Перенос учетных записей в домен

Надоело переносить учетки пользователей из локальных в доменные при внедрении Active Directory. Решил найти автоматизированное решение. Оказывается не я первый озадачился этой проблемой =) Есть как минимум 5 вариантов автоматизации. Рассмотрим их по порядку.

1. User State Migration Tool. Бесплатная утилита от Microsoft. Поставляется в комплекте Windows Automated Installation Kit. Используется из консоли. Мануал. У меня не получилось выполнить сохранение профиля - scanstate встал на последнем этапе на 1% и никак не реагировал.
2. Active Directory Migration Tool. Продукт от той же всем известной компании. Предназначен для миграции из домена в домен. Сейчас нас не интересует. Мануал.
3. В Windows 7 можно воспользоваться стандартным средством переноса данных.
4. Moveuser - тоже от MS. Работает на XP. Версия для 7.
5. User Profile Wizard. Бесплатная утилита от ForensIT. Смогла перенести все данные и настройки. Проблем пока не замечено. 

Ещё можно написать скрипт на WMI/batch/PowerShell/brainfuck/что-то_ещё - но это уже другая история.
После переноса профиля обязательно проверяйте всё - скорее всего что-то обработалось неправильно и придется доделывать руками.
Тема на форуме, где я поднимал этот вопрос.

Active Directory. Некоторые вопросы безопасности.

При добавлении компьютера в домен AD необходимо его предварительное размещение (создание учетной записи компьютера в AD). Это обусловлено некоторыми аспектами безопасности.

При присоединении компьютера к домену без его предварительного размещения, учетная запись компьютера создается в контейнере по умолчанию (Computers). Этот контейнер уступает по возможностям организационному подразделению и соответственно к компьютеру, включенному в этот контейнер не будут применяться объекты групповой политики, скрипты входа и выхода. Чтобы сменить контейнер по умолчанию, необходимо выполнить команду redircmp "DN_подразделения для новых объектов компьютеров" (например так redircmp ou=newcomputerou,dc=domainname,dc=com). Тогда новые компьютеры по умолчанию будут создаваться в указанном подразделении.

Если учетная запись компьютера не была размещена предварительно, то Windows позволяет любому, прошедшему проверку подлинности создать объект компьютера в контейнере по умолчанию. Это является брешью в безопасности. По умолчанию любому, прошедшему проверку подлинности, разрешено создать до 10 компьютеров. Эти данные указаны в атрибуте ms-DS-MachineAccountQuota домена. Рекомендуется установить значение 0. После присвоения этому атрибуту значения 0 присоединять компьютеры к домену смогут только те пользователи, которым явным образом делегированы разрешения на присоединение к предварительно размещенным объектам компьютеров или создание новых компьютеров.

Windows и Active Directory. Особые объекты идентификации

В Windows и Active Directory поддерживаются особые объекты идентификации, членством которых в группах управляет ОС. Их нельзя добавлять в группы, просматривать и модифицировать их параметры. Однако, их можно использовать для назначения прав и разрешений доступа.

Active Directory. Группы по умолчанию

В Windows Server создаётся множество локальных групп по умолчанию. Рассмотрим те из них, которым предоставлены права, связанные с управлением Active Directory.

Группы в Active Directory. Чтобы не забыть

В AD существует несколько типов групп. По рекомендациям от МС и вообще "православно" следующее распределение:
Пользователи по какому-либо признаку (географическому, бизнес-подразделения) группируются в глобальные группы.
По правам доступа создаются локальные доменные группы.

Пример:
В компании существует отдел Бухгалтерия. Всем пользователям этого отдела требуется доступ на запись к сетевому ресурсу "Бухгалтерские документы" и доступ на печать к принтеру, находящемуся в их офисе.

1. Создаём глобальную группу Бухгалтерия, членами которой будут являться сотрудники бухгалтерии.
2. Создаём локальную доменную группу ACL_Buhgalteria_Share_RW. Даём этой группе разрешения на чтение/запись в сетевой ресурс.
3. Создаём локальную группу домена ACL_Buhgalteria_Printer. Этой группе даём доступ на печать на нужном принтере.
4. Делаем членом двух последних групп группу Бухгалтерия.

Теперь у глобальной группы Бухгалтерия будет доступ к принтеру и сетевой папке. Если нужно дать доступ к этим ресурсам ещё кому-либо, нужно всего лишь добавить нужную группу/пользователя в одну из групп ACL.