windows server 2016 active directory環境へのドメイン移行 …...windows server 2016....
TRANSCRIPT
2020年3月富士通株式会社
Windows Server® 2016Active Directory® 環境へのドメイン移行の考え方
Copyright 2016-2020 FUJITSU LIMITED
第1.2版
Copyright 2016-2020 FUJITSU LIMITED
改版日時 版数 改版内容
2016.11 1.0 新規作成
2018.02 1.1 ADMTの開発終了に伴い、記載を変更。
2020.03 1.2 2003ドメインから2016ドメインに移行した場合の情報を追加。外来語のカタカナ表記を変更。
改版履歴
1
目次
はじめに
1章 2016ドメインへの移行のポイント1.移行メリット
2.移行方法の種類
3.各移行方法のメリット・デメリット
4.既存ドメインからの移行パス
2章 既存ドメインから2016ドメインへの移行1.移行方法選択の考え方
2.既存ドメインのバージョンアップ
移行概要
移行手順
3.新規ドメイン構築&アカウント移行
移行概要
移行手順
Copyright 2016-2020 FUJITSU LIMITED2
はじめに
本書は、Fujitsu Server PRIMERGYを用いて、既存のActive Directory®環境をWindows Server® 2016 Active Directory® 環境へドメイン移行する際の考え方・概要をご紹介するものです。
本書では、以下の略称を使用します。
Copyright 2016-2020 FUJITSU LIMITED
正式名称 略称
Microsoft® Windows Server® 2003 Windows Server 2003
Microsoft® Windows Server® 2008 Windows Server 2008
Microsoft® Windows Server® 2008 R2 Windows Server 2008 R2
Microsoft® Windows Server® 2012 Windows Server 2012
Microsoft® Windows Server® 2012 R2 Windows Server 2012 R2
Microsoft® Windows Server® 2016 Windows Server 2016
Microsoft® Windows Server® 2003 Active Directory®のドメイン 2003ドメイン
Microsoft® Windows Server® 2008 Active Directory®のドメイン 2008ドメイン
Microsoft® Windows Server® 2008 R2 Active Directory®のドメイン 2008 R2ドメイン
Microsoft® Windows Server® 2012 Active Directory®のドメイン 2012ドメイン
Microsoft® Windows Server® 2012 R2 Active Directory®のドメイン 2012 R2ドメイン
Microsoft® Windows Server® 2016 Active Directory®のドメイン 2016ドメイン
ドメインコントローラー DC
※図表では、更に省略した表記を使用する場合があります。
3
注意事項
注意事項
本ドキュメントを輸出または第三者へ提供する場合は、お客様が居住する国および米国輸出管理関連法規等の規制をご確認のうえ、必要な手続きをおとりください。
本書に記載されたデータの使用に起因する、第三者の特許権およびその他の権利の侵害については、当社はその責を負いません。
Copyright 2016-2020 FUJITSU LIMITED4
Copyright 2016-2020 FUJITSU LIMITED
1. 移行メリット
2. 移行方法の種類
3. 各移行方法のメリット・デメリット
4. 既存ドメインからの移行パス
1章 2016ドメインへの移行のポイント
5
Copyright 2016-2020 FUJITSU LIMITED
1章 2016ドメインへの移行のポイント
新しい認証方式「Microsoft Passport」への対応 Microsoft Passport は、Windows 10 から採用されたパスワードレスのユーザー認証を可能に
する新しいテクノロジーです。この新しい認証方法は、登録済みデバイスと、PIN あるいは生体認証の多要素認証から成り、従来のパスワード方式に比べてより強固なセキュリティ基盤を構築することができます。これまでは Microsoft アカウントと Azure AD アカウントでサポートされていましたが、Windows Server 2016 の登場によりオンプレミスの Active Directory に参加するWindows 10 でもサポートされるようになりました。
