LDIFDE 是 Windows Server 中用于批量导入导出 Active Directory OU 等对象的命令行工具，需严格遵循 LDIF 语法：每个 OU 条目必须包含 dn、objectClass（top 和 organizationalUnit，顺序不可颠倒）、ou 属性，条目间以空行分隔；导入时使用 ldifde -i -f 文件名 -s 域控制器 -c 替换根域名，推荐加 -v 和 -j 参数便于排错；常见错误包括 DN 语法错误、权限不足、父 OU 未预先创建或 DN 重复，可通过调整顺序、提升权限、检查字符或添加 -k 参数规避；导入后应使用 dsquery 或 Get-ADOrganizationalUnit 验证，并可扩展 description 等属性。

ldifde 是 windows server 中用于批量导入导出 active directory 对象的命令行工具，支持 ou、用户、组等对象操作。批量创建 ou 结构需使用 ldif 格式文件，并通过 ldifde -i 导入。关键在于 ldif 文件语法必须严格符合 ad 要求，否则会报错或创建失败。

LDIF 文件格式要点（创建 OU 必须满足）

每个 OU 条目需包含以下必需属性：

• dn：完整可分辨名称（DN），如 dn: OU=Sales,DC=contoso,DC=com
• objectClass：必须为 top 和 organizationalUnit（顺序不能颠倒）
• ou：OU 名称本身，值需与 DN 中的 OU= 部分一致，如 ou: Sales
• 空行分隔不同条目（包括末尾）

示例（sales.ldf）：

dn: OU=Sales,DC=contoso,DC=com
objectClass: top
objectClass: organizationalUnit
ou: Sales

dn: OU=Marketing,OU=Sales,DC=contoso,DC=com
objectClass: top
objectClass: organizationalUnit
ou: Marketing

dn: OU=Finance,DC=contoso,DC=com
objectClass: top
objectClass: organizationalUnit
ou: Finance

导入命令及常用参数说明

在域控制器或已安装 RSAT 的管理机上以管理员身份运行 CMD 或 PowerShell：

• 基础导入：ldifde -i -f sales.ldf -s dc01.contoso.com -c "DC=X" "DC=contoso,DC=com"
• -s 指定目标域控制器（可省略，默认本地 DC）
• -c 替换 LDIF 中的占位符（如用 DC=X 表示根域名，再映射为实际域名），避免硬编码、提升复用性
• -v 启用详细日志（推荐首次运行时添加）
• -j . 指定日志目录（当前目录），生成 ldifde.log 方便排查

常见错误与规避方法

导入失败多因 LDIF 语法或权限问题：

• “Error 8344: The object name has bad syntax” → 检查 DN 是否含非法字符（如中文逗号、全角符号）、OU 名是否含斜杠 / 或引号
• “Error 50: Insufficient access rights” → 当前账户需有 OU 创建权限（通常 Domain Admin 或 Enterprise Admin）
• 父 OU 不存在时报错 → LDIF 中条目顺序必须由上至下（先建父 OU，再建子 OU），不可颠倒
• 重复 DN 报错 → 导入前确认目标 OU 尚未存在，或加 -k 参数忽略已存在对象错误（不覆盖，仅跳过）

验证与补充建议

导入完成后建议立即验证：

• 用 dsquery ou -name "Sales" 或 Get-ADOrganizationalUnit -Filter 'Name -eq "Sales"' 确认 OU 已创建
• 若需设置 OU 属性（如 description、adminDescription），在 LDIF 中追加对应字段，如 description: 销售部门
• 生产环境建议先导出当前 OU 结构做备份：ldifde -f backup_ou.ldf -d "DC=contoso,DC=com" -r "(objectClass=organizationalUnit)" -l "dn,objectClass,ou,description"