LDIFDE 导入 OU 必须指定 -c 和 -f 参数，-c 用于替换 LDIF 中占位符（如 DC=X），-f 指向 UTF-8（无 BOM）编码的 LDIF 文件；创建嵌套 OU 需按父到子顺序书写，否则报错 0x209a；预检用 -n 模式可提前发现 90% 错误。
LDIFDE 导入 OU 时必须指定 -c 和 -f，否则会报“no input file”或“invalid DN”
ldifde 不像 powershell 那样能交互式创建结构，它严格依赖 ldif 文件的格式和上下文替换。最常被忽略的是 -c 参数——它用来定义 ldif 文件中占位符（如 dc=x）的实际替换值。如果没加 -c "dc=x" "dc=example,dc=com"，哪怕文件里写的是 dn: ou=sales,dc=x，ldifde 也根本不会替换，直接当成非法 dn 报错。
实操建议：
-
-f必须指向一个已存在的、UTF-8（无 BOM）编码的 .ldif 文件；Windows 记事本默认保存为 ANSI，用 VS Code 或 Notepad++ 重存时选 UTF-8 -
-s显式指定域控制器主机名（如-s dc01.example.com），避免因 DNS 或 Kerberos 票据问题连错 DC - OU 的
objectClass必须是organizationalUnit，不能写成ou或漏掉 - LDIF 文件开头无需空行，但每个条目之间必须有且仅有一行空行
LDIF 文件里创建嵌套 OU 要严格按层级顺序写，不能倒序或跳级
AD 不允许在父容器不存在的前提下创建子 OU。LDIFDE 是顺序执行的，遇到第一个找不到父 DN 的条目就会中断并报错 Error 0x209a The object does not exist。比如你想建 OU=HR,OU=Departments,DC=example,DC=com 和它的父级 OU=Departments,DC=example,DC=com，必须把 OU=Departments 写在前面。
示例片段（正确）：
dn: OU=Departments,DC=example,DC=com changetype: add objectClass: organizationalUnit dn: OU=HR,OU=Departments,DC=example,DC=com changetype: add objectClass: organizationalUnit
常见错误：
- 把
OU=HR放在OU=Departments前面 → 直接失败 - 中间缺一级，比如只写了
OU=HR,DC=example,DC=com，但没建OU=Departments→ 失败 - DN 中大小写不一致（如
dc=EXAMPLE,dc=COM），而域实际是dc=example,dc=com→ 可能成功但后续权限/组策略应用异常
导入前用 ldifde -n -f xxx.ldif 预检，比直接跑 -i 安全十倍
-n 是“dry-run”模式：它解析 LDIF 文件、做语法校验、展开 -c 替换、检查 DN 合法性，但不真正写入 AD。这是唯一能提前发现 90% 配置错误的方式。一旦跳过这步，等几百个 OU 卡在第 37 个报错，回溯成本极高。
关键点：
- 预检输出里每行开头是
Entry:表示该条目可被识别；出现Error:则必须修正 - 注意看输出中实际解析出的 DN 是否符合预期，尤其验证
-c替换是否生效 - 如果 LDIF 含中文 OU 名，预检输出中应显示正常 Unicode 字符，若变成乱码（如
OU=工系），说明文件编码不是 UTF-8 -
-n不检查网络连通性或权限，所以仍需确保运行账号对目标容器有Create Organizational-Unit权限
权限不足时错误信息模糊，实际要查 0x2098 和 0x208c 这两个代码
LDIFDE 不会直接说“你没权限”，而是抛出类似 Error 0x2098: Unable to resolve name 或 Error 0x208c: Insufficient access rights。前者常被误判为 DNS 或 DN 写错，其实是 ACL 拒绝了写入；后者才是真正权限问题。
排查路径：
- 用
dsacls "OU=Departments,DC=example,DC=com"看当前用户是否有CREATE_CHILD权限 - 确认账号是 Domain Admin 或明确被授予了目标 OU 的“创建组织单位”权限（不是只读）
- 避免用普通域用户账号执行，即使它能登录服务器——AD 权限模型和本地登录权限完全独立
- 如果跨林操作，
-s指定的 DC 必须属于目标林，且信任关系已建立、Kerberos 可互通
真正难处理的是多级嵌套 + 自定义 schema 扩展后的 OU，这时候 DN 解析、权限继承、GC 全局编录同步延迟都会叠加影响。别指望一次成功，先用单个最浅层 OU 验证整个链路。
