利用MicrosoftActiveDirectoryMigrationTool可以在两个独立的AD域之间迁移用户、组、计算机等账号，其中2.0版可以实现迁移用户账号密码，本文档描述了如何在两个独立的Win2KAD域之间实现迁移AD用户账户、密码的步骤。

　　操作步骤

　　1、在目标域与源域之间建立双向的信任关系。

　　2、在源域的域控制器中将目标域的系统管理员账号(Administrator)加入到本地管理员组中(Administrators)。

　　3、在目标域与源域的域控制器上分别安装Win2K的128位加密包。(这一部分不知道是否必需，但是我在实际操作中安装了该加密包。而且根据微软的资料，在Win2K标准产品中已经包含了128位加密)

　　4、在目标域的域控制器上安装ADMTVersion2.0.

　　5、在目标域上查看系统内建组“Pre-Windows2000CompatibleAccess”的属性，检查“成员”中是否包括Everyone.如果没有，必须将Everyone加入，并且重启服务器。(缺省情况下该组已经包含Everyone)。

　　6、检查目标域与源域之间的安全策略是否会影响到密码的迁移，如口令长度限制等。如果有，需要进行相应的调整。

　　7、在目标域的域控制器的命令提示符下输入如下命令进行保存密码文件的保存：admtkeySourceDomainNameDriveLetter [Password]。

　　注意：

　　尽管这个密码文件可以保存在任何磁盘上(包括软盘、硬盘)，但是为了安全起见建议保存在软盘中。

　　如果你用星号“*”代替密码，会提示你输入密码。

　　SourceDomainName必需是源域的NetBIOS名称。

　　8、建议在源域中选择一台BDC作为密码导出服务器。

　　9、在源域的密码导出服务器中运行Pwdmig.exe，然后在相应提示中选择步骤7所生成的密码文件(如插入软盘)，如果步骤7中输入了密码，那么也必须输入密码。

　　10、在源域的密码导出服务器上，打开并修改注册表，在HKEY_LOCAL_MACHINE/System/CurrentControlSet/Control/Lsa下，将

　　AllowPasswordExport：REG_DWORD的值从0改成1.然后重新启动计算机。

　　11、 在目标域的域控制器中运行ADMTVersion2.0，选择迁移用户账号，在密码选项中选择迁移密码，根据提示操作则可以完成账号、密码的迁移。

　　希望本文中描述的两台域控制器实现AD迁移的方法能够对读者有所帮助。