Question

在过去的几年（学习经历）中，我对DC的AD / DNS非常糟糕，直到我无法再加入或离开域名与客户端。我有一个NAS，曾经通过SMB插入AD，这就是所有用户（我的家人）用来访问他们的文件的方式。

我这次使用最佳实践使用Windows 2016重新创建了我的基础架构配置。有没有办法轻松地将这些权限迁移到新域/林中的用户（与旧域中的用户值相当）？

我是否可以重新创建新用户的SID / GUID以匹配旧用户？我假设没有，因为他们在那里有一个Windows安装独特的生成字符串。

我是否可以从NAS端执行此操作而无需通过每个人的文件来更改所有权？

谢谢。

Answer 1

可用于将权限从原始SID转换为新SID的一个工具是Microsoft的SubInACL

SubInACL将向您提供旧SID对应哪个新SID或用户名的信息，并为NAS服务器上的所有数据执行转换。例如像这样

subinacl /subdirectories "Z:\*.*" /replace=S-1-5-1-2-3-4-5=NEWDOMAIN\newuser

完成翻译需要多长时间取决于文件和文件夹的数量，如果数小时需要数小时。

还有其他工具，例如SetACL或PowerShell cmdlet Get-Acl/Set-Acl

除非您正在恢复AD基础结构或将原始标识克隆/迁移到sidHistory属性中具有原始SID的新标识，否则无法使用原始SID和GUID重新创建对象。

因此，如果您已经在新创建的林中运行带有NAS的域控制器，并且旧版本遇到了您想要修复的问题，则该选项可能会更加痛苦，并且更容易进行SID转换。