SE の雑記

自宅の AD は Windows Server 2008 R2 ですので Windows Server 2012 に移行をしてみたいと思います。

■Windows Server 2012 の AD の役割追加

---

最初にサーバーマネージャーから AD DS の役割を追加する必要があります。

役割の追加は AD DS のバイナリのインストールですので、これだけでは機能を使用するための前提を追加しただけの状態となります。

■ドメインコントローラーの追加

---

Windows Server 2012 では dcpromo が使用できなくなっていますので、ドメインコントローラーの追加はサーバーマネージャーから実施する必要があります

サーバー マネージャーを使用して AD DS をインストールする

サーバーマネージャーから [このサーバーをドメイン コントローラーに昇格する] をクリックすることで従来 dcpromo で実施していた昇格の操作を実施することができます。

今回は既存のドメインへの DC の追加ですので、[既存のドメインにドメイン コントローラーを追加する] で追加を実施しています。
# DC を追加するドメイン名とドメインの管理者の資格情報を設定しています。

Windows Server 2012 でも Adprep は引き続き利用することができます。

Adprep.exe を実行して Active Directory ドメイン サービスをインストールするための資格情報要件

事前に AD の準備をしておきたい場合には、Windows Server 2012 のインストールメディアの surpports ディレクトリに Adprep のディレクトリがありますのでこれを使用して事前準備 (adprep /forestprep, adprep /domainprep, adprep /domainprep /gpprep, adprep /rodcprep) を実行しておくことができます。

フォレストの機能レベルとしては Windows Server 2003 以降が必要となります。
Windows Server 2012 へのドメイン コントローラーのアップグレード

Windows Server 2008 R2 では、2000 の機能レベルがサポートされていたようですが、2012 ではサポートされていなくなっていますのですべてのドメインコントローラーの 2003 以降へのアップグレードを検討する必要がありそうですね。
こちらは 2008 R2 の時の機能レベルの情報となります。
各機能レベルで有効になる機能に関する付録

2012 の情報については英語版が最新のようですね。
# 本投稿を書いている時点では日本語の情報は Server 8 Beta となっていました。
Understanding Domain and Forest Functional Levels

今回は adprep /forestprep, adprep /domainprep を実行してドメインの準備を事前に実施しています。
# 既存の 2008 R2 の DC 上で実行しています。

Adprep による変更に関してはこちらの技術情報が参考になりそうですね。
# スキーマバージョンを 56 に変更するために 48 ～ 56 までの ldf ファイルのインポートが行われているようです。
Windows Server 2012: Adprep.exe によって行われる変更

 

複数の DC が存在している場合には [repadmin /syncall /AedP] を実行してスキーママスターからプッシュで変更を反映させてもよいかもしれないですね。

事前の準備が終了したのでドメインコントローラーの追加を行います。
追加の DC を設定する際にドメイン名としてドメイン名の FQDN を設定しないとウィザードの途中で [このドメインは DNS をホストしないので、このドメインコントローラーに DNS をインストールできません。] となってしまい、DNS の追加をすることができませんでした。

 

■FSMO の移行

---

フォレストとドメインの機能レベルを 2012 に変更するために FSMO を新規に追加した 2012 に移動する必要があります。

Active Directory ユーザーとコンピューター

• RID
• PDC
• インフラストラクチャマスター

Active Directory ドメインと信頼関係

• ドメイン名前付け操作操作マスター

 

Active DIrectory スキーマ

# regsvr32 schmmgmt.dll を実行して、mmc からスナップインを追加する必要があります。

• スキーママスター

 

■DNS の設定移行

---

Active Directory 統合ゾーンの設定は移行されますので、前方参照ゾーンと逆引き参照ゾーンについては DNS を追加して DC として設定すれば移行されます。

フォワーダーの設定については AD 統合ゾーン外の設定となっているはずですので個別に設定する必要があります。
# 条件付きフォワーダーでない、通常のフォワーダーについては HKLMSYSTEMCurrentControlSetServicesDNSParameters の Forwaders に格納されているはずですので。

FSMO ではありませんが、Active Directory サイトとサービスの NTDS Settings から追加をした DC が GC (グローバルカタログ) の役割を持っているかも念のため確認をしたほうがよさそうですね。

 

■AD CS の移行

---

2008 R2 の AD DS には AD CS もインストールをしていました。
機能レベルを最新にするためには 2008 R2 の DC を降格する必要があるのですが AD CS がインストールされているサーバーでは降格をすることができません。

移行をするために新規に追加した 2012 の AD DS にも AD CS をインストールしておきます。

AD CS も AD DS 同様に役割の追加後に構成が必要となります。

Windows Server 2012 では Standard と Datacenter に機能差がなくなっていますので、Standard Edition を使用してエンタープライズ CA を作成することも可能となっています。
# 証明書テンプレートも Standard で作成可能となっているかと。

