Active Directory 迁移最佳实践

Active Directory（AD）迁移是组织在重组、并购、收购，乃至任何技术升级过程中都会遇到的复杂任务——但它同时也是关键任务。

做过的人都知道，AD 迁移有点像搬家：兴奋，但更让人头疼。你要搬的不只是家具（用户），还有整套水电管线（组、计算机、应用权限），而且搬家期间房子还得照常住人。

你需要一套正确的策略，也需要一个对的迁移工具，因为它涉及用户、组、计算机和应用程序的整体转移。你要做的可能是 Azure AD 迁移、从本地迁到云上，也可能只是在自己组织内部把对象从一个域搬到另一个域。

一、五个决定成败的最佳实践

1. 先有一份清晰、详细的计划

▌AD 迁移：把用户、组、计算机、组策略对象（GPO）及其权限关系，从一个域或林整体转移到另一个域或林的过程，核心难点是“关系不能断、权限不能丢”。

在动手迁移之前，你需要一份把目标写清楚的计划。把所有可能影响这个过程的因素都纳进来，并对当前 AD 环境做一次彻底的盘点评估。至少要把这四项摸清楚：

  • 域与信任关系的数量
  • 活跃用户、组、组织单位（OU）的数量
  • 依赖 AD 认证的应用有哪些
  • 组织内正在使用的 GPO 清单

然后决定迁移顺序，并排出时间表。

提示：想轻松评估 AD 环境里的各类对象，可以用一款 Active Directory 报表工具，直接生成并按你需要的格式导出报表——这比手工逐个 OU 点数可靠得多。

2. 把 AD 安全放在核心位置

AD 迁移自带一堆风险：数据丢失、业务中断，甚至安全漏洞。

在受控环境里先做试点迁移，是识别这些潜在风险、并提前设计缓解策略的有效方法。同时，回滚计划必须存在。它应该包含整个 AD 环境的备份，一旦出问题可以快速恢复。

这一点在国内语境下尤其重要。等保 2.0 对三级及以上系统的要求里，明确涉及“重要数据处理系统的可用性”和“数据备份恢复”；迁移期的临时状态如果缺乏回滚能力，一旦失败往往直接演变成业务事故。

根据 GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》，三级系统应提供重要数据的本地数据备份与恢复功能，并保证系统在故障后能在规定时间内恢复。

3. 从第一天就把合规纳进来

合规不是迁移做完之后再补的作业。

在 AD 迁移一开始就搞清楚组织适用的合规标准，可以帮你避开监管违规。识别出适用于你业务的标准——比如 GDPR、HIPAA，在国内则是对应的等保 2.0、《网络安全法》《数据安全法》——并确保迁移方案与这些要求一致。

然后，对现有 AD 环境做一次合规审计，找出差距，在新的 AD 架构里把这些差距补掉。

这里最容易踩的坑是“迁移完忘了删”：旧域里的账号、组、委派权限如果没清理干净，等于在新环境之外又留了一套影子身份体系，审计时就是明显的扣分项。

4. 备份，并验证恢复能力

在启动迁移之前，确保现有 AD 环境已被完整备份。这包括用户账号、组、GPO，以及其他所有关键组件。

但只备份不够，还要测恢复。备份文件和恢复计划都要实际演练过，确保在遭遇意外故障或数据丢失时，它真的能被有效还原。

AD 迁移事故里相当一部分，不是因为没备份，而是因为备份“以为能用”却还原不了——比如系统状态备份的版本与目标环境不匹配，或者关键服务账号的密码没被同步进备份验证流程。

5. 选对 AD 迁移工具

选择正确的工具，是迁移顺不顺利、效不高效的关键。要找贴合组织实际要求的方案。

先说说大家最常想到的那个：ADMT（Active Directory Migration Tool），微软提供的免费工具，能处理 AD 迁移。

ADMT 在小规模迁移里表现不错，但它的短板也很明确——依赖缓慢的手工流程，对大型组织来说既不够高效，也不够可扩展。当你要迁移的对象是几千个用户、几百个组、上百条 GPO 时，纯手工的代价会远超“免费”省下的钱。

二、用 ADManager Plus 自动化 AD 迁移

ManageEngine ADManager Plus 是一款身份治理与管理（IGA）工具，它同样可以胜任 AD 迁移工具的角色。

选择 ADManager Plus 做迁移的六个理由

① 迁移过程顺畅无断点。跨域、跨林迁移 AD 环境里的全部对象，并保留它们原有的 OU 归属细节，不影响其权限设置。

② 防止数据丢失。迁移对象时连同属性一起带走，避免“账号搬过去了、属性没搬”造成的信息丢失。

③ 迁移盘点与核验报表。结合 200 余份预置 AD 报表，覆盖迁移前盘点与迁移后核验两类需求，确保所有对象和资源都准确迁移到位——这正是第一节里“彻底盘点”那一步的落地方式。

