2003不同域间密码迁移

合集下载

win2003 exchange2003 域控同域迁移到 win2008r2 exchange2010 域控

win2003+exchange2003同域迁移到win2008r2+exchange2010目的是将原来部署在win2003上的exchange2003服务器中的用户和邮件全部迁移到新建立的win2008r2服务器上的exchange2010中。

按照安装win2008r2---加入域---取代原来的win2003域控---IIS---证书服务器---证书认证---部署exchange2010---迁移用户的步骤执行。

旧服务器已经运行了3年，因为近期陆续出现严重错误，最后决定进行迁移。

决定首先使用Acronis Backup & Recovery 10 Server for Windows将旧服务器整体制作成为一个vm虚拟机并运行，然后再在虚拟机环境下安装一个win2008r2新服务器加入旧服务器域，迁移域控后删除旧服务器的域控，在新服务器中部署IIS、证书服务器、exchange2010，然后将所有用户和邮箱迁移到新服务器中，删除旧服务器的exchange2003，最后用Acronis Backup & Recovery 10 Server for Windows将建成的新服务器win2008r2+exchange2010制作成映像文件，裸机还原到一个新硬盘上，将硬盘安装到真实服务器，投入使用。

部署环境：旧服务器：omoserver，win2003sp2，本身为域控AD（），已经部署有exchange2003，ip 地址为192.168.1.91管理员administrator 密码omoxxxx0）新服务器：omoserver2，win2008r2，将成为新域控AD（），最后准备部署exchange2010,ip 地址为192.168.1.61管理员administrator 密码xitongguanliyuanxxxx0）部署环境为vmware7虚拟机。

安装过程中的存档都是指虚拟机快照。

主域控、辅助域控的搭建以及主域控制器的迁移(2003)

一、主域控的搭建：1、主、辅助系统环境：Microsoft windows server 2003 enterprise edition。

主计算机名：A/辅助计算机名:B。

2、主域控制器的搭建开始→运行，输入dcpromo，按活动目录安装向导进行3、在“域控制器类型”中选择“新域的域控制器”4、在“创建一个新域”中选择“在新林中的域”5、输入新域的DNS全名“”6、输入NETBIOS名“JIAJIE”7、输入轰动目录数据库和日志文件的存储位置8、共享的系统卷的位置9、选择“DNS注册诊断”中的第二项10、权限中选择windows 2000或windows server 2003兼容11、输入活动目录的管理员密码“adchina”12、正在安装，完成后重启。

二：辅助域控的搭建：1、主域控制器已经搭建完毕，接下来搭建辅助域控制器，首先要设置辅助域控ip地址，主域控的ip地址是1.1.1.1，255.0.0.0，辅助ip地址就设置成1.1.1.2，255.0.0.0，DNS设置成主域控的ip 1.1.1.1，2、检查主辅是否相通3、开始安装“win+R”，在运行里输入“dcpromo”4、在域控制器类型处悬在“现有域的额外域控制器”5、输入够权限的用户名、密码和域6、输入额外的域控制器域名“”7、目录服务还原密码“adchina”8、安装完成后，重启。

经测试，主域控制器的数据能及时复制到辅助域控上面三、主域控制器的迁移一般步骤：1、首先有备份域控制器2、把FSMO角色强行夺取过来3、设置全局编录具体操作:1、运行→输入“ntbackup”，选中system state 进行备份。

2、RID、PDC、基础结构主机角色迁移在辅助域控制器上，打开“Active Directory用户和计算机”在域名上右击，然后点击连接到域控制器，选择辅助域控，最后确定。

在域名上右击，然后点击操作主机，点击RID选项，然后点击更改，最后确定。

win2003域控制器升级迁移到win2008R2详细步骤

win2003域控制器升级迁移到win2008的详细步骤原 Domain Control情况如下：计算机名： whdgap01.WHDG.localIP地址： 192.168.2.31/24 （DNS:192.168.2.31;202.96.134.133 GW:192.168.2.1/24）操作系统： Windows Server 2003 Enterprise Edition SP1提供服务： Domain Control、DNS完成升级后，增加 Server2008为域控制器计算机名： whdgap01.WHDG.localIP地址： 192.168.2.31/24 （DNS:192.168.2.31;202.96.134.133 GW:192.168.2.1/24）操作系统： Windows Server 2008 R2 enterprise提供服务： Domain Control、DNSWin2003域添加Win2008域控制器1、安装Windows Server 2008服务器。

