轻松上云，使用 ADMT 将本地域迁移到 AWS Managed Microsoft AD
内容提要
本文介绍了如何将本地Active Directory（AD）域迁移到AWS Managed Microsoft AD，使用ADMT和PES工具进行迁移，包括准备域林、迁移计算机和管理账户、安装SQL Express和ADMT、配置ADMT和PES、迁移用户和组、迁移计算机等步骤。
延伸解读
迁移前的关键前提：双向林信任
文章强调，要将用户和密码从源域迁移到 AWS Managed Microsoft AD，必须建立双向林信任。这是因为需要将 AWS Managed Microsoft AD 中的管理账户添加到源域，并授予其读取待迁移属性的权限。没有信任，ADMT 无法跨域操作。读者在规划迁移时，应优先确认信任关系已建立并在控制台中显示为已验证，否则后续步骤无法进行。
密码迁移的加密机制与 Kerberos 风险
ADMT 通过 PES 实现加密密码同步，迁移前需在迁移计算机上创建加密密钥，并将密钥文件复制到源域控制器安装 PES。但文章特别提醒，如果客户端禁用了 RC4_HMAC_MD5 加密类型，迁移后用户的 Kerberos 身份验证会失败，直到重置密码。因此，建议在迁移后让用户重置密码，以避免认证问题。
SID 历史迁移的当前限制
在账户过渡页面，ADMT 提供迁移 SID 历史的选项，这对分阶段迁移中用户同时访问源域和目标域资源很有用。然而，文章明确指出 AWS Managed Microsoft AD 目前不支持迁移用户 SID。这意味着如果依赖 SID 历史来保留资源访问权限，可能需要调整迁移策略或接受一定的权限重新配置工作。
计算机迁移的代理安装与权限要求
迁移计算机对象时，ADMT 会在源计算机上安装代理，这要求管理账户能够访问源域共享中的 C$ 或 admin$ 共享。如果权限不足，代理安装会失败并记录“Access is denied”错误。成功安装后，计算机会从源域分离并加入目标域。读者应确保迁移账户具有足够的共享访问权限，并检查迁移日志以确认每台计算机的迁移状态。
Q&A
如何将本地 Active Directory 域迁移到 AWS Managed Microsoft AD？
可以使用 Active Directory Migration Toolkit（ADMT）和 Password Export Service（PES）工具进行迁移，步骤包括准备域林、安装 SQL Express 和 ADMT、配置 ADMT 和 PES、迁移用户和组、迁移计算机等。
ADMT 和 PES 工具的作用是什么？
ADMT 用于迁移 AD 对象和密码，而 PES 则用于加密密码同步，确保迁移过程的安全性。
迁移过程中需要哪些先决条件？
需要在迁移计算机上安装 SQL Express 和 ADMT，并建立双向林信任，以便授予管理账户权限。
迁移用户和组时需要注意什么？
在迁移用户和组时，需要选择源域和目标域，并决定如何处理用户对象的迁移，确保密码同步和 SID 历史记录的管理。
AWS Managed Microsoft AD 的优势是什么？
AWS Managed Microsoft AD 是一项托管服务，支持标准 AD 工具管理用户、组和计算机，简化了 AD 基础设施的运营管理。
迁移计算机时需要执行哪些步骤？
需要在目标域中选择要迁移的计算机，安装代理，确保访问权限，然后执行域分离和加入目标域的操作。
