SE の雑記

SQL Server の情報をメインに Microsoft 製品の勉強内容を日々投稿

Windows Server 2008 R2 の AD を Windows Server 2012 の AD に移行

5 comments

自宅の AD は Windows Server 2008 R2 ですので Windows Server 2012 に移行をしてみたいと思います。

■Windows Server 2012 の AD の役割追加


最初にサーバーマネージャーから AD DS の役割を追加する必要があります。

image

役割の追加は AD DS のバイナリのインストールですので、これだけでは機能を使用するための前提を追加しただけの状態となります。

■ドメインコントローラーの追加


Windows Server 2012 では dcpromo が使用できなくなっていますので、ドメインコントローラーの追加はサーバーマネージャーから実施する必要があります

サーバー マネージャーを使用して AD DS をインストールする
image

サーバーマネージャーから [このサーバーをドメイン コントローラーに昇格する] をクリックすることで従来 dcpromo で実施していた昇格の操作を実施することができます。

image

今回は既存のドメインへの DC の追加ですので、[既存のドメインにドメイン コントローラーを追加する] で追加を実施しています。
# DC を追加するドメイン名とドメインの管理者の資格情報を設定しています。
image

Windows Server 2012 でも Adprep は引き続き利用することができます。

Adprep.exe を実行して Active Directory ドメイン サービスをインストールするための資格情報要件

事前に AD の準備をしておきたい場合には、Windows Server 2012 のインストールメディアの surpports ディレクトリに Adprep のディレクトリがありますのでこれを使用して事前準備 (adprep /forestprep, adprep /domainprep, adprep /domainprep /gpprep, adprep /rodcprep) を実行しておくことができます。

フォレストの機能レベルとしては Windows Server 2003 以降が必要となります。
Windows Server 2012 へのドメイン コントローラーのアップグレード

Windows Server 2008 R2 では、2000 の機能レベルがサポートされていたようですが、2012 ではサポートされていなくなっていますのですべてのドメインコントローラーの 2003 以降へのアップグレードを検討する必要がありそうですね。
こちらは 2008 R2 の時の機能レベルの情報となります。
各機能レベルで有効になる機能に関する付録

2012 の情報については英語版が最新のようですね。
# 本投稿を書いている時点では日本語の情報は Server 8 Beta となっていました。
Understanding Domain and Forest Functional Levels

今回は adprep /forestprep, adprep /domainprep を実行してドメインの準備を事前に実施しています。
# 既存の 2008 R2 の DC 上で実行しています。
imageimage

Adprep による変更に関してはこちらの技術情報が参考になりそうですね。
# スキーマバージョンを 56 に変更するために 48 ~ 56 までの ldf ファイルのインポートが行われているようです。
Windows Server 2012: Adprep.exe によって行われる変更

 

複数の DC が存在している場合には [repadmin /syncall /AedP] を実行してスキーママスターからプッシュで変更を反映させてもよいかもしれないですね。

事前の準備が終了したのでドメインコントローラーの追加を行います。
追加の DC を設定する際にドメイン名としてドメイン名の FQDN を設定しないとウィザードの途中で [このドメインは DNS をホストしないので、このドメインコントローラーに DNS をインストールできません。] となってしまい、DNS の追加をすることができませんでした。
imageimageimageimageimageimageimage

 

■FSMO の移行


フォレストとドメインの機能レベルを 2012 に変更するために FSMO を新規に追加した 2012 に移動する必要があります。

Active Directory ユーザーとコンピューター

  • RID
  • PDC
  • インフラストラクチャマスター

image

Active Directory ドメインと信頼関係

  • ドメイン名前付け操作操作マスター

image

 

Active DIrectory スキーマ

# regsvr32 schmmgmt.dll を実行して、mmc からスナップインを追加する必要があります。

  • スキーママスター

image

 

■DNS の設定移行


Active Directory 統合ゾーンの設定は移行されますので、前方参照ゾーンと逆引き参照ゾーンについては DNS を追加して DC として設定すれば移行されます。

フォワーダーの設定については AD 統合ゾーン外の設定となっているはずですので個別に設定する必要があります。
# 条件付きフォワーダーでない、通常のフォワーダーについては HKLMSYSTEMCurrentControlSetServicesDNSParameters の Forwaders に格納されているはずですので。

image

FSMO ではありませんが、Active Directory サイトとサービスの NTDS Settings から追加をした DC が GC (グローバルカタログ) の役割を持っているかも念のため確認をしたほうがよさそうですね。
image

 

■AD CS の移行


2008 R2 の AD DS には AD CS もインストールをしていました。
機能レベルを最新にするためには 2008 R2 の DC を降格する必要があるのですが AD CS がインストールされているサーバーでは降格をすることができません。

image

移行をするために新規に追加した 2012 の AD DS にも AD CS をインストールしておきます。
imageimage

AD CS も AD DS 同様に役割の追加後に構成が必要となります。
image

Windows Server 2012 では Standard と Datacenter に機能差がなくなっていますので、Standard Edition を使用してエンタープライズ CA を作成することも可能となっています。
# 証明書テンプレートも Standard で作成可能となっているかと。