クラウドとオンプレミスとのハイブリッド統合 Azure AD Connect ツールを使用して Azure AD のディレクトリとオンプレミスの Active
Directory ドメインをディレクトリ統合することで、社内外のデバイスからオンプレミスの ID を用いて、クラウドアプリやオンプレミスのリソースにシングルサインオンでアクセスできる環境を実現できます。Windows Server 2016 の Active Directory フェデレーションサービスの機能強化により、社内外で Microsoft Passport を利用した認証が可能になります。
特権アクセス管理 (PAM) によるセキュリティリスクの低減 Windows 2016 ドメインでは、Microsoft Identity Manager (MIM) 2016 の特権アクセス管理
(Privileged Access Management, PAM) 機能がサポートされます。この機能により、ユーザーに対して永続的ではなく、必要なときに有効期限付きの特権アクセスの権限を付与し、有効期限が経過すると特権アクセスの権限をはく奪することできるため、セキュリティリスクを低減することができます。MIM 2016 の PAM は、Windows Server 2012 R2 以降の Active Directory ドメインをサポートしています。
1.移行メリット
6
ドメインの移行には以下の2つの方法があります。
既存ドメインのバージョンアップ
新規ドメイン構築&アカウント移行
Copyright 2016-2020 FUJITSU LIMITED
1章 2016ドメインへの移行のポイント
既存ドメインの構成、情報をそのままに、DCのリプレースを行うことでバージョンアップする方法です。
既存ドメインのアカウント情報を新規構築したドメインへコピーする方法です。
※ Windows Server 2012 R2までは、ADMT(Active Directory移行ツール)を利用して新規ドメインへアカウントを移行する方法を紹介しておりました。2017年6月、ADMTは開発が終了しており、 Windows Server 2016に対して動作保証されたADMTはリリースされないことがアナウンスされました。そのため、ADMTを使用した移行方法は推奨いたしません。アカウントの移行は手動で行うか、スクリプトなどを作成して行う必要があります。ADMTの対応状況に関して詳細は次の情報をご参照ください。Windows 10/Windows Server 2016 の環境における ADMT を使用する場合の対応状況についてhttps://social.technet.microsoft.com/Forums/azure/ja-JP/558a245e-aeb1-4481-b1e3-a533af470b0a/windows-10windows-server-2016-12398298722265912395123621236912427-admt?forum=Wcsupportja
バージョンアップ撤去
旧DC 新DC
アカウント移行
旧DC 新DC
2.移行方法の種類
7
Copyright 2016-2020 FUJITSU LIMITED
1章 2016 ドメインへの移行のポイント
各移行方法のメリット・デメリットは次のとおりです。“既存ドメインのバージョンアップ”を推奨いたします。
既存ドメインのバージョンアップ
○ 既存ドメインのドメイン名やアカウント情報を完全に引継ぎ可能
○ クライアントPCのドメイン再参加作業が不要
○ ファイルサーバーなどのアクセス権再設定作業が不要
新規ドメイン構築&アカウント移行
○ 既存ドメイン環境を維持したまま移行可能なため、段階的な移行が可能
× 既存ドメインのアカウント、グループ、権限等の移行方法を検討する必要がある
× ドメイン名が変更になるため、既存システムへの影響が大きい
× クライアントPCのドメイン再参加作業が必要となり、移行時のユーザー負担が増加
3.各移行方法のメリット・デメリット
8
ドメイン移行の移行パス
Copyright 2016-2020 FUJITSU LIMITED
1章 2016 ドメインへの移行のポイント
2016ドメイン
2003ドメイン
2008ドメイン
2008 R2ドメイン
2012ドメイン
移行後移行前
※1 2003ドメインから2016ドメインへの直接移行は可能です。2016ドメインでも2003機能レベルはサポートされますが推奨されていないため、移行後は機能レベルを Windows Server 2008 以上に変更してください。※2 2003ドメインから2016ドメインに移行する場合、下記KB2989971の問題が発生する場合があります。2016ドメインのすべてのDCに次の更新プログラムもしくはそれ以降の更新プログラムを適用してください。
