合并/收购后的 Active Directory 整合策略

Question

前期免责声明：我是一个设计和交易的 UNIX 人。但是，从操作支持/性能调整的角度来看，我已经参与 Windows 机器至少十年了。

我的公司最近收购了另一家公司，我们正在研究在两者之间整合 Active Directory 的策略。我们在两个站点之间建立了站点到站点 VPN 连接和快速肮脏的名称解析。

我将不胜感激：

• 任何遇到相同情况的人的建议。
• 链接到描述高级注意事项和技术细节的文章。
• 陷阱，从不做，我希望我知道，总是做，但从未记录。

Answer 1

我打算停用其中一个 Active Directory 林并将其销毁。维护多域，更不用说多林，Active Directory 只是一种痛苦。

如果您在废弃的林中没有大量用户/计算机或复杂的文件系统权限，我什至不会使用像 Active Directory 迁移工具这样的工具。

迁移工具非常适合快速完成任务，但如果您有时间在林之间建立信任关系并有意识地移动，您可以为依赖 Active Directory 的所有文件权限、应用程序和任何其他服务提供真正的顶级 -以可控和协调的方式从头到尾审查被收购的公司并将其吸收到您的 Active Directory 中，而不是从他们的 AD 中带来很多包袱，这些包袱在未来几年会成为绕在您脖子上的“遗留”磨盘.

我会在林之间建立信任关系，这样一个域中的用户就可以登录到另一个域中的计算机。然后，客户端计算机的域成员身份变得有些无关紧要。我会将目标域的多个域控制器部署到被收购公司的办公室。您甚至可以将这些部署为现有域控制器上的 VM，无需提供 Windows 许可。

我会标出组策略在被废弃的林中的用途，并在目标林中暂存站点和 OU 以在您移动计算机时容纳它们。您可能会发现他们并没有真正将组策略用于任何事情（令人沮丧的是，在 Active Directory 和组策略出现 9 年后似乎仍然如此），但一定要考虑一下。

我会使用“NETDOM”工具部署一个启动脚本（参见 http://technet.microsoft.com/en-us/library/cc781853(WS.10).aspx ) 将客户端计算机与正在废弃的林分离，并将它们连接到目标林。用户登录将继续工作，就像它们对被废弃的林用户一样。

是否从废弃的林中迁移用户和组取决于用户和组的数量以及在目标林中重新创建用户、组和文件系统 ACL 的难度。

你没有提到交换。如果 Exchange 正在发挥作用，您需要担心跨林/跨组织邮箱迁移。除非您更新并说您需要有关它的信息，否则我不会对此问题发表评论。