如何实现用户及组从Oracle Internet Directory到Microsoft Active Directory的迁移

以下是经过实际验证的可行工具与实现路径：

1. 原生工具组合方案 #

无需额外部署第三方组件，直接用两个平台自带工具完成迁移：

• Oracle Internet Directory端导出：使用OID原生的ldifwrite命令，可全量导出指定基准DN下的所有OU、用户、用户组对象，输出标准LDIF格式文件。参考命令：

  ldifwrite connect=你的OID实例名 baseDN="dc=你的域名,dc=com" outputFile=oid_full_export.ldif
  

• 导出内容清洗：OID和AD的Schema规则、属性命名存在差异，需要先批量调整LDIF内容：

  常见调整项：OID的uid映射为AD的sAMAccountName、OID组的uniquemember属性转换为AD的member格式、批量替换两个平台不一致的DN后缀

• Active Directory端导入：使用AD原生的ldifde命令，按「OU结构→用户→用户组成员关系」的顺序依次导入，避免依赖报错。参考命令：

  ldifde -i -f 清洗后的文件路径.ldif -s AD服务器域名 -k
  

  -k参数会跳过已存在的对象、约束冲突等非致命错误，避免导入过程中断。

2. 一站式迁移工具 #

如果需要降低手动清洗成本、或者后续需要长期维持两个目录的同步，可选用以下工具：

• 微软Identity Manager (MIM)：微软官方身份管理工具，自带OID和AD的预适配连接器、属性映射模板，支持全量一次性迁移+后续增量同步，适合企业级生产环境使用。
• 开源LDAP同步工具LSC：轻量开源工具，支持自定义过滤规则、属性转换逻辑，配置好OID和AD的连接参数后可自动完成全量迁移，也支持增量同步，适合预算有限的场景。

3. 自定义脚本方案 #

如果需要完全可控的迁移逻辑，可以自行写脚本实现：

• 选用Python的python-ldap库、Java的UnboundID LDAP SDK都可以实现
• 脚本逻辑按顺序执行：先同步OU层级结构、再同步用户对象、最后同步用户组和成员关系
• 重点注意：OID默认无法导出可直接适配AD的密码哈希，要么提前规划用户导入后重置初始密码，要么迁移阶段部署密码同步插件实时同步用户密码

迁移前置校验项 #

• 先做小范围测试：先导出单个OU下的少量用户、组做导入验证，确认属性映射、权限、账号状态符合预期再全量操作
• 权限校验：操作账号需要有OID的全量读权限，以及AD目标OU的创建、修改对象权限
• 冲突排查：提前清理AD中已存在的同名、同登录名对象，避免导入冲突

内容的提问来源于stack exchange，提问作者Sourabh Yaduvanshi