Windows Server 2008/2008 R2 Active Directory移行の手引き

Transcription

1 Windows Server 2008/2008 R2 Active Directory 移行の手引き ~Windows 2000 ドメインからの移行 ~ 2009 年 12 月 富士通株式会社

2 改訂履歴 改版日時 版数 改版内容 新規作成 Windows Server 2008 R2 に対応 新規ドメイン構築 & アカウント移行 (ADMT3.1 を使用した移行 ) 手順を追加 -2-

3 目次 Windows Server 2008/2008 R2 Active Directory 移行の手引き はじめに なぜ 今 Windows 2008/2008 R2 ドメインに移行するのか? ドメイン移行の概要 ドメイン移行作業の流れ 移行方式概要 既存ドメインへのバージョンアップ 新規ドメイン構築 & アカウント移行 既存ドメインのバージョンアップ手順 移行環境 移行手順 フォレスト ドメインのアップグレード Windows Server 2008 R2 のDC 追加 FSMOの転送 Windows 2000 Server DCの降格 ドメイン / フォレストの機能レベルの変更 SYSVOL 複製方式の変更 新規ドメイン構築 & アカウント移行手順 移行環境 移行手順 新規ドメインの新規構築 信頼関係の構築 ADMTサーバの構築 暗号化ツールのインストールと設定 アカウント移行 既存ドメインの破棄...93 おわりに

4 はじめに 本書は Windows 2000 ドメインから Windows 2008/2008 R2 ドメインへの移行手順を中心に紹介します ドメインの移行方式には 既存ドメインのバージョンアップ 新規ドメイン構築 & アカウント移行 の 2 種類が用意されており お客様の移行環境や要件に合わせて移行方式を選択する必要があります ドメインの移行方式や移行手順を考える際の基礎情報としてご活用ください 本書では以下の方を対象に記載しています AD およびネットワークの基礎知識があることを前提にしています Windows 2000 ドメインを使用中のお客様 近い将来にドメイン移行を予定のお客様/SE 知識としてドメイン移行の進め方を確認されたいお客様/SE/ 営業 本書では 以下の略称を使用します 製品名 ドメイン 正式名称 Microsoft Windows 2000 Server 略称 Windows 2000 Server Microsoft Windows Server 2003 Windows Server 2003 Microsoft Windows Server 2008 Windows Server 2008 Microsoft Windows Server 2008 R2 Windows Server 2008 R2 Microsoft Windows 2000 Windows 2000 Microsoft Windows XP Windows XP Windows 7 Windows 7 Microsoft Windows 2000 Server Active Directory のドメイン Windows 2000 ドメイン Microsoft Windows Server 2008 Active Directory のドメイン Windows2008 ドメイン Microsoft Windows Server 2008 R2 Active Directory のドメイン Windows2008 R2 ドメイン ドメインコントローラ DC Active Directory Active Directory 移行ツール AD ADMT 本書の内容は 改善のため事前連絡なしに変更することがあります 本書に記載されたデータの使用に起因する 第三者の特許権およびその他の権利の侵害については 当社はその責を負いません 無断転載を禁じます Microsoft, Windows, Windows Server, Active Directory は Microsoft Corporation の米国及びその他の国における登録商標または商標です -4-

