Доверие леса в одной подсети для миграции пользователей

Хотите знать, если кто-нибудь мог бы дать какой-нибудь совет по чему-то. У меня есть домен, который отчаянно нуждается в обновлении. Как правило, можно добавить новый DC с пониженным функциональным уровнем в домен, перенести роли, удалить старый DC, повысить функциональный уровень и покончить с этим, но я остаюсь в ситуации, когда я не могу adprep или Forestprep существующего домена контроллер из-за неумелого управления и плохого обслуживания, оставляя сломанные / неприкасаемые объекты в AD. Я перепробовал все исправления, которые мог найти, даже прибегая к ручным изменениям в кусте AD. По общему признанию, это, вероятно, то, как мой предшественник сломал это во-первых:/

Мой альтернативный вариант - создать новый новый домен, поскольку у нас небольшая среда. Я хотел бы создать доверие между старым лесом и новым лесом (2003 R2 и 2012 R2) и использовать ADMT для миграции / копирования пользователей с их sIDHistory в новый домен в новом лесу, чтобы каждый мог просто сохранить свой существующий профили.

Проблема, которую я не могу преодолеть, заключается в том, как установить доверие между двумя лесами, не имея отдельных сетей. Новый DC может видеть, что другой лес доверяет ему, но старый DC не может видеть новый лес, отвечающий взаимным доверительным отношениям. Это может быть очевидно для человека, привыкшего управлять корпоративными слияниями, а не только для управления существующей инфраструктурой. У меня есть ощущение, что это связано с рекламируемыми сервисами /DNS, но я, вероятно, не прав и нахожусь на касательной погоне за слабо связанными решениями.

Я также играл с идеей преобразования всех профилей домена в локальные профили, присоединения их к новому домену и последующего преобразования их профилей в профили домена. Представит ли это фактически такое же требование к учетным записям пользователей в новом домене, для которого требуется sIDHistory?

Заранее благодарю за любой совет.