想知道是否有人可以提供一些build议。 我有一个迫切需要升级的域名。 通常情况下，人们会添加一个function级别降低的新DC到域中，转移angular色，删除旧的DC，提高function级别并完成它，但是我处于无法adprep或forestprep现有域的情况控制器由于pipe理不善和维护不善而造成的损坏，在AD中留下破损/不可触及的物体。 我尝试了所有可以find的解决scheme，甚至尝试对ADconfiguration单元进行手动更改。 不可否认，这可能是我的前任首先打破的：
现在我的另一种select是创build一个新的，新的领域，因为我们有一个小的环境。 我想要做的是在旧的森林和新的森林（2003 R2和2012 R2）之间build立信任关系，并使用ADMT将用户的sIDHistory迁移/复制到新林中的新域中，这样每个人都可以保留现有的configuration文件。
我似乎无法跨越的问题是如何在没有单独的networking的情况下build立两个森林之间的信任。 新的DC可以看到另一个森林信任它，但是旧DC不能看到新的森林来回报信任关系。 对于习惯于pipe理企业合并而不是仅pipe理现有基础设施的人来说，这可能是显而易见的。 我有一个感觉，这与广告服务/ DNS有关，但我可能是不正确的，发现自己正在追逐松散相关的解决scheme。
我也玩过将每个人的域configuration文件转换为本地configuration文件的想法，将它们join到新域中，然后将其configuration文件转换回域configuration文件。 这实际上是否会在需要sIDHistory的新域中提供用户帐户的相同要求？
提前感谢您的任何build议。
有两种可能性，DNS问题或防火墙问题。 尝试更改新的DC上的域防火墙。 如果失败，请确保新的林从旧的PDC模拟器正确parsing。
AD信任与networking或子网没有任何直接关系。 您的问题很可能是由于build议的信托一方缺less条件转发商或存根区域。 在每个域中，您需要configuration条件转发器或存根区域），以将该域的DNS查询指向该域的DNS服务器。 这听起来像是你错过了一面。
为了澄清你所做的一些说明：
add a new DC with a reduced functional level to the domain – 域控制器本身不具有function级别。 有一个DFL（域function级别）和一个FFL（森林function级别），但域控制器没有function级别。
I have tried every fix I could find even resorting to trying to make manual changes to the AD hive – AD不被称为configuration单元。 如果你把它称为一个蜂房，人们不会知道你在说什么。 Active Directory是一个由多个分区组成的数据库。