5 1 なぜ 今 Windows 2008/2008 R2 ドメインに移行するのか? 富士通における過去のドメイン移行商談の傾向から Windows 2000 ドメインから Windows 2008/2008 R2 ドメインへの移行を検討するきっかけとして 大きく以下の 2 通りが考えられます 1 最新のテクノロジーの恩恵を受けるため 2 ハードウェア ソフトウェアの老朽化のため 1 最新のテクノロジーの恩恵を受けるため は Windows Server 2008 R2 で使用可能な項目です 運用の改善 ドメインサービスが再起動可能となったことで AD のメンテナンス時にも同居している他サービスを止めずに済むなど 柔軟な運用が可能になります ドメインオブジェクトへの変更操作のロギングを行う監査機能が強化されたことで ディレクトリ情報を いつ誰がどのように変更したのか 追跡が可能になります Best Practices Analyzer(BPA) を利用した Active Directory DNS の推奨構成の確認が可能になり 構成 設計ミスに起因するトラブルの未然防止に繋げることができます 管理性の向上 Windows Server 2008/2008 R2 では操作性 機能面で 多くの改善が実装されています 以下は その一例です - サーバーマネージャ による 各種設定 監視など管理ツールの一元化 -グループポリシーの拡張 -GPMC による グループポリシー適用結果のシミュレーション 適用状況の確認 -オブジェクトのドラッグアンドドロップ 複数選択による一括プロパティ編集 - 日本市場のニーズに対応し ユーザオブジェクトに ふりがな属性 を追加 - 削除したドメインオブジェクトの迅速な復旧 (Active Directory Recycle Bin) - Windows PowerShell を使用したコマンドベースのディレクトリ操作 ドメインの論理設計の柔軟性向上 読み取り専用ドメインコントローラ(RODC) を利用することで これまで DC の設置を敬遠していた管理者不在の支店 またはセキュリティレベルの低い支店でも 安全に DC を設置できます きめ細かなパスワードポリシーが実装され 一般ユーザと管理者のパスワードポリシーを異なるレベルに設定できるなど セキュリティと利便性のバランスを考えた柔軟な論理設計が可能になります -5-

6 2 ハードウェア ソフトウェアの老朽化のため Windows Server 2008/2008 R2 Active Directory 移行の手引き ハードウェア主にサーバ部品の保守期間終了の問題があります サーバの各部品にも寿命があり 定期的に または故障時に交換する必要があります しかし Windows 2000 Server プレインストールモデルとして売り出されたサーバは順次保守サポート切れを迎え サポート終了後には各部品の入手が困難になります ソフトウェア (OS) Microsoft 製品には サポート期間が決められています Windows 2000 Server は既にサポート期間の終盤に差し掛かっており 2010 年にはサポートが終了する予定です サポート期間が終了すると セキュリティパッチや修正モジュールが提供されなくなります 本書ではこのような背景から Windows 2000 ドメインから Windows 2008/2008 R2 ドメインへの移行を中心に記載しております -6-

7 2 ドメイン移行の概要 Windows Server 2008/2008 R2 Active Directory 移行の手引き 本章では Windows 2000 ドメインから Windows 2008/2008 R2 ドメインへの移行の進め方と 移行方式について紹介します 2.1 ドメイン移行作業の流れ ドメイン移行に必要な作業を簡単に紹介します ドメイン移行では 以下の流れに従って移行の 計画から実施 確認まで作業を進めます 計画 既存環境の調査 移行対象となるドメイン環境について調査を行います DC だけでなくメンバコンピュータやネットワーク環境など影響範囲全般が調査対象となります POINT! Windows 2000 ドメインから Windows 2008/2008 R2 ドメインへの移行では 全ての既存 DC が Windows 2000 Server SP4 以降である必要があります AD の移行では DNS DHCP WINS など関連するネットワークサービスを考慮する必要があります ハードウェア ソフトウェアの手配 移行に必要なハードウェア ソフトウェアの手配を行います POINT! 発注してから搬入されるまでの時間を考慮し 余裕をもって手配します 移行方式の検討 お客様の環境や要件に従い ドメイン移行方式を検討します ( 移行方式については 2.2 節移行方式概要 を参照してください ) POINT! 移行過程でトラブルが発生した場合を想定して ロールバック計画をあわせて検討してください -7-

8 移行手順の確立 / 検証 移行手順を確立します 移行手順に従い検証を行い 問題が発生した際は 対策を検討し本番移行に備えます POINT! ドメイン移行は ドメイン内のメンバコンピュータや ディレクトリサービスを利用するアプリケーションなど様々なところに影響を与える可能性があります 移行を行う際は それらを洗い出し 移行手順の確認だけでなく インフラ全体への影響有無について事前検証を行うことが 移行後のトラブルを未然に防ぐことに繋がります 移行の実施 検証で確立した手順をもとに 本番環境の移行を行います 本書では このフェーズを中心に紹介します ( 手順の詳細は 3 章ドメイン移行手順 を参照してください ) POINT! 移行作業を開始する前には 必ずバックアップを実施してください 移行を実施する時期によっては 新たにサービスパックや修正モジュールなどが発表され 本書の手順に変更を要する可能性があります マイクロソフト社の最新の情報を確認してください 稼働確認 ドメイン移行完了後に 稼働状況の確認を行います 正常に稼働していることを確認して ドメイン移行を完了とします ドメイン移行は 実際の移行作業以上に 事前の調査 計画 準備などに多くの時間を必要とします ドメイン移行を行う際は 移行期間に余裕を持って計画を進めてください -8-