2、将win2008加入域whdg中3、对Forest（林）、 Domian（域）和RODC（域控制器）进行扩展。

在原 Windows Server 2003 域控制器上运行 Windows Server 2008的ADPREP工具，该工具位于 Windows Server 2008 光盘中的 Source\adprep目录下，复制 adprep目录到Windows Server 2003域控制上的任意磁盘分区中。

注意：扩展操作在DC2003（域控制器）上进行操作。

开始－运行－CMD，进入D分区的ADPREP目录输入 adprep /forestprep 根据提示，选择”C “，并按下 Enter键继续。

（林拓展）完成 Forest扩展。

接下来的是 RODC 请输入：adprep /rodcprep。

完成 RODC的扩展之后，接下来进行的是 Domain的扩展。

进行Win2000到Win2003域的迁移

进行Win2000到Win2003域的迁移，该域现有500多个用户，负责医院各系统服务的认证工作。

表2 新域服务器信息原有域服务器的操作系统均为Windows 2000 Server,而本次新的域服务器操作系统改用Windows 2003 Enterprise Server。

要实现2000域到2003域的迁移，我们主要通过以下步骤实现：1.在拥有架构主机角色（schema master）的域控制器上更新林信息。

2.在拥有结构主机角色（infrastructure master）的域控制器上更新域信息。

3.将两台新服务器（Windows 2003系统）作为额外域控制器加入2000域中。

4.通过ntdsutil工具将5种FSMO角色转换到新主域控制器上。

5.开启新域控制器的全局编录（等待更新同步）。

6.去除原有域控制器的全局编录。

一、更新林信息1.到架构主机A1服务器上做更新林的操作。

更新林或域的工具Adprep.exe位于Windows 2003 Enterprise Server安装光盘的I386目录下,将操作系统光盘插入光驱，并把I386目录拷贝到服务器本机D盘根目录下。

运行窗口中键入cmd，进入命令行模式后点击“开始→运行→cmd”，将当前目录切换到Adprep.exe目录下。

具体操作如下：C:Documents and SettingsAdministrator>D:D:>cd win2003D:win2003>cd i386D: win2003i386>2.运行adprep /forestprep更新林信息，在操作之前应确保Windows 2000系统已经打上SP2以上补丁,如满足要求则依照提示输入“C”,并按回车键，其生成信息如下：adprep /forestprepADPREP 警告:运行Adprep之前，此林中的所有Windows 2000域控制器必须升级到带QFE 265089的Windows 2000 Service Pack 1（SP1），或者升级到Windows 2000 SP2（或更新）。

windows 2003 域密码策略设置

windows 2003 域密码策略设置在域控制器上的开始菜单中打开“运行”，输入DSA.MSC后回车，即打开活动目录的用户和计算机管理控制台。

在域节点右键，进入属性，打开组策略选项卡，在里边找到Default Domain policy这个GPO选中他，点击下面的编辑，现在就会打开组策略编辑器，在这个组策略编辑器中找到一下路径：计算机配置-WINDOWS设置-安全设置-帐户策略-密码策略。

在这个路径下找到“密码必须符合复杂性要求”设置为禁用，“密码长度最小值”设置为0。

这样你就可以创建空密码的用户帐户了（当然在这里你也可以为你的域设置你自己需要的密码策略），完成了以上设置后并没有完，还有最后一步，就是在开始菜单的运行中输入“GPUPDATE /FORCE”这个命令。

另：1、如何在WIN2003中添加用户？每次添加用户时总是提示我不符合密码策略，怎么办？问：如何在WIN2003中添加用户？我将公司的主域服务器改成win2003，但是win2003却不让我添加用户，每次添加用户是总是提示我不符合密码策略，怎么办？答：对于2003域，默认域的安全策略与2000域不同。

