共2个练习

练习1：设计一个域重构。

练习2：实现一个域重构。

实验场景：

　　Contoso.com的DC为HQDC1，操作系统为Windows Server 2008 R2，IP地址为192.168.1.1，DNS指向自身。

　　Adatum.com的DC为AD-DC1，操作系统为Windows Server 2003，IP地址为192.168.1.201，DNS指向自身。

　　实验的目标是将Adatum.com迁移到指定的子域 EU.contoso.com 。已经为该子域准备了一台名为HQDC2的服务器作为子域的DC，操作系统为Windows Server 2008 R2，IP地址为192.168.1.2，DNS指向自身。

 

练习1：设计一个域重构

任务1：设计一个域重构

问：在EU.contoso.com与Adatum.com之间，你将执行哪种类型的重构？

答：由于两个域位于独立的林，因此需要执行林间重构（interforest restructure）。

 

任务2：创建一个域重构计划

问：哪些对象应被从Adatum.com中移动？为什么？

答：（1）Adatum.com域中的所有的用户和组对象都应被移动到EU.contoso.com，除了位于Users容器的内置的（built-in）用户和组。内置的组只针对于Adatum.com域，没有必要转移到新域。

（2）Adatum.com域中的计算机对象应被移到到EU.contoso.com。但是DC，例如AD-DC1不能被移动，因为它当前是运行在Windows Server 2003操作系统，但EU.contoso.com的域功能级别为Windows Server 2008 R2，这个域功能级别不允许Windows Server 2003计算机作为DC。

问：你将在新域中怎样放置这些对象？

答：由于设计为OU对OU的映射，两个域之间的OU结构不直接匹配。最佳的管理方法是将Adatum.com的所有用户和组对象都移动到EU.contoso.com的某一个OU中，在迁移完成之后再考虑在新域中吸收旧域的OU结构。旧域的计算机对象应位于新域中的Computers容器，而旧域的DC则将退役。

 

练习2：实现一个域重构

任务1：准备域环境

1、 在目的域中配置DNS转发

　　转到HQDC2服务器，打开“管理工具”中的“DNS”，配置DNS转发。

  

 

2、在源域中配置DNS转发 

　　转到AD-DC1服务器，打开“管理工具”中的“DNS”，配置DNS转发。

 

 

3、验证源域的域功能级别

　　转到AD-DC1，打开“管理工具”中的“Active Directry域和信任关系”，验证域功能级别为Windows Server 2003。 

 

4、配置双向信任

　　转到HQDC2，打开“管理工具”中的“Active Directory域和信任关系，为两个域之间添加双向信任。

 

 

 

 

 

 

 

 

 

 

 

 

 

 

5、为执行迁移的帐户配置管理权限 

　　转到HQDC2服务器，打开“管理工具”中的“Active Directory用户和计算机”，修改内置的Administrators组的属性。 

 

 

 

 

 

 

　　再转到AD-DC1服务器，参照上面的步骤，为Adatum\Administrators组添加成员。

 

　　再转到需要迁移的计算机，例如Adatum\AdatumPC1，为本地管理员组添加成员。 

说明：当这个计算机对象的帐户迁入新域后，这台计算机将通过代理程序自动加入域并重启。

6、为密码SID历史迁移启用审核

　　分别在HQDC2和AD-DC1服务器上修改Default Domain Policy。

 

 

 

　　修改了默认的域的组策略之后，在命令提示符下面运行：gpupdate /force

7、创建一个本地组用于支持审核

　　说明：本步骤以及下一步骤的官方解释请见

　　转到AD-DC1服务器，打开“管理工具”中的“Active Directory用户和计算机”，在Users容器中创建一个名为“Adatum$$$”的本地域组。其中 Adatum 为源域的 NetBIOS 名称。

　　注意：请不要向此组添加成员；如果添加成员，则 SID 历史迁移将失败。

8、启用TCP/IP客户端支持

　　转到AD-DC1服务器（此操作要求在源域中担任 PDC 仿真FSMO的DC上进行操作），在命令提示符下面运行：regedit

　　编辑HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LAS，新建一个数据类型为REG_DWORD 的注册表项 TcpipClientSupport，将其值设置为 1 。

9、在已有的域信任上禁用SID过滤 

　　转到HQDC2，在命令提示符下面运行： 

C:\Users\Administrator>Netdom trust EU.contoso.com /domain:Adatum.com /quarantine:No /userD:Administrator /passwordD:* 键入与域用户相关联的密码: 已为此信任启用 SID 筛选功能。身份验证期间返回的授权数据 将只接受来自受信域的 SID。 其他域的 SID 将被删除。 命令成功完成。

10、为导入的用户和组对象创建OU 

　　转到HQDC2服务器，打开“管理工具”中的“Active Directory用户和计算机”，新建一个名为“Adatum”的OU。

 

任务2：安装和配置ADMT

　　转到HQDC2服务器，安装SQL Server 。

　　ADMT需要使用Microsoft SQL Server数据库。建议使用Microsoft SQL Server 2005 Express sp3。如果使用SQL Server 2008 R2数据库时，可能出现以下的错误。

 　　安装方法请参考《安装SQL Server Express版本》

　　Active Directory 迁移工具（ADMT）提供集成的工具集以便在 Active Directory 域服务基础结构中执行迁移和重构任务。Windows Server 2008 R2操作系统的计算机上要求安装v3.2版本。官网下载地址

　　安装了SQL Server之后，安装ADMT v3.2 

  

  

  

  

  

  

 

任务3：迁移用户和组对象

　　转到HQDC2服务器，打开“管理工具”中的“Active Directory迁移向导”。 

  

  