9 2.2 移行方式概要 Windows 2000 ドメインから Windows 2008/2008 R2 ドメインへの移行方式は 以下の 2 つの方式が考えられます 既存ドメインのバージョンアップ既存ドメインの構成 / 情報を保持したまま ドメインのバージョンアップを行う方式 新規ドメイン構築& アカウント移行 AD 移行ツール (ADMT ) を利用して 新規に構築したドメインへ既存のアカウント情報を移行する方式 富士通では エンドユーザへの影響が少ない 既存ドメインのバージョンアップ での移行を推奨しています 移行を機にドメイン環境を一新したい場合や 以下のような特別な要件がある場合には 新規ドメイン構築 & アカウント移行 を選択します 互換性確認が必要な既存サーバが多いため 既存ドメインを残しつつ 段階的に移行を行いたい M&A に伴いドメイン環境を統合したいが 既存ドメインをそのまま使用したくない事情がある ( )2009 年 11 月時点では Windows Server 2008 R2 で利用可能な ADMT は公開されていません このため Windows 2000 ドメインから Windows 2008 R2 ドメインへの移行は 既存ドメインのバージョンアップ のみ可能です なお Windows Server 2008 で利用可能な ADMT は 以下 URL よりダウンロード可能です B42DFB746059&displaylang=ja 既存ドメインのバージョンアップ と 新規ドメイン構築& アカウント移行 の移行イメージを紹介します -9-

10 2.2.1 既存ドメインへのバージョンアップ移行方式 既存ドメインのバージョンアップ による ドメイン移行イメージを紹介します 本書では Windows 2000 ドメインから Windows 2008 R2 ドメインへの移行手順を紹介していますが Windows 2000 ドメインから Windows 2008 ドメインへの移行手順も同様です 1 FSMO の役割を持つ既存 DC で Windows 2008 R2 の adprep32 コマンドを実行し スキーマを拡張します ( 注意 ) adprep コマンドを実行するためには 全ての既存 DC が Windows 2000 Server SP4 以降である必要があります 2 新規ドメインの DC として使用するサーバ ( 新規 DC) に Windows Server 2008 R2 をインストールします 3 新規 DC を既存ドメインの DC として追加します -10-

11 4 FSMO を新規 DC に転送します 5 既存 DC をメンバーサーバへ降格します 6 機能レベルを Windows Server 2008 R2 に変更します 詳細な移行手順は 3 章既存ドメインのバージョンアップ手順 を参照してください -11-

12 2.2.2 新規ドメイン構築 & アカウント移行移行方式 新規ドメイン構築 & アカウント移行 による ドメイン移行イメージを紹介します 本書では Windows 2000 ドメインから Windows 2008 ドメインへの移行手順を紹介しています なお 2009 年 11 月時点では Windows Server 2008 R2 に対応する ADMT は公開されていません 1 新規に 2008 ドメインを構築します 2 既存ドメインと双方向信頼関係を作成します 3 ADMT を使用し 既存ドメインから新規ドメインへ アカウントの移行を行います -12-

13 4 クライアント メンバサーバ等のリソース移行完了後に 信頼関係を破棄します 5 既存ドメイン環境を破棄します 詳細な移行手順は 4 章新規ドメイン構築 & アカウント移行手順 を参照してください -13-

14 3 既存ドメインのバージョンアップ手順 Windows Server 2008/2008 R2 Active Directory 移行の手引き 本章では 富士通が推奨する移行方式 既存ドメインのバージョンアップ を選択して Windows 2000 ドメインから Windows 2008 R2 ドメインへ移行する手順を紹介します 3.1 移行環境 本章で紹介する移行手順は 以下の環境における移行を想定しています 図 1 既存ドメインのバージョンアップ の移行環境 図 1 のサーバ / クライアントの設定内容を 以下の表に示します ( 表 1 表 2) -14-