要求域用户的口令必须符合复杂性要求，且密码最小长度为7。

口令的复杂性包括三条：一是大写字母、小写字母、数字、符号四种中必须有3种，二是密码最小长度为6，三是口令中不得包括全部或部分用户名。

当然也可以重新设默认域的安全策略来解决。

操作如下：开始/程序/管理工具/域安全策略/帐户策略/密码策略：密码必须符合复杂性要求：由“已启用”改为“已禁用”；密码长度最小值：由“7个字符”改为“0个字符”。

使此策略修改生效有如下方法：1、等待系统自动刷新组策略，约5分钟~15分钟2、重启域控制器（若是修改的用户策略，注销即可）3、使用gpupdate命令。

（推荐使用这个）说明：2000中使用的刷新组策略命令secedit /refreshpolicy machine(或user)_policy /enforce 命令在03中已由gpupdate取代。

从2003域升级到2008R2域

对于2003 域控升级到2008 R2 域控的操作。

环境：AD 为单台2003 sp2 IP:172.16.10.10/24exchange2003 一台IP:172.16.10.20/242008 R2 一台IP:172.16.10.30/24客户机一台IP 随意网关：172.16.10.254 DNS为172.16.10.10升级前参考的文档为/viewthread.php?tid=53495&from=favorites/872211/197132不过区别在于，文档的案例是从2003 企业版升级到2008企业版，我只有2008 R2各版本，所以现在来做从2003 SP2 企业版升级到2008 R2 企业版。

作业前，将2003域控备份系统状态，在此不多说。

按照参考文档，先在2003域上升级域架构，在2003 域控IP：172.16.10.10 上放入2008 R2 光盘，此光盘为D盘，CMD下进入D:\support\adprep目录，（注：此处与参考的案例中的不一致，应该是2008和2008R2之间的区别）输入adprep.exe /forestprep进行2003 Schema 林架构升级。

看上面的图应该是不行的，为此我参考第二篇文档，/872211/197132用adprep32.exe来扩展这里按C 再按enter 确认继续，按其他键和enter 取消操作。

运行中，会修改一大堆文件。

中间就不截图了，经过漫长的等待（大约10分钟），终于完成了。

升级2003 AD Schema 域架构； adprep32.exe /domainprep出现‘Adprep detected that the domain is not in native mode。

’这时候需要那么你需要提高你的域的功能级别。

- 去到Active Directory域和信任关系.- 右键单击域对象，并选择“提升域功能级别…”- 选择“Windows Server 2003″并点击提高提升完后，再来继续这步提示后面要加参数完整命令为：adprep32.exe /domainprep /gpprep如上图，这次成功了。

windows server 2003至2008R2的迁移

Windows server 2003 升级至windows server 2008 R2运行环境：Windows Server 2003 是原有的域控制器，域名为，此域环境下运行Exchange 2010。

现要将原有2003域控升级至2008R2，保证Exchange2010正常运行。

步骤如下：1.新建一个windows 2008 R2系统，将其加入原有的2003的域中。

图12.在2008R2上使用命令“netdom query fsmo”查看当前域中的五种主机角色，如图2所示，当前5种角色均在旧的域控制器上（要注意的是本命令需要安装windows 的Support Tools）图23.更新Active Directory架构，该更新需要在架构主机上进行操作，同事进行的操作的用户需要是 Enterprise Admins、Schema Admin 和 Domain Admin组的成员。

1)更新林架构在原有的2003域控制器上插入2008R2系统光盘，打开\support\adprep目录下，运行adprep /forestprep, 在警告窗口中键入C，确认所有的版本正确后，然后回车开始进行更新林架构。

