-
Notifications
You must be signed in to change notification settings - Fork 0
MS_ActiveDirectoryFSMO
-
TOP > インフラストラクチャ > ドメイン サービス (AD DS)
- Active Directory（操作マスタ・FSMO）
- Active Directory（グローバル カタログ）
- Active Directory（計画）
- DCの冗長化
「操作マスタ」は、各「フォレスト」、各「ドメイン」に 1 つだけ必要となる処理を担当する特別なシステム。
-
操作マスタの役割
- フォレスト、ドメイン内で特定の役割をするドメイン コントローラ（DC）
- 「操作マスタ」の操作をフレキシブル シングル マスタ操作（以下、FSMO と略す）と呼ぶ。
-
FSMO には、次の 5 種類がある。
- フォレスト単位
- スキーマ マスタ
- ドメイン名前付けマスタ
- ドメイン単位
- PDC エミュレータ
- RID（Relative ID）プール マスタ
- インフラ ストラクチャ マスタ
- フォレスト単位
-
FSMO の各役割は、
- フォレスト、ドメインに最初に導入したドメイン コントローラ（DC）が担当しているが、
- AD の管理ツールを使って、ほかのドメイン コントローラ（DC）に移すこともできる。
特定の機能や操作については、複数の DC からのアップデートの競合による矛盾などを避けるために、
あらかじめ決められた 1 台の DC だけが処理を担当することになっていて、
その他の DC が肩代わりすることはない。
この特定の機能（役割）のことを操作マスタ（FSMO）役割と呼ぶ。
各フォレストごとに 1 台必要。
-
ドメイン サービス (AD DS)に格納されている DIB の
スキーマの変更を担当するマスタ。 -
ドメイン サービス (AD DS)のスキーマはすべてのドメイン コントローラ（DC）から
参照されるが、これを変更できるのはスキーマ マスタだけ。
- 「フォレスト」への「ドメイン」の追加や削除を担当するマスタ。
各ドメインごとに 1 台必要。
-
NT ドメインのクライアントや BDC に対して PDC の役割を提供する
PDC エミュレーションを担当する。 -
Active Directory クライアントを導入していない Windows 9x／NT などの
クライアントに対して PDC の役目を果たしたり、
ディレクトリの変更情報を BDC に伝達したりする。
補足（最新化）: NT 互換のエミュレーションは既に過去のものだが、 PDC エミュレータは現在も 5 つの中で最も重要な役割である。以下を担当する。
- パスワード変更の即時複製先（他 DC で認証失敗した場合の再確認先）
- アカウント ロックアウトの集約
- ドメイン内の時刻同期の基準（フォレスト ルート ドメインの PDC が最上位）
- グループ ポリシー編集時の既定の接続先
- DFS 名前空間のルート情報の管理
- PDC エミュレータが Windows NT 4.0 の PDC の機能をエミュレートするため、
一部に制限があるが、Windows NT 4.0 の BDC の混在をサポートできる。 - これにより、NT ドメインから AD ドメインに移行した場合でも、
いままで使っていた BDC をそのまま利用できる
（PDC には PDC エミュレータを使用する。
また、新規に Windows NT 4.0 の BDC を追加することも可能である）。
ドメインに参加しているドメイン コントローラ（DC）が、
すべて Windows 2000 のドメイン コントローラ（DC）で構成されたドメインの場合を指す。
補足（最新化）: 「混在モード／ネイティブ モード」は Windows 2000 固有の用語で、 Windows Server 2003 以降は 「機能レベル」に置き換えられている。
- ドメイン コントローラ（DC）は、ユーザ アカウント、グループ、コンピュータの
オブジェクトを作成したときに SID（セキュリティ識別子）を割り当てる。 - RID : Relative ID（相対識別子）は、この SID を生成するときに使用される。
- RID のプールを作成・管理し、重複を防いでいる。
- ドメイン内の各種ドメイン コントローラ（DC）に RID を割り当てる。
補足: 各 DC は既定で 500 個単位で RID プールの払い出しを受け、 残りが少なくなると RID プール マスタに追加を要求する。 このため RID プール マスタが短時間停止しても直ちに影響は出ないが、 長期に停止するとオブジェクトの新規作成ができなくなる。