15 表 1 DC サーバの設定内容 番号 項目 内容 1 コンピュータ名 2000DC-1 IP アドレス 移行前 移行後 なし( ネットワーク上から撤去 ) OS SP Windows 2000 Server SP4 DNS ( 優先 ) ( 代替 ) 役割 移行前 DC(FSMO GC) DNS(fujitsu.local ゾーン ) 移行後 なし 2 コンピュータ名 2000DC-2 IP アドレス 移行前 移行後 なし( ネットワーク上から撤去 ) OS SP Windows 2000 Server SP4 DNS ( 優先 ) ( 代替 ) 役割 移行前 DC(GC) DNS(fujitsu.local ゾーン ) 移行後 なし 3 コンピュータ名 2008R2DC-1 IP アドレス 移行前 移行後 OS SP Windows Server 2008 R2 DNS ( 優先 ) ( 代替 ) 役割 移行前 なし 移行後 DC(FSMO GC) DNS(fujitsu.local ゾーン ) 4 コンピュータ名 2008R2DC-2 IP アドレス 移行前 移行後 OS SP Windows Server 2008 R2 DNS ( 優先 ) ( 代替 ) 役割 移行前 なし 移行後 DC(GC) DNS(fujitsu.local ゾーン ) -15-

16 表 2 ドメインメンバサーバ / クライアントの設定内容 番号項目内容 コンピュータ名 2003File IP アドレス OS SP Windows Server 2003 R2 DNS ( 優先 ) ( 代替 ) 役割 ファイルサーバ コンピュータ名 Win2000 IP アドレス OS SP Windows 2000 Professional SP4 DNS ( 優先 ) ( 代替 ) 役割 なし コンピュータ名 WinXP IP アドレス OS SP Windows XP Professional SP3 DNS ( 優先 ) ( 代替 ) 役割 なし コンピュータ名 Win7 IP アドレス OS SP Windows 7 DNS ( 優先 ) ( 代替 ) 役割なし -16-

17 3.2 移行手順 Windows Server 2008/2008 R2 Active Directory 移行の手引き 移行方式 既存ドメインのバージョンアップ による ドメインの移行の詳細手順を紹介します フォレスト ドメインのアップグレード フォレストのアップグレード 本手順は 2000DC-1 で行います 1 ドメインの管理者権限で ログオンします 2 万一の失敗に備えて フォレストのアップグレード前に サポートツールの repadmin を 用いて AD のレプリケーションを一時的に無効にすることをお勧めします サポートツールは Windows 2000 SP4 CD-ROM もしくは以下のサイトで入手できます orttools.mspx 3 コマンドプロンプトで 以下を実行します repadmin /options 2000DC-1.fujitsu.local +DISABLE_OUTBOUND_REPL 4 Windows Sever 2008 R2 のインストールメディアを DVD ドライブに挿入します 5 コマンドプロンプトで以下を実行します (DVD ドライブ名 ):\support\adprep \adprep32 /forestprep 実行すると 右のメッセージが表示されます c を入力します Enter キーを押下します DC アップグレード前の環境が 64bit の場合 上記コマンドの代わりに (DVD ドライブ名 ):\support\adprep\adprep /forestprep を実行します Windows 2008 ドメインへの移行 (Windows Server 2008 のインストールメディアを使用 ) の場合 上記コマンドの代わりに (DVD ドライブ名 ):\sources \adprep\adprep /forestprep を実行します -17- ADPREP の警告 : adprep を実行する前に フォレスト内のすべての Windows 2000 Active Directory ドメインコントローラーを Windows 2000 Service Pack 4 (SP4) 以降にアップグレードする必要があります [ ユーザーによる操作 ] 既存の Windows 2000 Active Directory ドメインコントローラーのすべてがこの要件を満