在cmd下进入\support\adprep目录（“cd..”返回上一级目录），然后运行命令adprep32.exe /forestprep。

（adprep.exe是64位2003 Server使用）如下图3所示。

图3按照提示：现有环境中所有的域控制器都满足版本的要求，按C然后按Enter键。

直至林架构扩展成功。

图4图52)如果需要部署RODC，需要事先扩展RODC，同一目录下使用命令adprep32.exe /rodcprep，如图6所示。

图63)更新域架构同样在\support\adprep目录下，运行adprep /Domainprep /gpprep 进行域架构的更新。

如图7所示。

图7经过以上几步扩展forest（林）、rodc（只读域控）、domain（域）、gp（组策略）后，就完成了将win2008r2提升为新域控的准备工作。

Win2003_SP2迁移Exchange_Server_2003

Win2003 SP2迁移看看现有环境:一台DC+EXCHANGE2003多台加到域的内网客户端.(装有OUTLOOK)拓朴如下:更新过程中的环境如下:因购买了新的硬件.替换掉原有的邮件服务器.方案的最终图:就是拿掉旧DC+Exchange服务器. 如下所示:先分析下当前环境,(为了验证结果):一台加入域的客户端.开始动手了.先转移DC.那么就要建立BDC.具体过程在这里就不写了,我把主要的图贴上来,(在AD版块上有详细描述)这是准做为BDC的机器.把这机器提升为BDC详细搭建额外DC描述首先我们要明确为什么需要搭建额外DC：假如说在企业网络环境中只有一个域控制器，所有的信息都存储在这个域的数据库中，而域的数据库只是个逻辑的概念，最终是要存储在一台服务器上。

那么，这台服务器的可靠性、可用性也决定了域的可靠性。

假如在某个时间DC因为某种原因离线，此时用户就无法正常登录或访问网络资源。

一个DC是满足不了网络的可靠性，那么为了DC在发生故障时提供容错和解决DC的负载压力，我们需要创建额外的域控制器。

试验环境如下图：下面我们在perth上安装额外域DC—BDC和安装第一台DC一样，首先要考虑一下在安装时所具有的环境1、当前登录者必须是本地超级管理员2、和DC能正常通讯3、DNS指向DC在确认无误后我们开始安装额外DC和安装DC一样，在开始运行中输入dcpromo，单击确定单击下一步操作系统兼容性：单击下一步域控制器类型：我们在此创建的是额外域控制器，因此选择“现有域的额外域控制器”，单击下一步网络凭据：注意，此处输入的用户名和密码是域管理员的，而不是本地管理员。

确认填写信息无误后单击下一步填写，单击下一步数据库文件夹存放路径：我们在此选择默认就放到C盘，但是在实际环境中出于安全性考虑，不能放在系统盘。

单击下一步SYSVOL文件夹存放路径：解释同上目录还原模式密码：是为了在活动目录出现故障还原时所提供的密码，创建完毕后单击下一步确认以上信息无误后单击下一步下图是正在安装活动目录，我们耐心等待片刻活动目录已安装完成，如下图，单击完成安装完成后选择“立即重新启动”OK，额外DC到此部署完成.BDC建立成功后.安装DNS.BDC的DNS指向自己.接着在运行输放dnsmgmt.msc新建正向区域.(可通过-辅助区域-复制DC上的DNS)允许动态更新.安装完成.重新加载DNS,目的是让区域生成SRV(资源指针记录). 用到命令如图,,或重新启动.再打开dnsmgmt.msc.如图所示:提升BDC作为GC.安装EXCHANGE.并打上SP2补丁(原本的版本也是SP2). 安装Exchange前准备.先装上相应服务支持.开始安装.欢迎向导,同意协议,....打上SP2补丁.Exchange的安装工作完成后,开始把角色(我这环境第一台DC默认是5种角色的拥有者)转移到BDC身上了.我的做法是在DC上降域,角色自动转移到BDC上.在原有DC上操作,(注意图中文字)检查下角色的在谁身上,之前那旧DC的计算机名为LAB2.nwtrader.msft 新的DC(BDC)名为LAB3.nwtrader.msft检查如下：AD用户和计算机、AD域和信任域、MMC控制台活动目录环境准备好后,开始对EXCHANGE动手了.1.首先,将所有公用文件夹复制到新服务器.删除原有LAB2的公用存储.最后只让LAB3来作为公用文件夹存储.确定后,等同步完成,检查结果.结果如下 ,说明同步完成.(双方服务器会显示一至)公用文件夹下所有文件夹重复操作一次,刚才是对a实行转移.我这环境,还有b 文件夹.以及Internet Newsgroups都执行了.检查结果显示同步.如果此公用文件夹具有子文件夹，并且您希望在目标服务器上有这些子文件夹的副本，请右键单击顶级公用文件夹，单击“所有任务”，然后单击“传播设置”。

