域迁移重建OU结构需遵循“先规划、再导出、后重建、再映射”流程，重点保持逻辑关系、权限继承和GPO关联；须梳理层级命名、GPO链接及委派权限，用PowerShell导出并批量创建OU，同步设置关键属性，迁移对象后重连策略与权限，并验证清理。
域迁移过程中重建组织单位（ou）结构，核心是“先规划、再导出、后重建、再映射”，不是简单复制粘贴。关键在于保持原有逻辑关系、权限继承和组策略关联不中断。
梳理现有OU架构与依赖关系
迁移前必须理清三点：一是OU的嵌套层级和命名规范（比如是否含部门缩写、地域前缀）；二是哪些OU链接了组策略对象（GPO），策略是否启用、是否被阻止继承；三是OU内是否启用了委派控制，哪些安全组或用户拥有管理权限。建议用PowerShell导出完整OU树：
Get-ADOrganizationalUnit -Filter * -Properties CanonicalName,Description,DistinguishedName | Export-Csv OU-Inventory.csv -NoTypeInformation
在目标域中按逻辑重建OU
不能逐个手动新建，应使用脚本批量创建，确保路径、属性一致：
Windows TTS (WSL2)
下载
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
- 从源域导出的CSV或LDIF文件中提取OU的DistinguishedName和CanonicalName
- 用New-ADOrganizationalUnit命令按父OU顺序逐级创建，例如先建
OU=研发部,DC=abc,DC=cam，再建其下的OU=前端组,OU=研发部,DC=abc,DC=cam - 同步设置Description、ProtectedFromAccidentalDeletion等关键属性，避免误删
迁移对象并重连策略与权限
OU结构建好后，用户、组、计算机等对象需迁移过去，同时恢复原有管理关系：
- 用Move-ADObject将账户移入对应新OU，注意禁用SID历史可能导致权限丢失，必要时启用Enable-SIDHistory
- 重新链接GPO：在目标域的组策略管理控制台（GPMC）中，右键新OU → “链接现有GPO”，选择已迁移或等效配置的策略
- 重新委派：通过“OU属性→委派控制”向原管理员组授予相同权限，不要依赖旧域SID，改用目标域中对应的安全组
验证与清理
迁移后立即检查三项：
- 执行gpresult /h report.html /scope computer确认GPO是否实际应用到目标OU下的计算机
- 用Get-ADPrincipalGroupMembership抽查迁移后用户的组成员身份是否完整
- 删除源域中已清空的OU（如无残留对象），避免混淆；保留过渡期日志至少30天
