MS_ADMigrationNotes

AD移行の注意点

• TOP > インフラストラクチャ > Active Directory > Active Directory（移行）
  • AD移行の注意点
  • Active Directory（計画）

注意点

機能レベル

移行元の機能レベル（フォレスト、ドメイン）を確認する。
移行手順によって、移行元ドメインの機能レベルを上げる必要のあるケースがある。

• Active Directory（機能レベル）

補足: 機能レベルの引き上げは、原則として後戻りできない （Windows Server 2008 R2 以降、条件付きで下げられる場合はあるが、 実務では不可逆と考えるべき）。 引き上げると、その水準に満たない旧 OS の DC を 追加できなくなる点も含めて、事前に棚卸しすること。

FSMO

FSMO の移行も忘れずに。

• Active Directory（操作マスタ・FSMO）

ネットワークサービスの移行

DNS、DHCP、WINS など関連するネットワークサービスの移行も考慮する。

• DNSサーバ
• DHCP — ネットワークの基礎編
• WINS — Windowsネットワーク編

補足: AD 統合 DNS の場合、DNS ゾーンは Active Directory（レプリケーション） に相乗りしている。 DC を移行すると DNS も一緒に動くため、 クライアントが参照する DNS サーバの向き先を DHCP のオプション（006）ごと切り替える計画が要る。 ここを忘れると、DC は移行できているのにログオンできない、という事象になる。

パラレル・インストール、ローリング・アップグレード

ローリング・アップグレード（MS_RollingUpgrade.md）

レプリケーション

レプリケーションに依存した移行なので、
レプリケーションの仕組みについては理解しておく必要がある。

• Active Directory（レプリケーション）
• Active Directory（正常性の確認）

補足: 移行の前後では、必ず dcdiag / repadmin /replsummary でレプリケーションが健全であることを 確認してから次の手順に進むこと。 不整合を抱えたまま DC を追加・降格すると、 復旧が著しく困難になる（Active Directory（正常性の確認） 参照）。

DC追加・削除のトラブル対応

DC の追加によるトラブルへの対策は、 Active Directory（正常性の確認） と併せて確認する。

新規構築、ドメインごと新規構築

SID 履歴

基本的には、SID 履歴を使用する方式を採用する。

問題

問題点はあまり多くはない模様。

• SID フィルター
  新規ドメインから、既存ドメインのリソースにアクセスを可能にする場合、
  SID フィルターを無効にする。

  netdom trust ... /enablesidhistory:Yes
  

補足（重要）: SID フィルターはセキュリティ機能である。 無効化すると、信頼先ドメインの管理者が SID 履歴を偽装して自ドメインの特権を主張できる（SID インジェクション）。

したがって、

• 無効化は移行期間中の一時措置とし、
• 移行完了後は必ず再度有効化（/enablesidhistory:No）し、
• 併せて信頼関係そのものを削除する

という段取りを移行計画に明記すること。 「移行後もそのまま」という状態が残りやすい典型的な箇所である。

SID履歴を使用する場合と、使用しない場合

SID 履歴を使用しないケースは

• 移行先ドメインを信頼しない場合で、
• 且つユーザとリソースを同時に移行できない場合

となる。

SID 履歴を使用したアカウントの移行（概略）

1. 管理されたサービス アカウントを移行する（コンピューターより先に）。
2. すべてのユーザー アカウントを移行する。
   移行元では有効、移行先では無効。複雑なパスワードを選択し、属性は移行しない。
3. ユーザーのバッチごとにローカル ユーザー プロファイルを変換する。
4. ユーザー アカウントのバッチに対応するワークステーションの各バッチを移行する。
5. バッチ内の全ユーザーでプロファイルとワークステーションの移行成功を確認する。
   失敗したアカウントは移行しない（既存プロファイルが上書きされるため）。
6. ユーザー アカウントをバッチで再移行する。
   移行元で有効期限を 7 日間に設定し、移行先を有効化、パスワードと全属性を移行。
7. 各バッチの終了後、すべてのグローバル グループを再移行してメンバーシップを更新する。
8. バッチ内のユーザーに、移行先ドメインにログオンするように通知する。
9. すべてのユーザー移行後、最終のグローバル グループ移行を実行する。

SID 履歴を使用しない移行では、上記に加えて

• 「ユーザーのグループ メンバーシップを修正」オプションを使用し、
  ADMT が移行先の適切なグローバル グループにユーザーを追加するようにする。
• ファイル、共有、プリンター、ローカル グループ、ドメイン ローカル グループの
  セキュリティを追加モードで変換 →（移行後）削除モードで変換する。

難易度

ADMT を使用した移行はわりと難易度が高いとのことで、

• トラブル発生時の復旧計画（ロールバック）を立てて作業する。
• 仮想化環境を使用した検証環境などで検証しながらの作業が良い。

補足（最新化）: ADMT は 2022 年以降、新規ダウンロードが提供されていない （最終版は ADMT 3.2、Windows Server 2012 R2 世代）。 新しい OS 上での動作は保証されず、 Microsoft も明確な後継を出していない。

現在のドメイン移行では、次のいずれかを検討することになる。

• サードパーティ製の移行ツール（Quest Migration Manager 等）
• Microsoft Entra ID への移行（ドメイン統合そのものを回避する）
• 新規ドメインを建て、アカウントを再作成して段階的に切り替える

いずれにせよ、ロールバック計画と検証環境という 本ページの指摘は今も有効である。 Active Directory（バックアップ） も併せて準備すること。

参考

• Active Directory（移行）
• Active Directory（計画）
• Active Directory（操作マスタ・FSMO）
• Active Directory（レプリケーション）
• Active Directory（バックアップ）
• SID フィルターの使用 - Microsoft Learn

---

Tags: 移行, Active Directory