【文章內容簡介】 置文件從源域復制到目標域，同時保留這些對象的訪問權限和屬性。在不同林中的 域之間遷移用戶帳戶時，原始帳戶仍保留在源域中，且將在目標域中創(chuàng)建新帳戶。由于安全主體（用戶或組）的安全標識符 () 始終包含安全主體所在域的標識符，因此將為目標域中的用戶創(chuàng)建新的 。由于 可以將原始安全主體的 遷移到目標域中的安全主體，因此您不必執(zhí)行其他任務來確保資源訪問，除非您正在林之間使用 篩選。如果您使用的是 和 版本 ，請使用 遷移向導轉移已遷移用戶的郵箱上的安全性。如果您使用的是 服務器，則 不會提供用于遷移郵箱的工具。在這種情況下，請規(guī)劃首先使用 郵箱遷移工具遷移郵箱，然后遷移用戶帳戶。如果您使用組策略來管理文件夾重定向或軟件分發(fā)，請確保在將用戶帳戶遷移到新林時這些策略繼續(xù)適用。此外，如果您使用組策略對象 () 在源域（而不是目標域）中授權或拒絕遠程訪問，則 無法確定要為用戶分配哪種遠程訪問權限。如果您使用組策略來管理文件夾重定向，則將用戶帳戶遷移到新林后，脫機文件將不起作用。脫機文件將存儲作為所有者的用戶的 ；遷移用戶帳戶時， 將發(fā)生更改。若要還原脫機文件的所有權，請使用 安全性轉換向導來替換對包含脫機文件緩存的客戶端計算機中文件和文件夾的權限。為確保在將用戶帳戶遷移到目標域后用戶可繼續(xù)訪問脫機文件，您可以執(zhí)行以下操作：. 轉換客戶端計算機上的安全性以更新脫機文件。. 如果未將用戶帳戶的 歷史記錄遷移到目標域，請轉換承載已重定向文件夾的服務器上的安全性。如果您正在使用文件夾重定向，則會出現(xiàn)以下情況之一： 當在新環(huán)境中文件夾重定向路徑不同時，如果已將用戶帳戶的 歷史記錄遷移到目標域中，則用戶仍可訪問該文件夾。文件夾重定向擴展將文件從源域中的原始位置復制到目標域中的新位置。 歷史記錄使用戶帳戶可以訪問源文件夾。 如果在新環(huán)境中文件夾重定向路徑是相同的，則用戶無法訪問已重定向的文件夾，因為文件夾重定向將檢查已重定向的文件夾的所有權并且會失敗。隨后您必須在服務器上已重定向的文件夾上轉換安全性。如果您使用組策略來管理軟件安裝，且 程序包要求訪問操作（如修復和刪除）的原始源，則在遷移用戶后必須在軟件分發(fā)點轉換安全性，以確保軟件安裝在目標域中繼續(xù)正確執(zhí)行。資源遷移過程 域包括三種類型的資源： 工作站帳戶 成員服務器帳戶 成員服務器上的資源遷移工作站和成員服務器是一個直觀的過程。為將權限分配給用戶而創(chuàng)建的本地組位于本地安全帳戶管理器 () 數據庫中，并且在移動服務器時將移動這些組。您不必重新配置訪問控制列表 ()，以便用戶可以在遷移后訪問資源。若要在域之間遷移域控制器，請從域控制器中刪除 域服務 ()，將其作為成員服務器遷移到目標域中，然后重新安裝 計劃在林間重構 域適用對象： 遷移工具 ( ) 和 開始遷移之前完成必要的計劃任務有助于確保用戶在遷移期間可以繼續(xù)登錄到網絡并訪問資源。計劃域重構涉及以下任務： 確定帳戶遷移過程 分配對象位置和角色 開發(fā)測試計劃 創(chuàng)建遷移失敗時使用的回滾計劃 管理用戶、組和用戶配置文件 創(chuàng)建最終用戶通信計劃為了準備重構過程， 開發(fā)團隊必須從 設計團隊獲取必要的設計信息。下圖顯示了計劃在林之間重構 域所涉及的步驟。