18 参考 たす場合は C キーを押してから Enter adprep /forestprep は スキーママスタキーを押して続行してください 中止するにの役割がある DC 上で行います は その他のキーを押してから Enter キーを押してください 6 adprep /forestprep が正常に終了したら 無効にしていたレプリケーションを有効にします コマンドプロンプトで 以下を実行します repadmin /options 2000DC-1.fujitsu.local -DISABLE_OUTBOUND_REPL ドメインのアップグレード 本手順は 2000DC-1 で行います ドメインのアップグレードを行うには ドメイン操作モードが ネイティブモード である必要があります ドメイン操作モードが 混在モード の場合は 以下の手順で ネイティブモード へ変更してください ネイティブモードへの変更 1 ネイティブモードに変更します スタート プログラム 管理ツール Active Directory ドメインと信頼関係 をクリックします 2 Active Directory ドメインと信頼関係 が表示されます Active Directory ドメインと信頼関係 fujitsu.local を右クリックし プロパティ をクリックします -18-

19 3 fujitsu.local のプロパティ が表示され ます モードの変更 をクリックします Windows Server 2008/2008 R2 Active Directory 移行の手引き 4 右のメッセージが表示されます はい をクリックします 5 fujitsu.local のプロパティ で OK をク リックします 6 右のメッセージが表示されます OK をクリックします -19-

20 ドメイン操作モードが ネイティブ であることを確認し 以下の手順でドメインのアップグレードを行います ドメインのアップグレード 1 コマンドプロンプトで 以下を実行します repadmin /options 2000DC-1.fujitsu.local +DISABLE_OUTBOUND_REPL 2 Windows Sever 2008 R2 のインストールメディアを DVD ドライブに挿入します 3 コマンドプロンプトで以下を実行します (DVD ドライブ名 ):\support\adprep \adprep32 /domainprep /gpprep DC アップグレード前の環境が 64bit の場合 上記コマンドの代わりに (DVD ドライブ名 ):\support\adprep\adprep /domainprep /gpprep を実行します Domainprep を実行中... Windows 2008 ドメインへの移行 (Windows Server 2008 のインストールメ Adprep はドメイン全体の情報を正しく更新しディアを使用 ) の場合 上記コマンドのました 代わりに (DVD ドライブ名 ):\sources \adprep\adprep /domainprep /gpprep.. を実行します Adprep はグループポリシーオブジェクト (GPO) 情報を正しく更新しました 4 adprep /domainprep /gpprep が正常に終了したら 無効にしていたレプリケーションを有効にします コマンドプロンプトで 以下を実行します repadmin /options 2000DC-1.fujitsu.local -DISABLE_OUTBOUND_REPL -20-

21 3.2.2 Windows Server 2008 R2 の DC 追加 Windows Server 2008/2008 R2 Active Directory 移行の手引き 本手順は 2008R2DC R2DC-2 で行います 事前に Windows Server 2008 R2 の OS インストールが完了していることを前提とします な お DC 追加前に DNS をインストールしないでください Windows Server 2008 の RTM 版には AD の複製に関する重要な修正プログラムが公開されています (Windows Server 2008 R2 は この修正プログラムを適用する必要はありません ) 導入前には 必ずマイクロソフト社の最新情報を確認してください R2DC-1 を追加のドメインコントー ラとして構築します スタート ファイル名を指定して実行 をクリックします dcpromo と入力します OK をクリックします 2 右のメッセージが表示されます -21-

22 3 Active Directory ドメインサービスインストールウィザードの開始 が表示されます 次へ をクリックします 4 オペレーティングシステムの互換性 が表示されます 次へ をクリックします 5 展開の構成の選択 が表示されます 既存のフォレスト 既存のドメインにドメインコントローラを追加する を選択します 次へ をクリックします 6 ネットワーク資格情報 が表示されます ドメイン名を入力します 代替の資格情報 の 設定 をクリックします -22-

23 7 ネットワーク資格情報 が表示されます 追加先ドメインのドメイン管理者権限を持つアカウントとパスワードを入力します OK をクリックします 8 ネットワーク資格情報 で 次へ をクリックします 9 ドメインの選択 が表示されます ドメイン名を選択し 次へ をクリックします 10 右のメッセージが表示されます はい をクリックします 本シナリオは RODC 環境を構築しないため はい をクリックし ウィザードを続行します -23-