windows server 2003域迁移到server 2008全程图解

windows server 2003域迁移到server 2008全程图解2003域—>2008域移迁1Windows server 2008功能强大,其功能远远超远windowsserver 2003.伴着远远的推移随,windows server 2008已远逐步在企远中搭建远用,可是基于管理平台的旧windows server 2003的远远,今天我远看一下怎来windows server 2003的活远目远是如何向windows server 2008中移的迁远远远境如下远,下面我远远始远远一、远算机将beijing加入到域中首先有将装windows server 2008的远算机beijing加入到windows server 2003域中,在beijing上操作打远远远置,把网DNS指向DNS服远器,在此我远指向istanbul2更改系远性,把远算机加入到域中,如下远属3客远端加入域需要远限,因此加入域远需要远入域管理远远远和密远4下远远示加入域成功,远远定确在加入域后重新远远算机启5二、远windows server 2003活远目远升远,在istanbul上操作～1、提升域功能远远远远远始——程序——管理工具—— AD用远和远算机,右远“”,远远“提升域功能远远”功能远远远远“windows server 2003”,远远提升62、提升林功能远远程序——管理工具—— AD域和信任远系,右远“AD域和信任远系”,远远“提升林功能远远”远远远始——远远“windows server 2003”,远远“提升”3、林准远首先把windows server 2008的系远远放入到光远中,打远命令提示符远远,远入框,cd sources----------,cd adprep--------,adprep d:--------/forestprep然后按C远---------,按回远远74、域准远在林准远完成后远接着远入adprep /domainprep,远行域准远远了看楚把清windows server 2003的AD移到迁2008中,我特意建了用远,如下远两个8三、在windows server 2008上搭建AD服远,在beijing上操作～远远服远器管理器----------角色----------添加角色9勾远“AD域服远”,远远下一步远远下一步10安完装AD域服远后在行下远入运dcpromo命令远行升域远远下一步11远远“向远有域添加域控制器”,远远下一步12远入域名,远远“远置”,然后远入域管理远远和密远号13远远下一步14远远是远远下一步15DNS服远器和全局远远远远默远,远远下一步16远远“是,远远算机使用远远的将IP地址”17远远“是”,远远下一步18远入AD据远文件远存远路,在此远远远,因此我远远远默远,远远下一步数径19远入目远远原模式密远20系远远始配置AD域服远,我远勾远上“完成后重新远”启21AD域服远安完成后自远重远算机装会启四、将windows server 2003 上的操作主机远移到windows server 2008,在beijing上操作～此远操作主机的五角色远在个windows server 2003上,因此我远需要把远移到它windowsserver 2008上。

windows 2003 server 域控无缝转移

故障描述：Windows server 2003 主域中毒杀毒后总是提示内存不够，及注册表报错分析域故障和修复注册表这个活基本上不是人干的，另辟蹊径干脆重装主域所花费的时间更短。

解决问题更彻底。

目前网络中有主域和额外的域各一台并且主域和额外的域都做有GHOST 备份。

（注意：主域恢复千万不能直接使用GHOST 恢复，不然各种权限设置都会回到GHOST备份时间）第一步在主域上的运行中输入regsvr32 schmmgmt第二步在主域上的运行中输入mmc回车后弹出如下窗口，点击操作添加/删除管理单元并添加如下图所示4个管理单元点击确定后1、鼠标右键单击Active Directory 架构选择更改域控制器，在弹出的窗口内输入额外域的域名。