  

  

  

  

  

  

  

  

  

　　说明：选择生成复杂密码选项，将在指定的位置生成密码文件。例如：

  

  

  

  

  

  

  

 

任务4：验证旧域中过渡的访问权限

　　转到HQDC2，打开“管理工具”中的“Active Directory用户和计算机”，展开EU.contoso.com\Adatum这个OU，为用户AdatumUser1重设密码。

 

　　然后仍以Adatum\AdatumUser1帐户以及新密码登录到AdatumPC1计算机。

 

任务5：迁移服务器和ACL

　　转到HQDC2服务器，打开“管理工具”中的“Active Directory迁移向导”。 

  

  

  

  

  

  

  

  

  

  

  

  

  

  

  

　　完成迁移之后，可以启动代理并运行操作。

 

　　转到客户端计算机AdatumPC1，登录后将出现如下提示。 

 

　　关闭代理。 

 

任务6：验证迁移后的计算机的访问权限

　　以EU\AdatumUser1登录到客户端计算机AdatumPC1，检查权限设定。 

 

（附加）任务7：检查对象的详细信息

1、使用LDP检查EU\AdatumUser1的信息

Expanding base 'CN=AdatumUser1,OU=Adatum,DC=EU,DC=contoso,DC=com'... Getting 1 entries: Dn: CN=AdatumUser1,OU=Adatum,DC=EU,DC=contoso,DC=com accountExpires: 0 (never); badPasswordTime: 2012/12/20 16:40:57 中国标准时间; badPwdCount: 0; cn: AdatumUser1; codePage: 0; countryCode: 0; displayName: AdatumUser1; distinguishedName: CN=AdatumUser1,OU=Adatum,DC=EU,DC=contoso,DC=com; dSCorePropagationData: 0x0 = (  ); instanceType: 0x4 = ( WRITE ); lastLogoff: 0 (never); lastLogon: 2012/12/20 16:41:00 中国标准时间; lastLogonTimestamp: 2012/12/20 16:41:00 中国标准时间; logonCount: 1; logonHours:                      ; name: AdatumUser1; objectCategory: CN=Person,CN=Schema,CN=Configuration,DC=contoso,DC=com; objectClass (4): top; person; organizationalPerson; user; objectGUID: b9209829-d220-42f1-95d4-fc0e02654225; objectSid: S-1-5-21-2048830343-1918485759-2035796411-1109; primaryGroupID: 513 = ( GROUP_RID_USERS ); pwdLastSet: 2012/12/20 16:19:24 中国标准时间; sAMAccountName: AdatumUser1; sAMAccountType: 805306368 = ( NORMAL_USER_ACCOUNT ); sIDHistory: S-1-5-21-1865030272-1710735330-795842870-1107; sn: AdatumUser1; userAccountControl: 0x200 = ( NORMAL_ACCOUNT ); userPrincipalName: AdatumUser1@contoso.com; uSNChanged: 13295; uSNCreated: 13216; whenChanged: 2012/12/20 16:41:00 中国标准时间; whenCreated: 2012/12/20 16:16:06 中国标准时间;

 

2、使用LDP检查EU\AdatumPC1的信息

Expanding base 'CN=ADATUMPC1,OU=Adatum,DC=EU,DC=contoso,DC=com'... Getting 1 entries: Dn: CN=ADATUMPC1,OU=Adatum,DC=EU,DC=contoso,DC=com accountExpires: 9223372036854775807 (never); badPasswordTime: 2012/12/20 16:34:29 中国标准时间; badPwdCount: 0; cn: ADATUMPC1; codePage: 0; countryCode: 0; displayName: ADATUMPC1$; distinguishedName: CN=ADATUMPC1,OU=Adatum,DC=EU,DC=contoso,DC=com; dNSHostName: ADATUMPC1.EU.contoso.com; dSCorePropagationData: 0x0 = (  ); instanceType: 0x4 = ( WRITE ); isCriticalSystemObject: FALSE; lastLogoff: 0 (never); lastLogon: 2012/12/20 16:40:42 中国标准时间; lastLogonTimestamp: 2012/12/20 16:34:29 中国标准时间; localPolicyFlags: 0; logonCount: 6; msDS-SupportedEncryptionTypes: 0x1C = ( RC4_HMAC_MD5 | AES128_CTS_HMAC_SHA1_96 | AES256_CTS_HMAC_SHA1_96 ); name: ADATUMPC1; objectCategory: CN=Computer,CN=Schema,CN=Configuration,DC=contoso,DC=com; objectClass (5): top; person; organizationalPerson; user; computer; objectGUID: 9315353c-1a7a-4b2d-a6dd-692e479fe951; objectSid: S-1-5-21-2048830343-1918485759-2035796411-1114; operatingSystem: Windows 7 企业版; operatingSystemVersion: 6.1 (7600); primaryGroupID: 515 = ( GROUP_RID_COMPUTERS ); pwdLastSet: 2012/12/20 16:34:31 中国标准时间; sAMAccountName: ADATUMPC1$; sAMAccountType: 805306369 = ( MACHINE_ACCOUNT ); servicePrincipalName (4): RestrictedKrbHost/ADATUMPC1; RestrictedKrbHost/ADATUMPC1.EU.contoso.com; HOST/ADATUMPC1; HOST/ADATUMPC1.EU.contoso.com; userAccountControl: 0x1020 = ( PASSWD_NOTREQD | WORKSTATION_TRUST_ACCOUNT ); uSNChanged: 13287; uSNCreated: 13268; whenChanged: 2012/12/20 16:34:31 中国标准时间; whenCreated: 2012/12/20 16:32:55 中国标准时间;