24 11 サイトの選択 が表示されます サイト 名を選択し 次へ をクリックします Windows Server 2008/2008 R2 Active Directory 移行の手引き 12 追加のドメインコントローラーオプション が表示されます DNS サーバー グローバルカタログ のチェックをオンにします 次へ をクリックします 本シナリオでは Windows Server 2008 R2 追加 DC を DNS グローバルカタログとして構築します 13 右のメッセージが表示されます はい をクリックします 14 データベース ログファイル および SYSVOL の場所 が表示されます 次へ をクリックします -24-

25 15 ディレクトリサービス復元モード Administrator パスワード が表示されます パスワードを入力します 次へ をクリックします 16 概要 が表示されます 次へ をクリックします 17 DNS ドメインサービスのインストールが開始します 完了時に再起動する にチェックを入れます 18 インストールが完了すると コンピュータが再起動します 19 手順 1~ 手順 18 と同様の手順で 2008R2DC-2 を追加します -25-

26 3.2.3 FSMO の転送 Windows Server 2008/2008 R2 Active Directory 移行の手引き スキーママスタの転送 本手順は 2000DC-1 で行います 1 スタート ファイル名を指定して実行 をクリックします regsvr32 schmmgmt.dll と入力します OK をクリックします 2 右のメッセージが表示されます OK をクリックします 3 スタート ファイル名を指定して実行 をクリックします mmc と入力します OK をクリックします 4 コンソール 1 が表示されます コンソール メニューから スナップインの追加と削除 をクリックします 5 スナップインの追加と削除 が表示されます 追加 をクリックします -26-

27 6 スタンドアロンスナップインの追加 が表示されます Active Directory スキーマ をクリックします 追加 をクリックします 閉じる をクリックします 7 スナップインの追加と削除 で OK をクリックします 8 コンソール1 に Active Directory スキーマ が表示されます コンソールルート Active Directory スキーマ を右クリックし ドメインコントローラの変更 をクリックします 9 ドメインコントローラの変更 が表示されます 名前の指定 で 2008R2DC-1 の FQDN を入力します OK をクリックします -27-

28 10 コンソール1 で コンソールルート Active Directory スキーマ を右クリックし 操作マスタ をクリックします 11 スキーママスタの変更 が表示されます 変更 をクリックします 12 右のメッセージが表示されます OK をクリックします 13 右のメッセージが表示されます OK をクリックします 14 スキーママスタの変更 で キャンセル をクリックします -28-

29 ドメイン名前付け操作マスタの転送 本手順は 2000DC-1 で行います Windows Server 2008/2008 R2 Active Directory 移行の手引き 1 スタート プログラム 管理ツー ル Active Directory ドメインと信頼関係 をクリックします 2 Active Directory ドメインと信頼関係 が表示されます Active Directory ドメインと信頼関係 を右クリックし ドメインコントローラに接続 をクリックします 3 ドメインコントロ-ラに接続 が表示されます 2008R2DC-1.fujitsu.local を選択します OK をクリックします 4 Active Directory ドメインと信頼関係 で Active Directory ドメインと信頼関係 を右クリックし 操作マスタ をクリックします -29-

30 5 操作マスタの変更 が表示されます 変更 をクリックします Windows Server 2008/2008 R2 Active Directory 移行の手引き 6 右のメッセージが表示されます OK をクリックします 7 右のメッセージが表示されます OK をクリックします 8 操作マスタの変更 で 閉じる をクリックします -30-

31 インフラストラクチャマスタ PDC マスタ RID マスタの転送 本手順は 2000DC-1 で行います 1 スタート プログラム 管理ツー ル Active Directory ユーザーとコンピュータ をクリックします 2 Active Directory ユーザーとコンピュータ が表示されます Active Directory ユーザーとコンピュータ ( ドメイン名 ) を右クリックし ドメインコントローラに接続 をクリックします 3 ドメインコントロ-ラに接続 が表示されます 2008R2DC-1.fujitsu.local を選択します OK をクリックします 4 Active Directory ユーザーとコンピュータ で Active Directory ユーザーとコンピュータ ( ドメイン名 ) を右クリックし 操作マスタ をクリックします -31-

