Active Directory 帐户移动/无连接答案

【问题标题】：Active Directory Account Move / No connectivityActive Directory 帐户移动/无连接
【发布时间】：2016-12-30 16:15:28
【问题描述】：

我有一个 ONETIME 业务需求，需要大约搬家。从各个 OU 到另一个域的 10,000 个 AD 帐户。由于迁移是在锁定的本地数据中心到云中的 AD 之间进行的。因此，我无法在两个域之间建立连接。一个应用程序正在从 DC 迁移到云端以缓解安全限制，我们希望避免对所有帐户进行大规模密码更改。

我在 AD 方面没有太多经验，因为我更像是一个应用程序开发人员而不是安全基础设施老兄 - 所以这是我可能无知的问题。

我使用 DSInternals.com 使用 Get-ADReplaccount (Windows Server 2008 R2) 转储域，并将数据保存到文件中，但我不知道在此之后该怎么做。

我希望我现在可以使用这些数据将帐户重新导入到另一个域中，在不同的 OU 下，并将它们全部（包括密码哈希）“导入”到另一个服务器上的新域中。

如果使用 Get-ADReplAccount 进行提取，使用该数据的 SET cmdlet 是什么？

【问题讨论】：

事先声明：我没有使用 Get-ADReplaccount 工具。我可以告诉您的是，在保留他们的密码的同时将 AD 用户从一个域迁移到另一个域的首选工具是 ADMT (microsoft.com/en-us/download/details.aspx?id=19188)。 ADMT 是一个相对易于使用的实用程序，并有一个向导界面来引导您完成要迁移的帐户。由于您的企业客户在许多不同的 OU 中拥有帐户，因此您可以一次将帐户迁移到一个 OU 的云域。

【解决方案1】：

您可以使用 DSInternals 模块中的 Set-SamAccountPasswordHash cmdlet 将 NTLM 哈希导入 AD。示例：

Set-SamAccountPasswordHash -SamAccountName john -Domain ADATUM -NTHash 92937945b518814341de3f726500d4ff -Server dc1.adatum.com

可以使用 Get-ADReplAccount 在线检索哈希值，也可以使用同一模块中的 Get-ADDBAccount 离线检索。

但鼓励强制更改密码，因为此类帐户会缺少 Kerberos AES 密钥，因此在以这种方式迁移的帐户的身份验证过程中将只使用 Kerberos RC4。

【讨论】：