このサイトは、もともと作者の自分用メモとして書き始めたものです。書いてあることが全て正しいとは限りません。他の文献、オフィシャルなサイトも確認して、自己責任にて利用してください。

Active Directory移行PowerShellスクリプト
Export-ADData

どうも、Windowsの Active Directory からユーザやグループをエクスポートしてまた別の AD へインポートする、ニートでまともな道具が世の中にあまり存在しないようだ。そこで、そういう PowerShellスクリプト を一から作った。

提供場所 - GitHub

GitHub export-ADData

機能

GitHubの README から抜粋して日本語にしたものを以下に示す。

README 抜粋

Export-ADData

概要

Export-ADData は、Active Directory (AD) のユーザーおよびグループをCSVファイルにエクスポートするための PowerShell スクリプトです。柔軟なエクスポートオプションを備えています。

Import-ADData は、エクスポートされたCSVファイルから AD ユーザーおよびグループを Active Directory にインポートするためのスクリプトです。

インポート先の AD は、エクスポート元と同じである必要はありません。異なるドメインベースを指定すると、自動的にパスを変換します。また、インポート時に必要な中間層の OU が存在しない場合、自動的に作成する機能を備えています。

当スクリプトの想定される使用方法としては、ドメインの基底を指定してエクスポートすることで、オブジェクトの必要な属性を失うことなく出力。必要に応じて、エクスポートされたCSVファイルを編集し、不要なエントリを削除するなどの調整を行ってからインポートに使用することも可能です。いくつかのユーザーにパスワードを設定したい場合は、ユーザーCSV に "Password" 列を追加し、パスワードを平文で記入してください (エクスポート時のCSVにはパスワード列はありません)。アカウントの "Enabled" フラグを復元するにはパスワードが必須であることに注意してください。

インポート時には、主に以下の 3 つのプランを想定しています。

1. DC=domain,DC=local でエクスポートし、同じ DC=domain,DC=local へインポート
• AD のユーザー/グループの バックアップ & リストア に相当。
• ただし、GUID や SID など、AD によって自動生成されるプロパティはエクスポート元と異なる値になる ことに注意。
2. DC=olddomain,DC=local でエクスポートし、DC=newdomain,DC=local へインポート
• 異なるドメインベースへ移行。
• ドメイン名を変換し、階層構造を維持したままユーザー/グループを割り当てる。
3. DC=domain,DC=local でエクスポートし、OU=osaka,DC=domain,DC=local へインポート
• ドメイン基底から特定の OU へ一括移行。
• ユーザー/グループの依存する中間 OU もすべて再現しながら移行。
• ただし、 CN=Users コンテナ内のユーザーは OU の直下に作成される (OU の下に Users コンテナや OU=Users を作成することは不可能なため)。
• DC=newdomain を指定することも可能で、その場合、異なる建物の別フロアへ移動するようなイメージ で移行できる。

Compare-ADCSV は、AD からエクスポートされた 2 つのCSVファイルを比較 するためのスクリプトです。インポート前後の検証に活用できます。

Check-ADUserPassword は、ユーザーのパスワードが 想定通りに設定されているか をチェックするためのシンプルなユーティリティスクリプトです。

機能

Export-ADData

• AD のユーザーとグループをCSVファイルとしてエクスポート。

Import-ADData

• CSVファイルから AD ユーザーおよびグループをインポート。
• システムオブジェクトを オプションで含めることが可能。
• CN=Users コンテナ内のオブジェクトを特別かつ適切に処理し、必要に応じて指定された OU にリダイレクト。
• 存在しない中間 OU を自動作成。
• インポート処理の詳細なログを出力。
• 新規作成された OU の「誤削除防止」設定を無効化可能 (事前検証に便利)。

Compare-ADCSV

• AD のユーザーやグループのCSVファイルを比較。
• sAMAccountName をキーに比較。
• DistinguishedName の差異や、一方のファイルにのみ存在するエントリを特定。
• ユーザーの Enabled、PasswordNeverExpires プロパティも検証。
• 差異のないエントリもオプションで出力可能。
• 比較結果を CSV または PowerShell コンソールに出力。

Check-ADUserPassword

• AD に設定されているユーザーのパスワードが期待通りかを確認。
• 頻繁に実行する場合は、スクリプト内でドメインを事前設定可能 (手間を削減)。

使用例

ADデータのエクスポート

ドメイン基底からユーザとグループをフォルダ "C:\ADExport" のCSVファイルにエクスポート

.\export-ADData.ps1 -DNPath "DC=mydomain,DC=local" -OutPath "C:\ADExport"

ADデータのインポート

グループをCSVから別のドメイン基底へインポート（システムオブジェクトは除外）

.\import-ADData.ps1 -DNPath "DC=newdomain,DC=local" -GroupFile "C:\ADExport\Groups_mydomain_local.csv"

ユーザをCSVからドメイン上のOUへインポート。CSVファイル選択を誘導するダイアログが表示される

.\import-ADData.ps1 -DNPath "OU=unit,DC=newdomain,DC=local" -User