2、鼠标右键单击Active Directory 架构选择操作主机，在弹出的对话框中点击更改。

3、鼠标右键单击Active Directory域和信任关系，选着连接到域控制器，在弹出的窗口中选着额外的域控制器点击确定。

4、鼠标右键单击Active Directory域和信任关系，选着操作主机，在弹出的窗口中选着更改5、鼠标右键单击Active Directory用户和计算机，选着连接到域控制器，在弹出的窗口中选着额外的域控制器点击确定。

6、鼠标右键单击域名主机（），选着操作主机，分别点击RID，pdc,结构点击更改现在主域的FSMO 的五个角色全部都转移到额外的域，现在额外的域（server2）变成了主域现在我们来验证一下找到windows 2003的安装光盘安装SUPTOOLS 工具在CMD 窗口下输入netdom query fsmo结果显示5个角色全部转移。

接下来我们要把SERVER 这台域降级为普通域成员，在server的运行窗口中输入dcpromo 下一步下一步因为网络中还有一台SERVER2 为主域，所以不要选着直接点击下一步输入管理员密码后点击下一步开始降级域如果降级过程遇到错误，点击上一步，然后在点击下一步即可。

红山迁移Windows server 2003操作文档

windows 2003 P2V操作文档
二、迁移步骤
1.在目标windows2008系统中安装Microsoft .NET Framework 4.0
2.在目标windows2003系统中安装迁移工具XenConvert 2.5（按系统版本安装64位或者
32位）
3.安装完毕之后，运行XenConvert，选择下一步
4.选择需要迁移的分区以及调整目标分区大小，点击下一步
5.输入目标vGate服务器信息，点击下一步
主机名：vGate服务器IP地址
用户名：vGate用户名（默认为root）
密码：vGate密码
工作区：选择迁移服务器的本地分区中较大剩余空间的分区，如提示分区空间不足，可以在迁移服务器上挂载一块移动硬盘作为工作区
6.输入VM（虚拟机）名称以及选择迁移目标存储，点击下一步
7.确认迁移信息后，点击转换
8.开始迁移9.
注：此时迁移以完成，“状态”提示：未能导入OVF数据包。

这个提示可以不去理会，其实已经成功迁移至目标vGate服务器中
10.通过Halsign Console连接到vGate服务器，启动迁移成功的虚拟机
11.点击上面DVD驱动器，选择“HalsignTools.iso”文件，在虚拟机中执行安装
12.重启虚拟机之后，就能正常使用该虚拟机了。

Windows_2003域用户帐户的导出导入

Windows 2000/03域用户帐户的导出/导入作为网管，有时我们需要批量地向AD域中添加用户帐户，这些用户帐户既有一些相同的属性，又有一些不同属性。

如果逐个添加、设置的话，十分地麻烦。

一般来说，如果不超过10个，我们可利用AD用户帐户复制来实现。

如果再多的话，我们就应该考虑使用脚本创建用户或使用csvde.exe或ldifde.exe导出与导入用户来减轻我们的工作量了。

一、AD用户帐户复制1、在“AD域和计算机”中建一个作为样板的用户，如S1。

2、设置相关需要的选项，如所属的用户组、公司、部门、登录时间、用户下次登录时需更改密码等。

3、在S1上/右键/复制，输入名字和口令。

4、按向导完成用户创建的过程。

5、在创建新的用户时，可以使用样板用户进行“复制”，创建新的用户说明：A.只有AD域用户帐户才可以复制，对于本地用户帐户无此功能。

B.帐户复制可将在样板用户帐户设置的大多数属性带过来。

具体如下：二、利用脚本创建大量AD用户帐户利用脚本创建大量AD用户帐户时，可以使用两种方法进行创建。

例如，我们在当前域的USER容器创建1000用户帐户的脚本，两种方法如下：1、利用脚本创建用户帐号（用户可参考下例）。

Set objDomain = GetObject(LDAP://dc=fabrikam,dc=com)Set objOU = objDomain.Create("organizationalUnit", "ou=Management") objOU.SetInfo说明：在域创建一个名叫Management的OU。

