如何将多台Active Directory复制为一台代理AD以实现统一认证？

我们公司部署了多台独立的Active Directory，例如：

finance-dc1.company.com
finance-dc2.company.com

sale-dc1.company.com
sale-dc2.company.com

development-dc1.company.com
development-dc2.company.com

...

开发团队希望无需对接多台AD，仅通过一台代理AD（如proxy-dc.company.com）完成用户认证（绑定）与搜索操作，请问是否存在将所有AD数据整合至该代理AD的解决方案？

以下是几种能实现统一对接需求的实用方案，核心是实现统一入口，而非简单的全量复制：

1. AD林信任+全局编录（Global Catalog） #

• 若所有AD属于同一**林（Forest）**的不同域：
  • 建立域之间的双向信任关系，将proxy-dc.company.com配置为全局编录服务器。全局编录会自动存储林中所有域的用户关键属性（足够支撑搜索与认证），开发团队只需对接这台服务器，即可完成跨域的用户查找和认证操作。
• 若为不同林的AD：
  • 建立林级信任（外部信任或林信任），同样将代理DC设为全局编录，它会同步信任林中的用户核心属性，支持跨林的认证与搜索。

2. AD LDS（Active Directory Lightweight Directory Services）代理 #

• 部署AD LDS（旧称ADAM）作为统一代理节点：
  • 配置AD LDS与各目标AD建立单向同步规则，按需同步用户、组等数据到AD LDS实例中。开发团队直接对接这台AD LDS服务器，即可完成统一的认证和搜索。
  • 优势是可自定义同步属性，避免冗余数据，同时支持更灵活的访问控制策略。

3. 目录同步工具（如Microsoft Identity Manager） #

• 使用专业目录同步工具（如MIM）：
  • 配置工具连接所有目标AD，将用户数据统一同步到proxy-dc.company.com所在域，或专门的目录服务实例中。
  • 该方案支持复杂的同步规则、属性映射，还能统一处理账号生命周期（创建、禁用、删除）。

关键注意事项 #

• 直接全量复制所有AD数据到代理DC需谨慎，不同AD可能存在同名账号、属性冲突，需提前规划属性映射和冲突解决规则。
• 认证环节：若使用代理服务器，需确保代理能将认证请求转发至对应源AD，或同步的账号具备可认证属性（如密码哈希，部分方案需额外配置密码同步）。

内容的提问来源于stack exchange，提问作者TheMah