Active Directory 網域遷移完整操作手冊 (ADMT 3.x)

遷移前提條件

• 源網域 (如 old.com) 與目標網域 (net.com) 均為 Windows Server 2003 功能等級以上。
• 雙向網域信任已建立且驗證通過。
• 管理員帳號具備源/目標網域 Domain Admins 權限。
• 目標網域已安裝 ADMT (Active Directory Migration Tool) 3.x。

標準遷移 9 步驟

1. 建立雙向信任：

   netdom trust old.com /domain:net.com /twoway /userd:old\administrator /passwordd:* /usero:net\administrator /passwordo:*

2. 關閉目標網域 SID 篩選 (允許 SID History 通過)：

   netdom trust old.com /domain:net.com /quarantine:NO /usero:net\administrator /passwordo:*

3. 目標網域安裝 ADMT：執行 admt.msi，選擇完整安裝 (含資料庫、主控台、命令列工具)。
4. 產生金鑰檔 (.pes) 於目標網域：

   admt key /source:old.com /target:net.com /keyfile:c:\migration.key /keypassword:StrongP@ssw0rd

   此密碼保護 .pes 檔案，非源網域管理員密碼。

5. 複製 .pes 至源網域：將 migration.key 複製到源網域控制站 (如 C:\)。
6. 雙向啟用稽核「帳戶管理」：
   • 預設網域控制站原則 → 進階稽核原則 → 帳戶管理 → 稽核成功/失敗。
   • 執行 gpupdate /force 刷新。
7. 目標網域授權匿名存取 SAM (密碼匯出需求)：
   • ADUC → View → Advanced Features → Builtin 容器 → 「Pre-Windows 2000 Compatible Access」群組 → 加入 Anonymous Logon、Everyone。
8. 源網域安裝密碼匯出伺服器 (PES)：
   • 執行 pwdmig.msi，指定步驟 4 產生的 migration.key。
   • 修改登錄表啟用匯出：

     HKLM\SYSTEM\CurrentControlSet\Control\Lsa\AllowPasswordExport = 1 (DWORD)
     HKLM\SYSTEM\CurrentControlSet\Control\Lsa\TcpipClientSupport = 1 (DWORD, 新增)

   • 重新啟動源網域控制站 生效。
9. 執行 ADMT 遷移嚮導/命令列：
   • 選擇遷移對象：使用者、群組、電腦。
   • 啟用「遷移 SID History」保留源網域 SID，確保資源存取無縫切換。
   • 使用 LDP.exe 監控目標物件 sIDHistory 屬性驗證遷移結果。

關鍵驗證點

• 遷移後使用者可用原密碼登入目標網域 (SID History + 密碼同步)。
• 電腦帳號遷移後需重新加入目標網域 (或使用 ADMT 電腦遷移嚮導自動處理)。
• 群組類型轉換：通用組 → 全域/網域區域組 (視範圍需求)。
• 遷移後執行 gpupdate /force 刷新群組原則。

常見坑點

• 信任關係驗證失敗 → 檢查 DNS 條件式轉寄區域、防火牆 445/135/139/389/88/53/123 埠。
• SID History 未寫入 → 確認目標網域功能等級 ≥ Windows 2003 原生、關閉 SID 篩選、PES 服務運行中。
• 密碼無法同步 → 檢查源網域 AllowPasswordExport、TcpipClientSupport 登錄值、PES 服務狀態、.pes 檔案路徑/密碼正確。