为什么合并活动目录如此困难？

Question

我不是网络管理员；在我的公司，我在 IT 部门扮演着完全不同的角色。然而，我对服务器管理方面的事情越来越感兴趣。我了解 AD 是什么、域、森林和树木、基本 ID 管理等的基础知识……但没有任何实际经验或 AD 的特别高级知识。目前我公司有两个独立的 AD 系统，分布在不同的地点，这是公司历史的遗产；然而，它想将它们合二为一。这似乎是一项巨大而昂贵的事业。然而，作为外行的我在这些问题上遇到的问题是——为什么？当然，这并不容易，只是将所有数据从一个复制和粘贴（即使在高级级别）到另一个。然而，为什么会这样呢？究竟是什么让将两个独立的 AD 系统结合在一起成为一项艰巨的任务？任何见解都会有所帮助。

Answer 1

合并多个 Active Directory (AD) 部署需要规划和测试，但我不知道它是特别“庞大”或“乏味”。该产品的设计不允许在不同的 AD 部署之间进行简单的“剪切/粘贴”，但有一些工具可以使此类迁移相当简单（例如，Active Directory 迁移工具）。域中成员计算机上来自 AD 的安全主体的集成使得具有相当复杂的配置成为可能，其中包含许多需要在任何重大迁移中探索的边缘情况。

撇开技术问题不谈，我认为对 AD 环境进行彻底更改的许多沉默来自围绕产品成长的神话和对（可能）依赖于 AD 但没有充分记录的配置的实际担忧的混合。我为相当大的 IT 运营（财富 1000 强公司）签订了许多合同，在这些合同中，几乎“瘫痪”以进行任何类型的大规模更改（对任何系统——不仅仅是 AD），因为害怕“破坏" 现有功能。对我来说，这是变更控制实践不佳和对产品一无所知的迹象。

TL;DR - AD 中的配置信息“驱动”了很多功能，尤其是在记录和控制不善的环境中，很多人因为害怕“破坏东西”而不愿对 AD 进行更改。