• Workplace Join：支持设备在不加入域的情况下，通过第二因子认证和单点登录

• 通过web应用代理访问内部应用:外部设备可以直接通过Web应用代理来访问内部应用和服务，

• 如：ADFS、Applications。

• 通过规则以决定访问ADFS资源的用户权限，权限有三种：允许所有用户访问、输入凭据访问、拒绝用户访问

迁移工作可以有多种方式，常见的就是在不同设备上进行迁移，这样安全可靠。还有一种是就地升级的迁移，

这种方式只限于能直接升级到Windows Server 2012 R2 的系统，升级前做好系统备份工作。

1.新安装一台Windows server 2012 R2服务器，打开添加角色和功能对话框。

2.在安装类型页面点击下一步

3.在服务器选择页面，点击下一步

4.在服务器角色页面，选择AD域服务角色，点击下一步

5.在功能页面，点击下一步

7.点击下一步

8.勾选“如果需要，自动重新启动服务器”，点击安装

9.安装完成后点击“将此服务器升级为域控制器”

10.在部署配置页面，选择将域控制器添加到现有域，具体配置如图所示，点击下一步

11.输入目录还原密码，然后点击下一步

12.点击下一步

13.复制自 选择主域控制器，然后点击下一步

14.在路径页面，点击下一步

15.点击下一步

16.点击下一步

17.先决条件检查通过后，点击安装

18.安装完成后，点击关闭

19.在AD管理中心中看到，windows server 2012 R2 服务器已经成为域控制器。

（二）将域的五个角色转移到Windows server 2012 R2

AD域环境中的五大主机角色

在Win Server多主机复制环境中，任何域控制器理论上都可以更改ActiveDirectory中的任何对象。但实际上并非如此，

某些AD功能不允许在多台DC上完成，否则可能会造成AD数据库一致性错误，

这些特殊的功能称为“灵活单一主机操作”，常用FSMO来表示，

拥有这些特殊功能执行能力的主机被称为FSMO角色主机。在Win AD域中，FSMO有五种角色,分成两大类:

森林级别(在整个林中只能有一台DC拥有访问主机角色)

1：架构主机 (Schema Master)

2：域命令主机 (Domain Naming Master)

域级别(在域中只有一台DC拥有该角色

3：PDC模拟器(PDC Emulator)

4：RID主机 (RID Master)

5：基础架构主机 (Infrastructure Master)

1：架构主机

控制活动目录整个林中所有对象和属性的定义，具有架构主机角色的DC是可以更新目录架构的唯一 DC。

这些架构更新会从架构主机复制到目录林中的所有其它域控制器中。 

架构主机是基于目录林的，整个目录林中只有一个架构主机。

2：域命令主机

向目录林中添加新域。

从目录林中删除现有的域。

添加或删除描述外部目录的交叉引用对象.

3：PDC模拟器

向后兼容低级客户端和服务器，担任NT系统中PDC角色

时间同步服务源，作为本域权威时间服务器，为本域中其它DC以及客户机提供时间同步服务，

林中根域的PDC模拟器又为其它域PDC模拟器提供时间同步!

密码最终验证服务器，当一用户在本地DC登录，而本地DC验证本地用户输入密码无效时，

本地DC会查询PDC模拟器，询问密码是否正确。

首选的组策略存放位置，组策略对象(GPO)由两部分构成：GPT和GPC，其中GPC存放在AD数据库中，

GPT默认存放PDC模拟器在\\windows\sysvol\sysvol\目录下，然后通过DFS复制到本域其它DC中。

name域主机浏览器，提供通过网上邻居查看域环境中所有主机的功能

4：主机角色：RID主机

Win环境中，所有的安全主体都有SID，SID由域SID+序列号组合而成，后者称为“相对ID”(Relative ID,RID),在Win环境中，

由于任何DC都可以创建安全主体，为保证整个域中每个DC所创建的安全主体对应的SID在整个域范围唯一性，设立该主机角色，

负责向其它DC分配RID池(默认一次性分配500个)，

所有非RID主机在创建安全实体时，都从分配给的RID池中分配RID，以保证SID不会发生冲突! 当非RID主机中分配的RID池使用到80%时，

会继续RID主机，申请分配下一个RID地址池!

5：基础架构主机

基础结构主机的作用是负责对跨域对象引用进行更新，以确保所有域间操作对象的一致性。

基础架构主机工作机制是定期会对没有保存在本机的引用对象信息，而对于GC来说，会保存当前林中所有对象信息。

如果基础架构主机与GC在同一台机，基础架构主机就不会更新到任何对象。所以在多域情况下，强烈建议不要将基础架构主机设为GC。

接下来就开始介绍如何利用ntdsutil.exe 工具迁移五个主机角色

1.在windows server 2012 R2 域控制器上，以管理员身份打开Powershell，并且输入ntdsutil.exe

2.输入 Roles

3.输入connection

4.输入connect to server win2012R2（注：新的域控名称）

5.输入quit 返回上层命令

6.输入transfer naming master，迁移命名主机角色，点击是

7.输入transfer infrastructure master ，迁移基础架构主机角色，点击是

8.输入transfer PDC，迁移PDC主机角色，点击是

9.输入transfer RID Master ，迁移RID主机角色，点击是

10.输入transfer schema master ，迁移架构主机角色，点击是

11.输入Netdom query fsmo,查看角色转移情况

（三）降级windows server 2008 R2域控级别，删除上面域服务，然后windows server 2012 R2上提升域功能级别。

1.首先我们登陆到windows server 2008 R2上（源域控服务器），运行dcpromo。

2.弹出域服务安装向导，点击下一步。

3.弹出警告，点击确定

4. 在删除域页面，点击下一步

5.在删除DNS委派页面，点击下一步

6.输入新的管理员密码，然后点击下一步

7.在摘要页面点击下一步

8.卸载完成后，回到windows server 2012 R2 域控制器上，然后打开AD管理中心，在任务栏中点击“提升林功能级别”。

9.选择林功能级别为windows server 2012 R2 ，然后点击确定。

接下来用同样方法，提升域功能级别，到这里，域升级的工作步骤就差不多了，接下来就是在工作中验证新迁移的域有没有存在身份验证问题，

所以建议在域迁移升级后，不要急于删掉原来的域控制器，等确保无误后，再删除域控。

（四）利用就地升级的方式升级域控制器到windows server 2012 R2

下表列出了支持就地升级的路径：

可以将运行 Windows Server 2008 64 位版本或 Windows Server 2008 R2 的域控制器升级到 Windows Server 2012 R2。

运行 Windows Server 2003 或 Windows Server 2008 32 位版本的域控制器则无法升级。若要替换它们，

请在域中安装运行 Windows Server 2012 R2 的域控制器，然后删除运行 Windows Server 2003 的域控制器。

1. 首先登录到windows server 2008 R2的域控制器上，插入windows server 2012 R2的安装镜像，

2. 打开命令提示符进入support\adprep下运行adprep /domainprep准备域环境。

3. 
   

2.按照提示输入C然后按Enter继续等待完成

3.运行windows server 2012 R2安装程序

4.点击立即在线安装更新

5.输入server 安装密钥，然后点击下一步

6.选择版本，然后点击下一步。

7.接受许可条款，然后点击下一步。

8.选择升级安装

9.先决条件检查通过后，点击下一步

10.等待安装升级完成后，进入新的windows server 2012 R2 系统中查看