AD CS の移行については 2008 R2 のガイドが役に立つかと思います。
Active Directory 証明書サービス移行ガイド

移行の手順としてはまずは移行元のサーバーで以下の作業を実施してバックアップを取得します。
# あまり設定をしていない AD CS の移行になります。

CA データベースと秘密キーをバックアップ

  1. MMC から 証明機関のスナップインを開く
  2. [すべてのタスク] から [CA のバックアップ] を選択して、ウィザードに従い、[秘密キーと CA 証明書] [証明書データベースおよび証明書データベースのログ] のバックアップを取得する
    imageimage

レジストリのバックアップ

  1. regedit で [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCertSvcConfiguration] をエクスポート
    imageimage

 

バックアップが終了したら移行先の Windows Server 2012 の AD CS にファイルを一通りコピーします。

ファイルのコピーが終了したら以下の作業を実施します。

CA 証明書のインポート

  1. MMC でコンピューターアカウントの証明書のスナップインをインポート
  2. 個人証明書ストアに、移行元のCA データベースと秘密キーのバックアップで取得した Personal Information Exchange (.p12) をインポート
  3. インポートした証明書の詳細タブからシリアル番号の内容をコピー
    image
  4. コマンドプロンプトから [certutil -repairstore My "<シリアル番号>"] を実行
    # シリアル番号の指定はスペースが入ったままでもスペースを詰めてしまってもどちらでも指定できます。
    image

AD CS の役割を追加

  1. サーバーマネージャーから AD CS の役割を追加する
  2. 役割の追加が終了したらサーバーマネージャーから AD CS の構成を実行する
    imageimageimageimage
  3. ウィザードを進め秘密キーの種類の指定まで進んだら [既存の秘密キーを使用する] [証明書を選択し、関連付けられている秘密キーを使用する] を選択する
    image
  4. 既存の証明書として、インポートした証明書を選択する
    image
  5. ウィザードを進める
    imageimageimage

CA データベースの復元
# 復元時には AD CS のサービスが再起動されます。

  1. MMC から証明機関のスナップインを追加する
  2. [すべてのタスク] から [CA の復元] をクリックする
    image
  3. ウィザードに従い、移行元で取得したバックアップを復元する
    # [秘密キーと CA 証明書] [証明書データベースおよび証明書データベースのログ] を復元します。
    imageimageimageimage

 

レジストリの復元

  1. 移行元で取得していた .reg ファイルをダブルクリックしてインポート
    image
  2. 以下のレジストリ値を移行先の FQDN に変更
    # CACertFileName / ConfigurationDirectory は存在していなかったので変更していません
    CAServerName
  3. CACertPublicationURLs / CRLPublicationURLs  の %1 を FQDN に %2 を NetBIOS 名に変更
  4. MMC で証明機関のスナップインを追加し、証明機関の名称を選択してプロパティを開く
    image
  5. [拡張機能] タブから [CRL 配布ポイント] [機関情報アクセス (AIA)] が変更した内容 (FQDN / NetBIOS 名が移行先の情報となっている) となっていることを確認
    imageimage
  6. Active Directory サイトとサービスを開く
  7. Active Directory サイトとサービスを選択した状態で [表示] → [サービス ノードの表示] を有効にする
    image
  8. [Services] → [Public Key Services] → [AIA] 内の 移行元の [certificationAuthority] のプロパティを開き、[セキュリティ] タブから移行先のコンピューターアカウントのフルコントロールの権限を付与する
  9. [Services] → [Public Key Services] → [CDP] → 移行元のコンピューター名のコンテナ内の 移行元の [cRLDistributionPoint] のプロパティを開き、[セキュリティ] タブから移行先のコンピューターアカウントのフルコントロールの権限を付与する

移行が終わったら 2008 R2 の AD CS の役割をサーバーマネージャーから削除します。
image

結構適当に移行したのでテンプレートの設定を飛ばしたような気がしますが…。

■ドメインコントローラーの降格


最新のフォレストとドメインの機能レベルは 2012 になりますので、機能レベルを上げるためには 2008 R2 のドメインコントローラーを降格して撤去する必要があります。

Windows Server 2008 R2 のドメインコントローラーの降格は dcpromo から実施することができます。
image

 

■IP アドレスの変更


DHCP で配布している IP アドレスは 2008 R2 の IP アドレスになりますので、今まで使用していた IP アドレスを 2012 のほうに移行したいと思います。

今まで使用していた 2008 R2 には異なる IP を割り当てます。

2008 R2 で使用していた IP アドレスが 2012 で使用できるようになったら、IP アドレスの設定を変更します。
IP アドレスを変更したら [C:Winodwssystem32confignetlogon.dns] の内容を反映させるために [net stop netlogon & net start netlogon] を実行して NetLogon のサービスを再起動して IP アドレス変更後の設定を DNS に反映します。

 

■機能レベルの変更


Windows Server 2012 では機能レベルの変更は Active Directory 管理センターから実施することができます。
# 従来からの Active Directory ドメインと信頼関係 / Active Directory ユーザーとコンピューターからも実行できます。
image