確定帳戶遷移過程適用對象： 遷移工具 ( ) 和 對于 遷移工具 ()，可以在遷移帳戶時使用安全標識符 () 歷史來維護資源權限。但是，如果在源域和目標域之間啟用了 篩選功能，并且不信任源域中的管理員，則不能禁用 篩選功能。同時也不能使用 歷史來啟用對源域中資源的訪問。在這種情況下，必須使用其他遷移過程。可以選擇下列三種方法之一在林間遷移帳戶，同時維持用戶對源域中資源的訪問權限： 使用 歷史訪問資源時遷移用戶帳戶。使用此方法，可以刪除對域間信任的 篩選，以便用戶可以通過其 歷史憑據訪問源域中的資源。 如果當前存在林信任，則刪除對林信任的 篩選。（也可以通過以下方法覆蓋林信任：創(chuàng)建外部信任以便讓擁有資源的域信任目標域，然后刪除對外部信任的 篩選。） 如果當前不存在林信任，則在源域和目標域之間建立外部信任。如果用于創(chuàng)建信任的域控制器上運行的是 、 或 ，則您必須在外部信任上刪除 篩選。如果您使用的是 ，則用于創(chuàng)建信任的域控制器可以運行 () 或更高版本。有關此過程的詳細信息，請參閱本指南稍后介紹的使用 歷史記錄時遷移帳戶。 只用一個步驟將所有用戶、組和資源遷移到目標域。有關此過程的詳細信息，請參閱本指南稍后介紹的使用 歷史記錄時遷移帳戶。 以不采用 歷史訪問資源的方式遷移用戶帳戶，但在遷移過程之前轉換所有資源的安全性以確保資源訪問。有關不使用 歷史遷移帳戶的詳細信息，請參閱本指南稍后介紹的不使用 歷史遷移帳戶。若要確定哪種帳戶遷移過程最適合您的組織，必須首先確定是否可以禁用 篩選以及在使用 歷史訪問資源的同時遷移帳戶。如果源域的管理員完全信任目標域的管理員，則可以安全地執(zhí)行此操作。如果符合下列條件之一，則可以禁用 篩選： 信任域的管理員是被信任域的管理員。 信任域的管理員信任被信任域的管理員，并且確信被信任域的管理員已采取適當措施保證被信任域的安全。如果禁用 篩選，則會去除林間的安全邊界，否則會在林間提供數據和服務隔離。例如，目標域中擁有服務管理員權限的管理員或對域控制器擁有物理訪問權限的個人可以修改帳戶的 歷史，以包含源域中域管理員的 。當修改了其 歷史的用戶帳戶登錄到目標域時，它可提供有效的域管理員憑據，因而可以訪問源域中的資源。因此，如果不信任目標域中的管理員或不確信目標域中域控制器的物理安全性，則在源域和目標域之間啟用 篩選，并以不采用 歷史訪問資源的方式遷移用戶帳戶。下圖演示了確定哪種遷移過程適合您的組織的決策過程。使用 歷史保留對資源的訪問權限適用對象： 遷移工具 ( ) 和 授予對資源訪問權限的最佳操作是使用全局組安排用戶，使用域本地組保護資源。將全局組置于域本地組中以授予全局組中的成員訪問資源的權限。全局組只能包含其本域中的成員。在域之間遷移用戶時，還必須遷移用戶所屬的任何全局組。這可以確保用戶可以繼續(xù)訪問由引用全局組的任意訪問控制列表 () 保護的資源。在遷移帳戶和維護源域帳戶的安全標識符 () 歷史之后，當用戶登錄到目標域時， 歷史屬性中的新 和初始 都將添加到該用戶的訪問令牌。這些 確定該用戶的本地組成員身份。然后，將用戶所屬組的 以及這些組的 歷史一起添加到訪問令牌。源域和目標域中的資源將其訪問控制列表 () 解讀為 ，然后在授予或拒絕訪問權時，檢查其 與訪問令牌之間是否匹配。如果 或 歷史匹配，將根據 中指定的訪問權限授予或拒絕對資源的訪問。如果資源在源域中，并且尚未運行安全性轉換，它將使用用戶帳戶的 歷史授予訪問權限。