跨地域 Active Directory 樹系整合：使用 ADMT 遷移而非重建

企業擁有三個地理位置分離的 Windows Server 2003 樹系，近期透過 MPLS VPN 互聯。目標是將兩個遠端站點整合為總公司樹系的子網域，同時保留現有使用者帳號、密碼與電腦帳號，**避免重建帳號、重新加入網域的巨大工程**。

推薦方案：Active Directory Migration Tool (ADMT)

微軟免費提供的 ADMT 專為此類重組設計，核心能力：

• 帳號遷移：使用者、群組、電腦帳號跨樹系/網域移動，保留 SID 歷史資訊，確保原有資源存取權限不中斷。
• 密碼同步：可選擇遷移密碼，使用者無須重設密碼即可登入新網域。
• 電腦遷移：自動處理工作站/伺服器脫離舊網域、加入新網域、更新本地設定檔權限，支援遠端無人值守模式。
• 安全性轉換：自動轉換檔案/資料夾/登錄/共用/印表機 ACL 中的舊 SID 為新 SID。

下載與資源

ADMT v3.2 (支援 WS2003) 官方下載：
https://www.microsoft.com/downloads/details.aspx?FamilyID=788975b1-5849-4707-9817-8c9773c25c6c&DisplayLang=en

第三方替代工具

• Quest Migration Manager for Active Directory：功能更豐富、介面更友善、支援大規模並行遷移、詳細報表。
• NetIQ Directory and Resource Administrator (DRA) / Migration Suite：強調委派管理與合規審計。

實施高層路徑圖

1. 建立總公司樹系與遠端站點的雙向樹系信任（前提：功能等級 WS2003+）。
2. 部署 ADMT 控制台於總公司管理站，安裝 ADMT Agent 於遠端網域控制站。
3. 規劃遷移順序：群組 → 使用者 → 電腦 → 伺服器應用（SQL、Exchange 等需額外規劃）。
4. 執行試驗遷移（測試 OU），驗證 SID 歷史、密碼、設定檔、應用相容性。
5. 分批次生產遷移，配合變更管理窗口，保留回滾計畫。
6. 遷移完成後，降級/移除舊網域控制站，清理信任關係、DNS 區域。

關鍵成功因素：充分測試、溝通使用者預期停機時間、備份 AD 資料庫、確保網路連線穩定（MPLS VPN 頻寬與延遲達標）。ADMT 讓「重建」變成「遷移」，將風險與工時壓縮至最低。