2020 年 2 月 25 日 - KB4537806 (OS ビルド 14393.3542)https://support.microsoft.com/ja-jp/help/4537806/windows-10-update-kb4537806Windows Server 2012 R2 また2016は windows server 2003 環境でコンピューターアカウントのパスワードを変更した後にログオンできないhttps://support.microsoft.com/ja-jp/help/2989971/can-t-log-on-after-changing-machine-account-password-in-mixed-windows
※3 Windows Server, version 1709ではFRSのサポートが削除されたため2003ドメインから直接2016ドメインに移行することはできません。いったん2008/2008 R2/2012/2012 R2ドメインに移行し、FRSからDFSRに変更した上で、2016ドメインに移行します。
ドメインのバージョンアップ新規ドメイン構築&アカウント移行
ドメインのバージョンアップ新規ドメイン構築&アカウント移行
ドメインのバージョンアップ新規ドメイン構築&アカウント移行
ドメインのバージョンアップ ※1 ※2 ※3新規ドメイン構築&アカウント移行
4.既存ドメインからの移行パス
2012 R2ドメイン
ドメインのバージョンアップ新規ドメイン構築&アカウント移行
9
Copyright 2016-2020 FUJITSU LIMITED
1. 移行方法選択の考え方
2. 既存ドメインのバージョンアップ移行概要移行手順
3. 新規ドメイン構築&アカウント移行移行概要移行手順
2章 既存ドメインから2016ドメインへの移行
10
2003/2008/2008 R2/2012/2012 R2ドメインからの移行は、“既存ドメインのバージョンアップ”を推奨します。
移行を機にドメイン環境を一新したい場合や、以下のような特別な要件がある場合には、“新規ドメイン構築&アカウント移行”を選択することになります。ただし、ADMTはサポートされないため、別途、アカウント、グループ、権限等の移行方法を検討する必要があります。
互換性確認が必要な既存サーバーが多いため、既存ドメインを残しつつ、段階的に移行を行いたい。
M&Aに伴いドメイン環境を統合したいなど、既存ドメインをそのまま使用したくない事情がある。
Copyright 2016-2020 FUJITSU LIMITED
2章 既存ドメインから2016ドメインへの移行1.移行方法選択の考え方
11
移行概要
既存ドメインの構成、情報をそのままに、ドメインコントローラーのリプレースを行うことでバージョンアップする方法です。
Copyright 2016-2020 FUJITSU LIMITED
2章 既存ドメインから2016ドメインへの移行
移行前・移行後ともにDCは2台構成ハードウェアは新しいものにリプレース
以下の前提で移行手順をご紹介します。
バージョンアップ
2016ドメイン
DC
Windows Server 2016
DC
Windows Server 2016
移行後
2003/2008/2008 R2/2012/2012 R2 ドメイン
DCDC
Windows Server 2003/2008/2008 R2/
2012/2012R2
移行前
Windows Server 2003/2008/2008 R2/
2012/2012 R2
2.既存ドメインのバージョンアップ(1/3)
12
移行手順
Copyright 2016-2020 FUJITSU LIMITED
2章 既存ドメインから2016ドメインへの移行
1 新規にDCとして使用するサーバ(新規DC)に、Windows Server 2016をインストールします。
2 新規DCを既存ドメインに参加させて、DCに昇格します。※DCに昇格する際に、自動的にス
キーマの拡張が行われます。
3 2台目の新規DCを既存ドメインのDCとして追加します。
Windows Server 2016
Windows Server 2016×2台
Windows Server 2003/2008/2008 R2/2012/2012 R2 ×2台
FSMO 追加
Windows Server 2003/2008/2008 R2/2012/2012 R2 ×2台
FSMOスキーマの拡張
Windows Server 2016
DC昇格
2.既存ドメインのバージョンアップ(2/3)
13
Copyright 2016-2020 FUJITSU LIMITED
2章 既存ドメインから2016ドメインへの移行
4 FSMO(※)を新規DCに転送します。
5 既存DCをメンバーサーバーへ降格します。
6 機能レベルを“Windows Server 2016” に変更します。
機能レベル変更
Windows Server 2016×2台
FSMO
Windows Server 2016×2台
Windows Server2003/2008/2008 R2/
2012/2012 R2 ×2台
FSMOFSMO
Windows Server 2016×2台
