Importieren und Exportieren von Verzeichnisobjekten in bzw. aus Active Directory mit LDIFDE

Das LDID (LDAP Data Interchange Format) ist ein Internetstandard im Entwurfsstadium, der ein Dateiformat für Batchoperationen mit LDAP-konformen Verzeichnissen beschreibt. LDIF eignet sich zum Exportieren und Importieren von Daten, sowie zum Durchführen von Batchoperationen wie Hinzufügen, Erstellen und Ändern mit Active Directory. Das in Windows 2000 enthaltene Dienstprogramm LDIFDE unterstützt Batchoperationen auf Basis des LDIF-Dateiformatstandards. Dieser Artikel soll Ihnen dabei helfen, das Dienstprogramm LDIFDE erfolgreich zum Migrieren von Verzeichnissen einzusetzen.

Anzeigen der allgemeinen Parameter von LDIFDE

1. Klicken Sie auf Start, zeigen Sie auf Programme, zeigen Sie auf Zubehör, und klicken Sie dann auf Eingabeaufforderung.
2. Geben Sie an der Eingabeaufforderung Folgendes ein: ldifde ? Die enthaltenen Hilfeinformationen werden wie folgt angezeigt:

Allgemeine Parameter

Exportspezifische Parameter

Importspezifische Parameter

Anmeldeinformationen

Hinweis: Das Dienstprogramm ist sehr flexibel und bietet eine Reihe von Befehlszeilenschaltern und -argumenten an. Das Dienstprogramm ist in Windows 2000 Server enthalten, jedoch nicht in Windows 2000 Professional. LDIFDE kann auf einen Computer mit Windows 2000 Professional kopiert und dann remote zum Bearbeiten von Active Directory auf einem Computer mit Windows 2000 Server verwendet werden.

Exportieren und Importieren von Verzeichnisobjekten mit LDIFDE

Im Folgenden wird Schritt für Schritt erläutert, wie Organisationseinheiten und Benutzerkonten aus einem Active Directory exportiert und in ein anderes Active Directory importiert werden. Für dieses Beispiel steht "Export" für den Namen der Domäne, aus der die Objekte exportiert werden und "Import" für den Namen der Domäne, in die die Objekte importiert werden sollen. LDIFDE kann auch zum Importieren von Fremdanbieterordnern in Active Directory verwendet werden.

Exportieren der Organisationseinheiten aus der Quelldomäne

1. Melden Sie sich als Administrator an der Domäne "Export" an. Wenn Sie sich unter einem Konto anmelden, das nicht über Administratorrechte verfügt, können Sie möglicherweise die Export- und Importvorgänge in Active Directory nicht durchführen.
2. Klicken Sie auf Start, zeigen Sie auf Programme, zeigen Sie auf Zubehör, und klicken Sie dann auf Eingabeaufforderung.
3. Geben Sie an der Eingabeaufforderung Folgendes ein:
   ldifde -f exportOu.ldf -s Server1 -d "dc=Export,dc=com" -p subtree -r "(objectCategory=organizationalUnit)" -l "cn,objectclass,ou"
   Dieser Befehl exportiert außer den Domänencontrollern alle Organisationseinheiten in die Datei "ExportOU.ldf".

Exportieren der Benutzerkonten aus der Quelldomäne

Geben Sie an der Eingabeaufforderung Folgendes ein: Dieser Befehl exportiert alle Benutzer der Domäne "Export" in die Datei "Exportuser.ldf". Wenn nicht alle erforderlichen Attribute verwendet werden, kann der Importvorgang nicht ausgeführt werden. Die Attribute objectclass und samAccountName sind erforderlich, jedoch können bei Bedarf weitere Attribute verwendet werden.

Hinweis: Bei vordefinierten Konten, z. B. "Administrator", ist das Feld "Vorname" nicht definiert. Standardmäßig exportiert der oben angegebene LDAP-Filter demzufolge diese Konten nicht. Mit LDIFDE können keine Kennwörter exportiert werden.

Hinweis: Ohne den Parameter -s wählt LDIFDE einen globalen Katalog für Exporte. Abhängig von der Platzierung des Domänencontrollers kann dieser Server ein Domänencontroller für eine andere Domäne sein und Exporte könnten fehlschlagen. Dies sehen Sie, wenn Sie die Ausgabe von LDIFDE überprüfen. In diesem Fall legen Sie einen lokalen Domänencontroller für die Domäne fest, in der sich die Objekte befinden.

