網域轉移工具寫入舊版識別碼歷史紀錄失敗：稽核設定與存取權限排查

Question

Min Yang 80

最近在執行跨網域帳號轉移作業時，發現部分使用者帳號在轉移後，無法順利帶入原有的安全性識別碼歷史紀錄，導致使用者存取舊有網域資源時遭到拒絕。

目前僅有部分帳號發生無法寫入的問題，我們正在重新檢視雙方網域控制器的全域稽核與權限組態：

來源端與目標端的網域控制器是否皆已正確啟用帳戶管理稽核（成功與失敗事件均需記錄）？

轉移作業所使用的管理者帳號，在來源端是否具備足夠的管理者權限，且目標端網域是否已順利建立以來源網域命名的本地端安全性群組？

在使用對照表設定檔進行名稱對應時，是否因特定特殊字元或格式錯誤，導致特定帳號在寫入歷史紀錄時被直接略過？

0 則留言

1 個回答

Answer 1

已启用源域和目标域控制器的 Account Management 审核，并记录 Success 和 Failure 事件，否则 SIDHistory 写入可能失败。

确认迁移账号在源域具有足够权限（通常为 Domain Admin 或等效权限），并且已在正确位置创建空的 <SourceDomainNetBIOSName>$$$ 本地域组。该组缺失是 SIDHistory 迁移失败的常见原因。

如果只有部分用户受影响，需重点检查名称映射表（Reference Table）。特殊字符、隐藏空格、格式错误、重复映射或指向不存在对象的记录，都可能导致个别帐号被跳过。

同时检查源域 PDC Emulator 上注册表 HKLM\SYSTEM\CurrentControlSet\Control\Lsa\TcpipClientSupport=1，并确认 AD 复制正常完成。

建议查看失败用户对应的迁移日志和错误代码，可进一步确认是权限、SIDHistory 写入、对象映射还是源对象查找问题。