還可以在目標域中的全局組或通用組的 歷史中保留全局組和通用組的初始 。由于本地組成員身份基于 ，因此，在將 遷移到目標域中全局組或通用組的 歷史時，全局組或通用組的本地組成員身份將自動保留。 歷史用于以下目的： 漫游用戶配置文件訪問 證書頒發(fā)機構訪問 軟件安裝訪問 資源訪問如果不使用 歷史進行資源訪問，仍須遷移 歷史以方便對這些項目的訪問。遷移用戶帳戶時使用 篩選適用對象： 遷移工具 ( ) 和 對于域到域信任，安全標識符 () 篩選功能不允許為了能夠訪問信任域內的任意資源而在受信任域外使用 。對于林到林信任， 篩選功能不允許為了能夠訪問信任林中任意域內的任何資源而在受信任林外的任意域中使用 。可以通過以下方式使其他林中的用戶 訪問已啟用 篩選的林中的資源：轉換該資源上的安全性為將該用戶 包含在允許列表中。在兩個目錄林根級域之間建立林信任后，將默認應用 篩選。另外，在運行 () 或更高版本的域控制器之間建立外部信任后，也將默認啟用 篩選。這樣可防止遭受其他林中管理員的潛在安全攻擊。因為 篩選不適用于域內的身份驗證，所以如果資源和帳戶處于同一域內，也可能會通過 歷史記錄允許對資源進行訪問。若要通過使用 歷史記錄來允許用戶或組訪問資源，則該資源所在的林必須信任該帳戶所在的林。有關基于 歷史記錄的攻擊和 篩選的詳細信息，請參閱“配置 篩選設置”()。 分配對象位置和角色適用對象： 遷移工具 ( ) 和 創(chuàng)建一個對象分配表，列出要遷移的所有對象的角色和位置。為帳戶對象（如用戶、組和服務帳戶）創(chuàng)建一個表，為資源對象（如工作站、配置文件和域控制器）創(chuàng)建一個表。在這些表中，列出要遷移的所有對象的源位置和目標位置。在創(chuàng)建帳戶對象分配表之前，確定源域和目標域的域組織單位 () 結構是否相同。如果不相同，必須在對象分配表中標識源 和目標 。有關幫助創(chuàng)建帳戶對象分配表的工作表，請參閱“ 部署工具包作業(yè)幫助”的 下載中的“用戶和組對象分配表”() ()。下圖顯示了用戶和組對象分配表的示例。若要創(chuàng)建資源對象分配表，請標識每個對象的源 和目標 ，并記錄在目標域中的物理位置和角色。有關幫助創(chuàng)建資源對象分配表的工作表，請參閱“ 部署工具包作業(yè)幫助”的 下載中的“資源對象分配表”() ()。下圖顯示了資源對象分配表的示例。制定遷移的測試計劃適用對象： 遷移工具 ( ) 和 遷移工具不包含測試遷移選項。不過，可以制定一個測試計劃，在將對象遷移到新環(huán)境之后系統(tǒng)地測試每個對象，并確定和解決可能發(fā)生的任何問題。通過測試來驗證遷移是否成功有助于確保從源域遷移到目標域的用戶能夠進行登錄，能夠基于組成員身份訪問資源，能夠基于用戶憑據訪問資源。測試還有助于確保用戶能夠訪問遷移的資源。在測試完成之后，可以繼續(xù)遷移小型試點組，然后在生產環(huán)境中逐漸增加每批遷移對象的大小。使用以下過程測試帳戶對象和資源對象的遷移：. 在源域中創(chuàng)建一個測試用戶。在遷移中包括此測試用戶。. 將該用戶加入到適當的全局組以啟用資源訪問。. 以測試用戶身份登錄到源域，并驗證是否可以訪問適當的資源。. 在遷移用戶帳戶，轉換用戶配置文件，以及遷移用戶工作站之后，以測試用戶身份登錄到目標域，并驗證用戶是否保留了所有必要的訪問權限和功能。