小编Mit*_*tch的帖子

我想objectGUID使用在 Windows Server 2012 上运行的 AD FS 2.0 作为声明发送。

我知道我可以为依赖方信任创建颁发转换规则，但 AD FS 2.0 如何知道objectGUID？我是否需要objectGUID在 AD FS\Service\Claim Descriptions 下添加声明描述？

首先，这是从 Windows Server 2003 到 2012 DC/DNS/AD 的迁移。我们也有一个备份 2003 DC/DNS/AD 服务器，但我认为目前这不是问题，但可以在需要时使用。我已经完成了一些繁重的工作，并使用以下几个分步指南配置并设置了一个新的 2012 服务器作为 AD/DC/DNS 主机（据我所知）：

分步说明：将 Windows Server 2012 域控制器添加到现有的 Windows Server 2003 网络

我已经用离线客户端测试了服务器，似乎一切都按预期工作。令我惊讶的是，这非常有效。

现在棘手的部分：

• 所有 200 多个客户端工作站都是静态寻址的
• 客户端分布在 VPN 连接背后的多个远程位置
• 客户端大约 75% XP 和 25% Windows 7 Pro
• 2003 DCs 已经存在十年了，不知道他们实际做了多少

我和我的同事正在讨论各种选项，以使其尽可能无痛，但我们中没有人执行过这样的迁移。以下是迄今为止最可行的。

选项1

• 转移 FSMO 角色
• 关闭 2003 DC
• 在 2012 DC（下班时间）上滚动 IP 并交叉手指 MS 众神不需要牺牲。

优点：听起来很容易
缺点：如果我们缺少 2003 年运行的作业，则会有来回分配。可能存在大量客户端/域信任错误。可能还有更多我无法预见的问题。

选项 2

• 使用脚本和组策略将尽可能多的客户端主 DNS 更改为netsh2012 DC
• 转移 FSMO 角色

优点：可能没有信任问题。如果我们错过了作业、文件等，两个服务器都可以启动。
缺点：脚本很复杂，可能会错过一些（如果不是大多数）客户端。

我希望有一些更接近最佳实践并且风险更低的东西。 …