Active Directory экспорт данных — как правильно?

Question

[Михаил Савин]

Необходимо:
Перенести учетные записи компов, пользователей, группы, подразделения с контроллера1 домена на контроллер2 домена.
Леса идентичны. Контроллер1 (физический сервер - действующий сервер компании) и контроллер2 (виртуальный сервер - макет для тестирования) имеют одинаковые имена, но находятся в разных сетях и не знают о существовании друг друга. Контроллер2 имеет своего дублирующего брата (тоже виртуального). Сеть без поддоменов должна быть организована (так же как и сейчас).
Простая миграция АД отбрасывается под предлогом того, что на текущем серевере в АД "очень много косяков и он очень загажен".

На данный момент удалось скопировать подразделения и пользователей этих подразделений. Записи пользователей все отключены и безпарольны. Необходимо включить их массово т.к. записей пользователей около 500 + записей компов тоже около 500 ну и как положена огромная куча всяческих групп.
Экспорт подразделений выглядел так:

ldifde -f exportOu.ldf -s kontora -d "dc=kontora,dc=ru" -p subtree -r "(objectCategory=organizationalUnit)" -l "cn,objectclass,ou"

Экспорт учеток выглядел так:

ldifde -f Exportuser.ldf -s kontora -d "dc=kontora,dc=ru" -p subtree -r "(&(objectCategory=person)(objectClass=User)(givenname=*))" -l "cn,givenName,objectclass,samAccountName"

Запутался в фильтрации LDAP. Плюс при остальных фильтрах выдает ошибку наличия журнала. Не могу разобраться с работой с журналом.

Answer 1

[Slipeer]

Пароли не перенести никак (на самом деле есть один способ, но это сложно и для тестирования неоправданно).
Для переноса объектов пользователей вместе с флагами попробуйте экспортировать их вот так:

ldifde -f Exportuser.ldf -s kontora -d "dc=kontora,dc=ru" -p subtree -r "(&(objectCategory=person)(objectClass=User)(givenname=*))" -l "cn,givenName,objectclass,samAccountName,userAccountControl"

В атрибуте userAccountControl хранится информация о заблокированности пользователя в том числе.
Или для включения уже проимпортированных пользователей можно попробовать что-нибудь вроде:

Get-ADUser -LDAPFilter "(&(objectCategory=person)(objectClass=User)(userAccountControl:1.2.840.113556.1.4.803:=2))" | Enable-ADAccount

Comments

[Михаил Савин]

Включил пользователей, а пароли как задать им теперь массово?!