例如，可以通過測試來驗證： 用戶可以成功登錄。 用戶可以訪問所有適當的資源，如文件和打印共享；可以訪問服務（如消息傳遞）；并可以訪問行業(yè) () 應用程序。尤其重要的是測試對內部開發(fā)的訪問數據庫服務器的應用程序的訪問。 用戶配置文件已成功轉換，并且用戶保留了桌面設置、桌面外觀、快捷方式和對“我的文檔”文件夾的訪問。此外，驗證應用程序顯示在“開始”菜單中并可以從該菜單啟動。遷移用戶帳戶時，無法遷移每個用戶屬性。有關無法遷移的用戶屬性的詳細信息，請參閱本指南稍后介紹的遷移用戶帳戶。在遷移資源之后，以測試用戶身份登錄到目標域，并驗證是否可以訪問適當的資源。如果測試過程中有任何步驟失敗，則標識問題的根源，并確定在需要訪問目標域中的對象之前是否可以糾正問題。如果在需要訪問對象之前無法解決問題，請回滾到原始配置，以確保能夠訪問用戶或資源對象。有關創(chuàng)建回滾計劃的詳細信息，請參閱本指南稍后介紹的創(chuàng)建回滾計劃。作為測試計劃的一部分，創(chuàng)建一個遷移測試矩陣。對于在遷移過程中完成的每個步驟完成一個測試矩陣。例如，如果遷移 批用戶，則需要完成測試矩陣 次，對遷移的每一批完成一次。如果遷移 個成員服務器，則為 個服務器中的每一個都完成該測試矩陣。有關幫助創(chuàng)建測試矩陣的工作表的信息，請參閱“ 部署工具包作業(yè)幫助”的 下載中的“遷移測試矩陣”() ()。下圖顯示了一個完成的遷移測試矩陣示例。創(chuàng)建回滾計劃適用對象： 遷移工具 ( ) 和 通過建立回滾計劃，可以降低對組織中最終用戶帶來的中斷風險。通常情況下，可以隔離和解決在遷移的每個階段中發(fā)生的任何問題。但是，分析潛在風險以及確定用戶影響級別和需要回滾遷移時的停機時間非常重要。如果發(fā)生以下任何情況，可能需要回滾遷移： 在遷移后用戶無法登錄到其帳戶。 在遷移后用戶無法訪問資源。 用戶遷移不完整；例如，沒有遷移密碼。 用戶遷移成功，但用戶工作站遷移或本地配置文件轉換失敗。如果用戶影響或停機時間達到您定義為組織不可接受的級別，則可以實施回滾計劃并繼續(xù)在遷移之前的環(huán)境中運行。由于在重構過程中源域保持不變，因此可以通過完成幾個關鍵步驟還原初始環(huán)境。在遷移帳戶對象之后回滾到遷移之前環(huán)境的步驟：. 在源域中啟用用戶帳戶（如果在遷移過程中禁用了該帳戶）。. 通知用戶從目標域中注銷。. 通知用戶登錄到源域。. 驗證用戶是否可以訪問資源。. 驗證用戶的登錄腳本和用戶配置文件是否按源域中配置的方式工作。資源對象的回滾過程類似于帳戶對象的回滾過程。在遷移資源對象之后回滾到遷移之前環(huán)境的步驟：. 將服務器或工作站的域成員身份更改到源域。. 重新啟動服務器或工作站。. 以用戶身份登錄并驗證是否可以訪問資源。備注 如果必須修改對象（如成員服務器或域控制器）才能將它們遷移到目標域，請在進行修改和執(zhí)行遷移之前備份所有數據。管理用戶、組和用戶配置文件適用對象： 遷移工具 ( ) 和 必須定義如何在林間重構過程中管理您要遷移的對象。通過為遷移對象建立管理過程，可以在源域和目標域中保留這些對象。因此，如果重構過程不成功，則您可以后退到預遷移環(huán)境。規(guī)劃以下類型帳戶遷移對象的管理： 用戶帳戶，包括安全標識符 () 全局組成員身份 用戶配置文件管理用戶帳戶在遷移過程