機能はフォレスト / ドメインともに 2012 が最新となりますので 2008 R2 の DC が撤去できればレベルの昇格が可能です。
# フォレストの機能レベルを変更するとドメインの機能レベルも同時に 2012 となります。
image

機能レベルの変更による追加機能は以下の技術文書から追うとよさそうですね
機能レベルの機能と要件

AD の移行作業は以上でしょうか。
それほど時間かからないかな~とおもって作業をしていたのですが、ふたを開けてみるとそれなりな作業量となってしましました。

Written by masayuki.ozawa

12月 31st, 2012 at 11:33 pm

5 Responses to 'Windows Server 2008 R2 の AD を Windows Server 2012 の AD に移行'

Subscribe to comments with RSS or TrackBack to 'Windows Server 2008 R2 の AD を Windows Server 2012 の AD に移行'.

  1. ドメイン移行の参考にさせていただきております。
    教えていただきたい事があります、2012には旧ドメインからの移行ツールがありますが、
    この移行ツールは使う必要があるものでしょうか?

    現在、2012サーバーをドメインコントローラに昇格させましたが、この段階で
    ユーザーアカウントやDNSの正引き、逆引き情報も移行(同期機)されているように
    思います。

    この状態でも移行ツールを使用しないと移行されない足りない情報があるのでしょうか?
    ちなみに、2012サーバーではDC、DNS、DHCP、プリンタサーバーを運用させます。
    (現2003DCでも同様の機能を運用しています)

    よろしくお願いいたします。

    ろと

    25 10月 13 at 11:48

  2. 返信ありがとうございます。
    現ドメインに対してのドメインサーバー追加なので、移行ツールは必要ないのですね!

    また、これから
    FSMO(スキーママスタ、ドメイン名前付け操作マスタ、インフラストラクチャマスタ、
    PDCマスタ、RIDマスタ)の転送を予定しています。

    その後、DNS等の設定を現2003サーバーに合わせ、一通りの設定を完了させた後に、
    現サーバーの電源を落とし2012サーバーのドメインで正常動作するか?
    クライアントは正常ログイン出来るか?等を確認したいと思います。
    このような確認方法は可能でしょうか?

    この場合、FSMOを転送しても現2003のネットワークに影響はないでしょうか?

    2012で正常動作確認後に、2003をドメイン降格させたいのです。
    よろしくお願いいたします。

    ろと

    28 10月 13 at 09:36

  3. 2003にどの程度合わせるのかがわかりませんため、確実にできるとは言えませんが、IP アドレスを 2003 と合わせるぐらいでしたら可能なはずです。
    コンピュータ名の変更を予定されているようでしたら、以下の技術文書を確認されたほうがよいかと思います。
    FSMO を保持しているコンピューター名の変更についての注意事項が記載されています。
    http://support.microsoft.com/kb/814589/ja

    > この場合、FSMOを転送しても現2003のネットワークに影響はないでしょうか?
    >2012で正常動作確認後に、2003をドメイン降格させたいのです。 よろしくお願いいたします。
    現ネットワークが何を指しているのかが読み取れませんでしたので、影響がないかの判断はできませんが、今までのドメインコントローラーをシャットダウンした状態で利用されたいということでしたら可能かと思います。
    # NT ドメインとの信頼関係等が設定されている場合には、2012 は対応していないので 2003 のドメインコントローラーが必要となるということがありますので、一概にネットワークに影響はないとは言えません。

    既存環境への影響を心配されているようでしたら、安定稼働をしたと判断するまでは2003を残しておくとよろしいかと。
    FSMO の強制移動 / IP アドレスの重複 / コンピューター名の重複 がないようでしたら 2003 のドメインコントローラーを起動することで問題時の対応ができるかもしれませんので。

    Masayuki.Ozawa

    30 10月 13 at 13:19

  4. 「移行ツール」ですが Active Directory Migration Tool (ADMT) を指しておりますでしょうか??
    ADMT はドメイン統合はドメイン移行をする際に、異なるドメインにユーザーやコンピューターアカウントを移行するために使用するツールとなります。
    現状のドメインを引き続き使用しながらアップグレードをする場合にはツールを使用する必要はありません。

    Masayuki.Ozawa

    25 10月 13 at 22:59

  5. いつも大変ご参考にさせていただいており、たすかっております。
    一つご相談させてください。
    社内でwin2008からwin2012にADとファイルサーバーの移行があり、
    こちらのサイトを参考に移行できました。
    IPは社内でいままで、ドメイン参加していたPC約100台(win7とwin8混在)で
    移行後、両OSともいままでとおり、ドメインにユーザーログインはできるのですが、
    ファイルアクセスがwin8では開けなくなりました。何か不足な設定等はあるのでしょうか?
    サーバーは移行に伴い別ipで構成し、DNSでcnameで旧FS名を新FS名に設定しております。
    ご教授の程、宜しくお願いいたします。

    まっさん

    28 6月 14 at 09:07

Leave a Reply

*