- RID は、SID（各ユーザやグループなどを区別するための、内部的な、
ユニークな番号）を作るために使われる。 - SID は、以下の 2 つの部分から構成されている。
- 各ドメイン内でユニークな値を持つ部分（RID）
- ドメイン毎に固定した値を持つ部分（ドメイン SID）
「ドメイン」をまたぐオブジェクト参照（他ドメインのユーザをグループのメンバに追加した場合など）
について、参照先オブジェクトの名前や DN の変更を検出し、
自ドメイン内の参照（ファントム オブジェクト）を更新する。
移行メモ（正誤）: 元 Wiki には 「『ドメイン』のグローバル カタログ（GC）のデータを、他の『ドメイン』の GC にレプリケートし、 『フォレスト』内の GC の同期をとる」とあったが、これは誤りである。 GC 間のレプリケーションは通常の AD レプリケーションの仕組みが行うものであり、 インフラ ストラクチャ マスタの役割ではない。 インフラ ストラクチャ マスタの役割は、上記のとおり クロス ドメイン参照の更新である。
このため、インフラ ストラクチャ マスタは GC でない DC に配置するのが原則である （GC 上に置くと、GC が全ドメインのオブジェクトを保持しているために 「古い参照」を検出できず、更新が行われない）。 ただし、シングル ドメイン フォレスト、または 全 DC が GC の場合は、この役割自体が動作しないため配置場所を気にする必要はない。
- ［Active Directoryユーザーとコンピュータ］からスナップインを表示する。
- 操作マスタ（FSMO）を確認したいドメインを右クリックし［操作マスタ］を選択する。
- 表示された［操作マスタ］ダイアログの各タブで、現在の操作マスタ（FSMO）を確認する。
- RID タブ
- PDC タブ
- インフラ ストラクチャ タブ
- ［Active Directoryドメインと信頼関係］からスナップインを表示する。
- ルートの［Active Directoryドメインと信頼関係］を右クリックし［操作マスタ］を選択する。
- 表示された［操作マスタ］ダイアログで、現在のドメイン名前付けマスタを確認する。
-
CMD から、
regsvr32.exe schmmgmt.dllと入力して［Enter］キーを押下する。 - CMD から、
mmcと入力して［Enter］キーを押下する。 - ［ファイル］メニューから［スナップインの追加と削除］を選択する。
- ［利用できるスナップイン］ボックスで、［Active Directoryスキーマ］を選択する。
- ［追加］をクリックし、［OK］をクリックする。
- ［Active Directoryスキーマ］を右クリックし［操作マスタ］を選択する。
- ［スキーマ マスタの変更］ダイアログで、現在のスキーマ マスタを確認する。
補足: 5 つまとめて確認するなら、以下が簡単である。
netdom query fsmoPowerShell なら以下のようにする。
Get-ADForest | Select-Object SchemaMaster, DomainNamingMaster Get-ADDomain | Select-Object PDCEmulator, RIDMaster, InfrastructureMaster
- ［Active Directoryユーザーとコンピュータ］からスナップインを表示する。
- 対象のドメインを右クリックし［ドメイン コントローラの変更］を選択する。
- ［ディレクトリ サーバーの変更］ダイアログで転送先のドメイン コントローラを選択する。
- 転送先の［Active Directoryユーザーとコンピュータ］スナップインが表示される。
- 対象のドメインを右クリックし［操作マスタ］を選択する。
- ［操作マスタ］ダイアログの各タブで［変更］ボタンを押下する。
- RID タブ
- PDC タブ
- インフラ ストラクチャ タブ
- ［Active Directoryドメインと信頼関係］からスナップインを表示する。
- ルートの［Active Directoryドメインと信頼関係］を右クリックし
［Active Directoryドメイン コントローラの変更］を選択する。 - ［ディレクトリ サーバーの変更］ダイアログで転送先のドメイン コントローラを選択する。
- 転送先の［Active Directoryドメインと信頼関係］スナップインが表示される。
- ルートの［Active Directoryドメインと信頼関係］を右クリックし［操作マスタ］を選択する。