Set objOU = GetObject(LDAP://OU=Management,dc=fabrikam,dc=com)Set objUser = objOU.Create("User", "cn= AckermanPila")objUser.Put "sAMAccountName", "AckermanPila"objUser.SetInfoobjUser.SetPassword "i 5A2sj*!"objUser.AccountDisabled = FALSEobjUser.SetInfo说明：在Management OU下创建一个名叫AckermanPila的用户，口令为i5A2sj*!，启用。

Windows2003主备域控制器转换方法

备份域升为主域控制器[日期：2007-10-01] 来源：作者：[字体：大中小] AD恢复主域控制器本文讲述了在多域控制器环境下，主域控制器由于硬件故障突然损坏，而又事先又没有做好备份，如何使额外域控制器接替它的工作，使Active Directory正常运行，并在硬件修理好之后，如何使损坏的主域控制器恢复。

----------------------------------------------------------------------目录Active Directory操作主机角色概述环境分析从AD中清除主域控制器对象在额外域控制器上通过ntdsutil.exe工具执行夺取五种ＦＭＳＯ操作设置额外域控制器为ＧＣ（全局编录）重新安装并恢复损坏主域控制器附:用于检测AD中五种操作主机角色的脚本----------------------------------------------------------------------一、Active Directory操作主机角色概述Active Directory 定义了五种操作主机角色（又称ＦＳＭＯ）：架构主机schema master、域命名主机domain naming master相对标识号(RID) 主机RID master主域控制器模拟器(PDCE)基础结构主机infrastructure master而每种操作主机角色负担不同的工作，具有不同的功能：架构主机具有架构主机角色的DC 是可以更新目录架构的唯一DC。

这些架构更新会从架构主机复制到目录林中的所有其它域控制器中。

架构主机是基于目录林的，整个目录林中只有一个架构主机。

域命名主机具有域命名主机角色的DC 是可以执行以下任务的唯一DC：向目录林中添加新域。

从目录林中删除现有的域。

添加或删除描述外部目录的交叉引用对象。

相对标识号(RID)主机此操作主机负责向其它DC 分配RID 池。

Win-2003安装、迁移域控制器

将成员服务器升为域控制器--1(安装第一台域控制器)目前很多公司的网络中的PC数量均超过10台:按照微软的说法，一般网络中的PC数目低于10台，则建议建议采对等网的工作模式，而如果超过10台，则建议采用域的管理模式，因为域可以提供一种集中式的管理，这相比于对等网的分散管理有非常多的好处，那么如何把一台成员服务器提升为域控?我们现在就动手实践一下:本篇文章中所有的成员服务器均采用微软的WindowsServer2003，客户端则采用WindowsXP。

首先，当然是在成员服务器上安装上WindowsServer2003，安装成功后进入系统，我们要做的第一件事就是给这台成员服务器指定一个固定的IP，在这里指定情况如下:机器名:ServerIP:192.168.5.1子网掩码:255.255.255.0DNS:192.168.5.1(因为我要把这台机器配置成DNS服务器)由于WindowsServer2003在默认的安装过程中DNS是不被安装的，所以我们需要手动去添加，添加方法如下:“开始—设置—控制面板—添加删除程序”，然后再点击“添加/删除Windows组件”，则可以看到如下画面:向下搬运右边的滚动条，找到“网络服务”，选中:默认情况下所有的网络服务都会被添加，可以点击下面的“详细信息”进行自定义安装，由于在这里只需要DNS，所以把其它的全都去掉了，以后需要的时候再安装:然后就是点“确定”，一直点“下一步”就可以完成整个DNS的安装。

在整个安装过程中请保证WindowsServer2003安装光盘位于光驱中，否则会出现找不到文件的提示，那就需要手动定位了。

安装完DNS以后，就可以进行提升操作了，先点击“开始—运行”，输入“Dcpromo”，然后回车就可以看到“ActiveDirectory安装向导”在这里直接点击“下一步”:这里是一个兼容性的要求，Windows95及NT4SP3以前的版本无法登陆运行到WindowsServer2003的域控制器，我建议大家尽量采用Windows2000及以上的操作系统来做为客户端。