④ 备份与恢复。通过备份和恢复附加组件，备份 AD 环境并在迁移过程中发生数据丢失时快速恢复，对应第一节的“回滚计划”。

⑤ 避免冲突。迁移时可使用自定义命名格式，自动处理对象命名冲突。

⑥ 自动化清理。在迁移前自动识别并清理不活跃用户、冗余组、未使用的策略，让新环境从一个干净的状态开始。这一条直接对应第三节讲的“旧域影子身份”问题。

用 ADManager Plus，你可以让 AD 迁移既顺畅又高效，同时减少手工投入和人为错误的风险。

三、把五个最佳实践串成一条执行路径

原文把这五条并列成清单，实际执行时它们是有先后依赖关系的。下面这张表把顺序理清楚：

阶段对应实践关键产出常见失败原因
① 盘点清晰详细的计划域/信任清单、对象数量、依赖应用、GPO 台账、迁移顺序与时间表靠人工点数，数据不准
② 审计合规从第一天开始合规差距清单、旧环境影子身份清单迁移完忘了清理旧账号与委派
③ 试跑AD 安全优先试点迁移结论、风险清单、回滚方案直接在产线环境试，出问题没有退路
④ 备份备份与验证恢复可还原的系统状态备份、演练过的恢复流程只备份不验证，还原时才发现不可用
⑤ 执行选对迁移工具对象+属性+OU+权限完整迁移、迁移前后报表用 ADMT 手工迁大规模对象，周期失控

顺序不能乱：没有②的清理，①盘点的结果就是错的；没有④的验证，③的试点就失去了意义。

AD 迁移五阶段执行路径
上图是这条路径的可视化版本：先盘点再审计，试跑通过才备份，备份验证完成才进入正式迁移，最后做迁移后核验与旧环境清理。

四、对国内企业的三个额外提醒

原文的框架是通用的，但国内企业落地时有三件事值得单独说：

第一，旧域不等于可以留着。很多并购场景下，双方会把“旧域先放着，反正还能用”当作过渡方案。问题是旧域里的账号、组、委派权限会持续成为攻击面，而且在等保测评时会被认定为“未授权的身份来源”。迁移完成后应当有计划地收缩、最终下线旧域。

第二，迁移期间的日志不能断。《数据安全法》要求企业建立健全数据安全管理制度，并对重要数据的处理活动开展风险评估与记录；迁移期间恰恰是账号批量变更、权限集中调整的高峰期，这段时间的操作留痕一旦缺失，事后无法补。建议在迁移窗口内强化审计采集，而非暂停。

第三，GPO 迁移最容易漏，也最容易被审计。GPO 承载的是安全基线。迁移时如果只搬了用户和组，GPO 却没同步，新环境的安全策略实际上处于“降级”状态——表面上迁移完成了，实际基线没落到位。

五、结论

AD 迁移的难点从来不在“能不能搬”，而在“搬完之后关系还在不在、权限丢没丢、旧环境清没清”。

把五个实践按依赖顺序串起来，用工具替代手工，把备份验证当成必做项而不是可选项——这三点做到，迁移就从一个高风险项目变成一个有节奏的工程。

了解更多信息，可访问 ManageEngine ADManager Plus 官方网站（https://www.manageengine.cn/products/ad-manager/）及活动目录迁移功能页，或访问卓豪 ManageEngine 官网（https://www.manageengine.cn/）。如需咨询或申请 30 天免费试用，可联系卓豪中国：400-668-2505。

常见问题（FAQs）

  1. Q1：ADMT 和 ADManager Plus 该怎么选？

    ADMT 是微软提供的免费工具，适合小规模、一次性的迁移场景，但依赖手工流程、可扩展性有限。如果涉及大量用户、组与 GPO，或需要迁移前后的盘点核验报表与自动化清理，ADManager Plus 更合适。两者也可以组合使用：先评估规模，再决定路径。

  2. Q2：AD 迁移需要停机吗？

    取决于迁移范围和方式。对象级迁移（用户、组、GPO）通常可以在线进行，但如果涉及域控替换或林重构，仍需安排维护窗口。建议先用试点迁移测出实际影响范围，再规划停机时长。

  3. Q3：迁移后旧域要保留多久？

    没有统一标准，但要有一个明确的退出计划。建议在迁移完成、业务验证通过后，将旧域置为只读并限制登录，观察一个完整审计周期（如一个季度）后下线。长期保留的旧域是典型的影子身份风险。

  4. Q4：跨林迁移时权限会丢吗？

    关键在于迁移工具是否保留对象属性与 OU 归属细节。AD 原生权限大量依赖对象 SID 与组成员关系，迁移时若只搬账号不搬属性，权限会失效。选择支持属性完整迁移（如保留 SID 历史与组成员关系）的工具可以规避这个问题。

  5. Q5：AD 迁移和等保 2.0 测评有什么关系？

    迁移会改变身份体系的结构，而等保 2.0 对身份鉴别、访问控制、安全审计都有明确要求。迁移方案需要保证：账号清单可追溯、权限变更可审计、备份恢复可验证。建议在迁移前先做一次合规差距分析。

相关文章推荐