Windows Server 2003/2008/2008 R2/
2012/2012 R2 ×2台
FSMO
降格降格
※特定の1台のDCが処理を実行する、特別な役割を「操作マスター (FSMO:Flexible Single Master Operation)」といいます。
2.既存ドメインのバージョンアップ(3/3)
14
移行概要
新規構築した2016ドメインに既存の2003/2008/2008 R2/2012/2012 R2ドメインの情報を、手動や作成したスクリプトなどを使用して移行します。
Copyright 2016-2020 FUJITSU LIMITED
2章 既存ドメインから2016ドメインへの移行
移行前・移行後ともにDCは2台構成新規ドメインを別途構築し、既存ドメインのアカウントを移行
以下の前提で移行手順をご紹介します。
アカウント移行
移行前
2003/2008/2008 R2/2012/2012 R2 ドメイン
DCDC
Windows Server 2003/2008/2008 R2
2012/2012 R2
Windows Server 2003/2008/2008 R2/
2012/2012 R2
移行後
2016ドメイン
DC
Windows Server 2016
Windows Server 2016
DC
3.新規ドメイン構築&アカウント移行(1/3)
15
移行手順
Copyright 2016-2020 FUJITSU LIMITED
2章 既存ドメインから2016ドメインへの移行
1 新規に、2016ドメインを構築します。
2 既存ドメインと双方向信頼関係を作成します。(移行作業期間中に、既存ドメインから新規ドメイン、新規ドメインから既存ドメインのリソースを利用できるようにするため。)
3 手動や作成したスクリプトなどを使用して、既存ドメインから新規ドメインへ、アカウントの移行を行います。
Windows Server 2003/2008/2008 R2/
2012/2012 R2 ×2台
Windows Server 2016×2台
新規構築
信頼関係
Windows Server 2003/2008/2008 R2/
2012/2012 R2 ×2台
Windows Server 2016×2台
アカウント
Windows Server 2003/2008/2008 R2/
2012/2012 R2 ×2台
Windows Server 2016×2台
3.新規ドメイン構築&アカウント移行(2/3)
16
Copyright 2016-2020 FUJITSU LIMITED
2章 既存ドメインから2016ドメインへの移行
4 既存ドメインに所属しているクライアント、メンバーサーバーを新規ドメインに参加させます。
5 アカウント、および、クライアント、メンバーサーバー等のリソース移行完了後に、信頼関係を破棄します。
6 既存ドメイン環境を破棄します。
Windows Server 2003/2008/2008 R2/
2012/2012 R2 ×2台
Windows Server 2016×2台
信頼関係破棄
Windows Server 2003/2008/2008 R2/
2012/2012 R2 ×2台
Windows Server 2016×2台
破棄
3.新規ドメイン構築&アカウント移行(3/3)
クライアント、メンバーサーバー
Windows Server 2003/2008/2008 R2/
2012/2012 R2 ×2台
Windows Server 2016×2台
17
登録商標について/免責事項
登録商標について
Microsoft, Windows, Windows Server, Active Directory, Azure, Microsoft Passportは、米国Microsoft Corporationの米国およびその他の国における登録商標または商標です。
記載されている会社名、製品名は各社の登録商標または商標です。
記載されている会社名、製品名等の固有名詞は各社の商号、登録商標または商標です。
その他、本資料に記載されている会社名、システム名、製品名等には必ずしも商標表示を付記しておりません。
免責事項
このドキュメントは単に情報として提供され、内容は予告なしに変更される場合があります。また、発行元の許可なく、本書の記載内容を複写、転載することを禁止します。
このドキュメントに誤りが無いことの保証や、商品性又は特定目的への適合性の黙示的な保証や条件を含め明示的又は黙示的な保証や条件は一切無いものとします。富士通株式会社は、このドキュメントについていかなる責任も負いません。また、このドキュメントによって直接又は間接にいかなる契約上の義務も負うものではありません。このドキュメントを形式、手段(電子的又は機械的)、目的に関係なく、富士通株式会社の書面による事前の承諾なく、複製又は転載することはできません。
Copyright 2016-2020 FUJITSU LIMITED18
Copyright 2016-2020 FUJITSU LIMITED19