林内域或者林间域之间的账户、计算机迁移---实际操作经验

林内域或者林间域之间的账户、计算机迁移经过本人试验，觉得初期准备工作是很重要的。

项目开始前请大家一定要做好基础架构调研、需求确认、制定初步计划并预留一定的buffer时间。

要知道外接因素和环境因素是瞬息万变的：）父域与子域之间默认是信任的，有天在想父子域之间的用户是否可以任意登陆，问了两同事，说法都不一样。

有个同事是说是可以互相登陆的，但是自己一直想是否能登陆呢，个人认为不能，可又不能让自己信服。

做了个父子域，两台客户机，XP SP3 域控 WINDOWS 2003 假设主域为hxfx.local，子域为z00w00.hxfx.local客户机xp1加入父域，客户机xp2加入子哉，父域中有一个用户为pang.ding，子域中有一个用户为z00w00.ding。

现提问：1、在xp2中用z00w00.ding登陆到hxfx.local是否成功?然后在xp2中用z00w00.ding登陆到z00w00.hxfx.local 是否成功？2、在xp1中用z00w00.ding登陆到z00w00.hxfx.local 是否成功？在xp1中用z00w00.ding登陆到hxfx.local是否成功？如果默认父域用户无法在子域中登录？有没有通过其他办法完成呢？答案：1、不可以可以2、可以不可以假设有这么情况，公司A（)收购了公司B(), a和b先前都是独立森林里的根域，现在要将b公司的域树（)迁移到a公司并做子域（),请问如何操作，还有怎么保证中的用户和计算机的数据不会丢失，谢谢！不可能直接进行合并，只能通过森林间迁移实现。

森林森林1. 建立子域2. 建立与的信任3. 执行到的用户和计算机迁移4. 森林离线5. 建立子域6. 执行到的用户和计算机的迁移后面有3个pdf，一个是这个帖子的，一个是另外收集修改的详细图文步骤，还有一个是微软官方出的最佳实践操作手册，方便查阅。

源域：Windows Server 2003 DC （域名，NetBIOS域名DomainA）目标域（新建域）：Windows Server 2003 DC （域名，NetBIOS域名DomainB) 要求：平滑迁移，用户在迁移过程中始终能访问源域的资源 <注意：以下步骤都是以这个环境为中心展开的，如果环境不一样，需根据具体情况调整相应步骤。

实测_windows_2003域控迁移到windows_2008域控[1]

实测Windows 2003域控迁移到Windows 2008域控Taylen 2010.5一、前期背景：1.现有邮件服务器域控都为Windows 2003系统。

为方便将Exchange2007升级到Exchange2010，需要将Windows 2003域控升级为2008 。

二、前期硬件、系统准备：1.一台原有域控服务器，系统为Windows 2003 。

2.另外一台需要预装Windows 2008系统。

三、配置Windows Server 2008 域控兼容环境：1.首先将Windows 2008 系统加入Windows 2003 域控的域中。

这里为测试的，暂为。

加入以后重启2008系统。

2.重启后用shdc\administrator登录2008系统。

在测试进行之前，我们来查看一下，现有的FSMO角色情况。

（运行CMD，输入netdom query fsmo），显示结果所有的角色都在2003的域控shdc-1中。

3.在升级域控到Windows Server 2008之前，必须进行相关的扩展，这一点，与从Windows Server 2000域升级到Windows Server 2003域一样。

在这里我们必须在原Windows Server 2003 域控制器上运行Windows Server 2008的ADPREP工具，该工具位于Windows Server 2008光盘中的Source\adprep目录下，请复制adprep 目录到Windows Server 2003域控制上的任意磁盘分区中（计算机名为:shdc-1），本案例将此文件夹复制到SHDC-1的磁盘分区C。

特别说明，敬请留意：原Windows Server 2000域升级到Windows Server 2003域，只需对Forest和Domian进行扩展，但在Windows Server 2003域升级到Windows Server 2008域中，还必须对RODC 进行扩展，以便Windows Server 2008能在基于Windows Server 2003的域中担任域控制器类型角色4.下面操作在shdc-1（域控制器）上进行操作。