做任何生產環境下操作前,都應當做好系統級別或者是AD完整數據庫級別的備份!!!!!!
1、在目標域上建立雙向信任關係。
2、在目標域上關閉SID篩選
源域: old.com
目標域:net.com
Netdom trust old.com /domain:net.com /quarantine:NO
/usero:old\administrator /password:*
3、在目標域上安排ADMT工具。
4、在目標域上運行命令行ADMT KEY生成.pes文件(口令不是源域管理員的口令,而是保護pes文件的口令)
admt key old.com c:\*
5、將目標域上的.pes文件複製到源域上。
6、在目標域上修改域控制器的安全策略,將審覈帳戶管理改成“成功”和“失敗”。在源域上也是同樣如此。完成後運行策略刷新工具。
7、在目標域的“AD用戶和計算機”裏面修改一個組,在Bulitin容器下的“Pre-windows 2000 compatible access",並將anonymous login;everyone兩種用戶加入到其組中。
8、在源域上安裝口令導出工具設置口令導出,在安裝過程中找到複製過來的.pes文件即可。完成後要修改註冊表,否則無法使用口令導出工具。
(1)開啓口令導出功能:HKEY Local_machine\system\currentcontrolset\control\LSA下面的"AllowpasswordExport"鍵值,將0改爲1;
(2)允許ADMT工具訪問SAM數據庫:HKEY Local_machine\system\currentcontrolset\control\LSA下面的新建DWORD類型的鍵值,名稱爲"Tcpipclientsupport"將值設置爲1。並重新啓動計算機。
9、在目標域使用ADMT工具進行用戶和計算機的遷移,並使用LDP監視SIDHistory。
2、在目標域上關閉SID篩選
源域: old.com
目標域:net.com
Netdom trust old.com /domain:net.com /quarantine:NO
/usero:old\administrator /password:*
3、在目標域上安排ADMT工具。
4、在目標域上運行命令行ADMT KEY生成.pes文件(口令不是源域管理員的口令,而是保護pes文件的口令)
admt key old.com c:\*
5、將目標域上的.pes文件複製到源域上。
6、在目標域上修改域控制器的安全策略,將審覈帳戶管理改成“成功”和“失敗”。在源域上也是同樣如此。完成後運行策略刷新工具。
7、在目標域的“AD用戶和計算機”裏面修改一個組,在Bulitin容器下的“Pre-windows 2000 compatible access",並將anonymous login;everyone兩種用戶加入到其組中。
8、在源域上安裝口令導出工具設置口令導出,在安裝過程中找到複製過來的.pes文件即可。完成後要修改註冊表,否則無法使用口令導出工具。
(1)開啓口令導出功能:HKEY Local_machine\system\currentcontrolset\control\LSA下面的"AllowpasswordExport"鍵值,將0改爲1;
(2)允許ADMT工具訪問SAM數據庫:HKEY Local_machine\system\currentcontrolset\control\LSA下面的新建DWORD類型的鍵值,名稱爲"Tcpipclientsupport"將值設置爲1。並重新啓動計算機。
9、在目標域使用ADMT工具進行用戶和計算機的遷移,並使用LDP監視SIDHistory。