- 表示された［操作マスタ］ダイアログで、［変更］ボタンを押下する。
-
CMD から、
regsvr32.exe schmmgmt.dllと入力して［Enter］キーを押下する。 - CMD から、
mmcと入力して［Enter］キーを押下する。 - ［ファイル］メニューから［スナップインの追加と削除］を選択する。
- ［利用できるスナップイン］ボックスで、［Active Directoryスキーマ］を選択する。
- ［追加］をクリックし、［OK］をクリックする。
- ［Active Directoryスキーマ］を右クリックし
［Active Directoryドメイン コントローラの変更］を選択する。 - ［ディレクトリ サーバーの変更］ダイアログで転送先のドメイン コントローラを選択する。
- 転送先の［Active Directoryスキーマ］スナップインが表示される。
- ［Active Directoryスキーマ］を右クリックし［操作マスタ］を選択する。
- ［スキーマ マスタの変更］ダイアログで、［変更］ボタンを押下する。
注意: 「強制（seize）」は、元の役割保持者が復旧不能な場合にのみ行う。 実施後、旧役割保持者を再びネットワークに接続してはならない （メタデータ クリーンアップのうえ再構築する）。 正常に稼働しているなら「転送（transfer）」を使う。
-
コマンド プロンプトを管理者として実行する。
-
Ntdsutilと入力して［Enter］キーを押下する。 -
「Ntdsutil」プロンプト
-
rolesと入力して［Enter］キーを押下する。
-
-
「fsmo maintenance」プロンプト
-
connectionsと入力して［Enter］キーを押下する。
-
-
「server connections」プロンプト
-
connect to server <役割を強制するDCのFQDN名>と入力して［Enter］キーを押下する。
-
-
quitと入力して［Enter］キーを押下し、「server connections」プロンプトを終了する。 -
「fsmo maintenance」プロンプト
- 操作マスタに応じたコマンドを入力して［Enter］キーを押下する。
| 操作マスタの役割 | コマンド |
|---|---|
| スキーマ マスタ | seize schema master |
| ドメイン名前付けマスタ | seize naming master |
| RID マスタ | seize rid master |
| PDC マスタ | seize pdc |
| インフラ ストラクチャ マスタ | seize infrastructure master |
-
quitと入力して［Enter］キーを押下し、「fsmo maintenance」プロンプトを終了する。 -
quitと入力して［Enter］キーを押下し、「Ntdsutil」プロンプトを終了する。
移行メモ（正誤）: 元 Wiki では接続手順が 「
connect toプロンプトでconnect to <FQDN>」となっていたが、 実際のプロンプト名はserver connections、 コマンドはconnect to server <FQDN>である。 また、表に「ドメイン名前付けマスタ（seize naming master）」が欠けていたので追加した。
補足（最新化）: Windows Server 2012 以降は PowerShell でも実施できる（
-Forceが seize に相当）。Move-ADDirectoryServerOperationMasterRole ` -Identity DC2 -OperationMasterRole PDCEmulator, RIDMaster -Force
管理者のいない小規模拠点用（Windows Server 2008 から）。
-
セキュリティの脅威に脅かされることが少ない。
- オブジェクトの書き込み（追加・変更・削除）ができない。
- 特定の資格情報のみをキャッシュする（パスワード レプリケーション ポリシーで制御）。
- キャッシュされた資格情報については RODC で認証要求を処理できる。
- DC を盗まれても、キャッシュされていないアカウントのパスワードは解析できない。
-
一方向のレプリケーション（負荷軽減）
補足: RODC は書き込み可能な DC が別途必要であり、 RODC 自身が FSMO の役割を持つことはできない。
Tags: Active Directory
このWikiは「Open棟梁Project」,「OSSコンソーシアム 開発基盤部会」によって運営されています。