我的公司经营 SaaS 产品。我负责的是我们的公司环境，即用户、计算机和公司办公室的数据中心。我计划升级我们当前的 Active Directory 结构。我有大约 65 个用户，其中 60 个在我们的公司办公室工作，另外 5 个在他们各自的内政部工作。我有五个数据中心，地理位置分散，拥有自己的 AD 森林。我想把所有东西都拉到一个森林下。这里的最佳做法是什么？它们应该是他们自己的独立林还是应该是父林下的域。请记住，对其他数据中心的所有访问都是从公司办公室访问的。
通过升级或从头开始升级我当前的 Active Directory 环境对我来说会更好吗？两者的优缺点是什么？
通常，一旦您进入 AD，您想要提升，而不是迁移。这样您就不必进行计算机帐户迁移等。是否成为单独的林（甚至域）的问题更多地取决于您的运作方式，而不是其他任何事情。需要考虑的一些事情：
您的问题的症结听起来像：我想要多森林基础设施还是单一森林基础设施？
当您需要组织之间的安全边界时，您需要多林。域不是安全边界。
回答这个问题，然后剩下的就很容易了。您希望尽可能少的森林来满足您的安全边界要求。您希望尽可能少的域来满足您的复制边界要求。
我的理解有点过时，但新版本的 AD 处理这种情况要好一些。我认为这是一个空根是个好主意的情况。您的森林顶部有一个域（例如... dir.organisation.org），该域仅用于 DNS 和全局目录。然后，您创建子域（tx.dir.organisation.org、ca.dir.organisation.org 等）作为空根的子域。然后为每个地理上分散的数据中心配置站点。全局目录数据仍需通过您的 WAN 链接进行复制，DNS 更新在某种程度上也是如此。无论这对您的环境是否合理，您都必须自己决定。但如果你有这方面的基础设施，我建议你这样做。这将提供内置的信任和统一的帐户数据库，这是 AD 的主要优势之一。
至于升级，我们喜欢提升域的功能级别，然后使用 dcpromo 将 DC 降级为成员服务器，使用新的 OS 版本重新格式化，然后使用 dcpromo 使其再次成为 DC。对每个 DC 进行清洗、漂洗、重复，直到全部升级。然后，一旦您对解决兼容性问题感到满意，就将功能级别提高到新操作系统的功能级别。