AD CS の移行については 2008 R2 のガイドが役に立つかと思います。
Active Directory 証明書サービス移行ガイド

移行の手順としてはまずは移行元のサーバーで以下の作業を実施してバックアップを取得します。
# あまり設定をしていない AD CS の移行になります。

CA データベースと秘密キーをバックアップ

1. MMC から 証明機関のスナップインを開く
2. [すべてのタスク] から [CA のバックアップ] を選択して、ウィザードに従い、[秘密キーと CA 証明書] [証明書データベースおよび証明書データベースのログ] のバックアップを取得する
   

レジストリのバックアップ

1. regedit で [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCertSvcConfiguration] をエクスポート
   

 

バックアップが終了したら移行先の Windows Server 2012 の AD CS にファイルを一通りコピーします。

ファイルのコピーが終了したら以下の作業を実施します。

CA 証明書のインポート

1. MMC でコンピューターアカウントの証明書のスナップインをインポート
2. 個人証明書ストアに、移行元のCA データベースと秘密キーのバックアップで取得した Personal Information Exchange (.p12) をインポート
3. インポートした証明書の詳細タブからシリアル番号の内容をコピー
   
4. コマンドプロンプトから [certutil -repairstore My "<シリアル番号>"] を実行
   # シリアル番号の指定はスペースが入ったままでもスペースを詰めてしまってもどちらでも指定できます。
   

AD CS の役割を追加

1. サーバーマネージャーから AD CS の役割を追加する
2. 役割の追加が終了したらサーバーマネージャーから AD CS の構成を実行する
   
3. ウィザードを進め秘密キーの種類の指定まで進んだら [既存の秘密キーを使用する] [証明書を選択し、関連付けられている秘密キーを使用する] を選択する
   
4. 既存の証明書として、インポートした証明書を選択する
   
5. ウィザードを進める
   

CA データベースの復元
# 復元時には AD CS のサービスが再起動されます。

1. MMC から証明機関のスナップインを追加する
2. [すべてのタスク] から [CA の復元] をクリックする
   
3. ウィザードに従い、移行元で取得したバックアップを復元する
   # [秘密キーと CA 証明書] [証明書データベースおよび証明書データベースのログ] を復元します。
   

 

レジストリの復元

1. 移行元で取得していた .reg ファイルをダブルクリックしてインポート
   
2. 以下のレジストリ値を移行先の FQDN に変更
   # CACertFileName / ConfigurationDirectory は存在していなかったので変更していません
   CAServerName
3. CACertPublicationURLs / CRLPublicationURLs  の %1 を FQDN に %2 を NetBIOS 名に変更
4. MMC で証明機関のスナップインを追加し、証明機関の名称を選択してプロパティを開く
   
5. [拡張機能] タブから [CRL 配布ポイント] [機関情報アクセス (AIA)] が変更した内容 (FQDN / NetBIOS 名が移行先の情報となっている) となっていることを確認
   
6. Active Directory サイトとサービスを開く
7. Active Directory サイトとサービスを選択した状態で [表示] → [サービス ノードの表示] を有効にする
   
8. [Services] → [Public Key Services] → [AIA] 内の 移行元の [certificationAuthority] のプロパティを開き、[セキュリティ] タブから移行先のコンピューターアカウントのフルコントロールの権限を付与する
9. [Services] → [Public Key Services] → [CDP] → 移行元のコンピューター名のコンテナ内の 移行元の [cRLDistributionPoint] のプロパティを開き、[セキュリティ] タブから移行先のコンピューターアカウントのフルコントロールの権限を付与する

移行が終わったら 2008 R2 の AD CS の役割をサーバーマネージャーから削除します。

結構適当に移行したのでテンプレートの設定を飛ばしたような気がしますが…。

■ドメインコントローラーの降格

---

最新のフォレストとドメインの機能レベルは 2012 になりますので、機能レベルを上げるためには 2008 R2 のドメインコントローラーを降格して撤去する必要があります。

Windows Server 2008 R2 のドメインコントローラーの降格は dcpromo から実施することができます。

 

■IP アドレスの変更

---

DHCP で配布している IP アドレスは 2008 R2 の IP アドレスになりますので、今まで使用していた IP アドレスを 2012 のほうに移行したいと思います。

今まで使用していた 2008 R2 には異なる IP を割り当てます。

2008 R2 で使用していた IP アドレスが 2012 で使用できるようになったら、IP アドレスの設定を変更します。
IP アドレスを変更したら [C:Winodwssystem32confignetlogon.dns] の内容を反映させるために [net stop netlogon & net start netlogon] を実行して NetLogon のサービスを再起動して IP アドレス変更後の設定を DNS に反映します。

 

■機能レベルの変更

---

Windows Server 2012 では機能レベルの変更は Active Directory 管理センターから実施することができます。
# 従来からの Active Directory ドメインと信頼関係 / Active Directory ユーザーとコンピューターからも実行できます。

機能はフォレスト / ドメインともに 2012 が最新となりますので 2008 R2 の DC が撤去できればレベルの昇格が可能です。
# フォレストの機能レベルを変更するとドメインの機能レベルも同時に 2012 となります。

機能レベルの変更による追加機能は以下の技術文書から追うとよさそうですね
機能レベルの機能と要件

AD の移行作業は以上でしょうか。
それほど時間かからないかな～とおもって作業をしていたのですが、ふたを開けてみるとそれなりな作業量となってしましました。