Importieren der Organisationseinheiten der Domäne "Export" in die Domäne "Import"

1. Melden Sie sich als Administrator an der Domäne "Import" an. Wenn Sie sich unter einem Konto anmelden, das nicht über Administratorrechte verfügt, können Sie möglicherweise die Export- und Importvorgänge in Active Directory nicht durchführen.
2. Öffnen Sie die Datei "Exportou.ldf" im Editor.
3. Klicken Sie im Editor im Menü Bearbeiten auf Ersetzen.
4. Geben Sie im Feld Suchen nach die Zeichenfolge Export ein. Geben Sie im Feld Ersetzen durch die Zeichenfolge Import ein.
5. Klicken Sie auf Alle ersetzen.
6. Prüfen Sie, ob der Domänenname überall ersetzt wurde. Speichern und schließen Sie die Datei.
7. Geben Sie an der Eingabeaufforderung Folgendes ein:
   ldifde -i -f ExportOU.ldf -s Server2

Es sollte eine Meldung mit der Anzahl der geänderten Einträge und einer Bestätigung über das erfolgreiche Ausführen des Befehls angezeigt werden.

Hinweis: In dieser Situation müssen Sie zunächst den ersten Schritt durchführen, damit beim zweiten Schritt die Organisationseinheiten zum Aufnehmen der Benutzerkonten vorhanden sind.

Importieren der Benutzer der Domäne "Export" in die Domäne "Import"

1. Öffnen Sie die Datei "Exportuser.ldf" im Editor.
2. Klicken Sie im Editor im Menü Bearbeiten auf Ersetzen.
   
   Hinweis: Für dieses Beispiel steht, wie bereits erwähnt, "Export" für den Namen der Domäne, aus der die Objekte exportiert werden und "Import" für den Namen der Domäne, in die die Objekte importiert werden sollen. Ersetzen Sie "Export" durch den Namen der Domäne, aus der Sie exportiert haben und "Import" durch den Namen der Domäne, in die Sie importieren möchten.
3. Geben Sie im Feld Suchen nach die Zeichenfolge Export ein. Geben Sie im Feld Ersetzen durch die Zeichenfolge Import ein.
4. Klicken Sie auf Alle ersetzen.
5. Prüfen Sie, ob der Domänenname überall ersetzt wurde. Speichern und schließen Sie die Datei.
6. Geben Sie an der Eingabeaufforderung Folgendes ein:
   ldifde -i -f Exportuser.ldf -s Server2
7. Zeigen Sie die neu erstellten Kontakte entweder im Snap-In "Active Directory-Benutzer und Computer" oder im Windows-Adressbuch an.

Hinweis: Da LDIFDE keine Kennwörter exportiert, sind Benutzerkonten nach dem Importieren deaktiviert und haben keine (bzw. leere) Kennwörter. Dies geschieht aus Sicherheitsgründen. Zusätzlich ist die Option "Benutzer muss Kennwort bei der nächsten Anmeldung ändern" aktiviert.

Exportieren von Objekten aus einer Gesamtstruktur

Wenn Organisationseinheiten, Benutzer und Gruppen aus einer Gesamtstruktur exportiert werden sollen, können entweder die oben beschriebenen LDIFDE-Befehle für jede Domäne der Gesamtstruktur ausgeführt werden oder einmal für den globalen Katalog. Stellen Sie dabei sicher, dass auf dem nach dem Schalter "-s" angegebenen Domänencontroller ein globaler Katalog bereitgestellt wird, und geben Sie mittels des Schalters "-t" die Portnummer des globalen Katalogs an. Die Portnummer des globalen Katalogs ist 3268.

Um beispielsweise den beschriebenen Exportvorgang für einen globalen Katalog auszuführen, würden Sie folgenden Befehl verwenden: Hinweis: Achten Sie beim Ändern von Attributen in Active Directory darauf, dass die Importdatei dem folgenden Format entspricht. Insbesondere muss auf das Zeichen "-" in einer Leerzeile immer eine völlig leere Zeile folgen. Zum Importieren dieser Datei führen Sie den folgenden Befehl aus: ldifde -i -f Import.ldf -s Server.

Beispiel für das Dateiformat der Datei zum Importieren bzw. Ändern:

Importieren mehrwertiger Attribute

Importierte Dateien mit mehrwertigen Attributen besitzen folgende Form:
dn: distinguishedName
changetype: modify
replace: attribute
modify replace: attribute [hier muss das zu änderndes Attribut stehen]
attribute: value1
attribute: value2
attribute: valueN [N steht hierbei für den nächsten Wert] - [Bindestrich, wird zum Terminieren der Eingabedatei benötigt]
example:
dn: CN=Connector for Lotus Notes (EX1),CN=Connections,CN=First Routing Group,CN=Routing Groups,CN=First Administrative Group,CN=Administrative Groups,CN=VINC,CN=Microsoft Exchange,CN=Services,CN=Configuration,DC=vinc,DC=biz changetype: modify replace: msExchExportContainersLinked msExchExportContainersLinked: OU=GroupWise Users,DC=vinc,DC=biz msExchExportContainersLinked: OU=AD Users,DC=vinc,DC=biz msExchExportContainersLinked: CN=Users,DC=vinc,DC=biz