作業

1. 在目標網域建立雙向信任關係。
2. 於目標網域關閉 SID 篩選：
   Netdom trust old.com /domain:net.com /quarantine:NO /usero:old\administrator /password:*
3. 在目標網域安裝 ADMT (Active Directory Migration Tool) 工具。
4. 執行 ADMT 金鑰生成 .pes 檔案（密碼用於保護 .pes 檔，非源網域管理員密碼）：
   admt key old.com c:\*
5. 將 .pes 檔複製至源網域。

稽核與權限設定

6. 雙方網域控制器皆啟用「稽核帳戶管理」的成功與失敗事件，並執行 gpupdate /force 刷新策略。
7. 於目標網域「AD 使用者與電腦」中，將「Pre-Windows 2000 compatible access」群組加入 Anonymous Login 與 Everyone。

密碼匯出與遷移執行

8. 源網域安裝密碼匯出工具，指定 .pes 檔，並修改登錄：
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\AllowPasswordExport = 1
   新增 DWORD TcpipClientSupport = 1，重啟電腦。
9. 於目標網域使用 ADMT 遷移使用者與電腦，透過 LDP 監視 SIDHistory 屬性確認遷移狀態。

本文整理自 51CTO 技術部落格實務經驗。