32 5 操作マスタ が表示されます インフラストラクチャ タブをクリックします 変更 をクリックします 6 右のメッセージが表示されます はい をクリックします 7 右のメッセージが表示されます OK をクリックします 8 操作マスタ で PDC タブをクリックします 変更 をクリックします 9 右のメッセージが表示されます はい をクリックします 10 右のメッセージが表示されます OK をクリックします -32-

33 11 操作マスタ で RID タブをクリックし ます 変更 をクリックします Windows Server 2008/2008 R2 Active Directory 移行の手引き 12 右のメッセージが表示されます はい をクリックします 13 右のメッセージが表示されます OK をクリックします 14 操作マスタ で OK をクリックしま す -33-

34 3.2.4 Windows 2000 Server DC の降格 Windows Server 2008/2008 R2 Active Directory 移行の手引き Windows 2000 Server DC の降格 本手順は 2000DC DC-2 で行います DC-1 で スタート ファイル名を指定して実行 を選択します dcpromo と入力します OK をクリックします 2 Active Directory のインストールウィザードの開始 が表示されます 次へ をクリックします 3 右のメッセージが表示されます OK をクリックします 4 Active Directory の削除 が表示されます このサーバーはドメインの最後のドメインコントローラです のチェックがオフになっていることを確認します 次へ をクリックします 5 Administrator のパスワード が表示されます パスワードを入力します 次へ をクリックします -34-

35 6 概要 が表示されます 次へ をクリッ クします Windows Server 2008/2008 R2 Active Directory 移行の手引き 7 AD のアンインストールが実行されま す 8 Active Directory のインストールウィ ザードの完了 が表示されます 完了 をクリックします 9 右のメッセージが表示されます 再起動する をクリックし 再起動します 10 再起動後 2000DC-1 をドメインメンバーから外し ネットワーク上から撤去します 11 手順 1~ 手順 10 と同様の手順で 2000DC-2 を降格します -35-

36 IP アドレスの変更 本手順は 2008R2DC R2DC-2 で行います DC サーバでは ほとんどの場合 DNS サーバの役割を兼務します DC 兼 DNS サーバをドメインメンバサーバに降格した場合 ドメインメンバコンピュータの TCP/IP 設定によっては参照する DNS が存在しない状況になります このような場合 ドメインメンバコンピュータは Active Directory での認証要求が行えなくなります 本手順では 移行前の DC で使用していた IP アドレスを Windows Server 2008 R2 DC の IP アドレスとすることで これらの問題を解決します 以下のサーバで IP アドレスの変更を行います サーバ 変更前の IP アドレス 変更後の IP アドレス 2008R2DC (2000DC-1 で使用していた IP アドレス ) 2008R2DC (2000DC-2 で使用していた IP アドレス ) Windows 2000 Server DC の降格と IP アドレスの変更作業は ドメインメンバコンピュータへの影響が少ない業務時間外に実施することを推奨します POINT! Windows 2000 Server DC 降格後に IP アドレスを変更する方法は 次の方法が考えられます お客様の環境や要件に合わせて変更方法を選択してください IP アドレス変更方法説明 1 新規 DC の IP アドレスを変更新規 DC の IP アドレスを 移行前の DC で使用していた IP アドレスに変更します ドメインメンバコンピュータの TCP/IP 設定を変更する必要がないため 大規模な環境に最適な方法です 2ドメインメンバコンピュータのドメインメンバコンピュータの TCP/IP の設定で DNS TCP/IP 設定を変更サーバの IP アドレスを新規 DC のアドレスに変更します 全ドメインメンバコンピュータの設定変更が必要になります 静的に DNS の IP アドレスを設ドメイン内の全ドメインメンバコンピュータの TCP/IP 設定定している場合を手動で変更する必要があります DHCP サーバで DNS サーバの DHCP サーバのネットワークオプションで DNS サーバの IP アドレスを配布している場合 IP アドレス情報を変更します ドメインメンバコンピュータでは DHCP サーバから DNS サーバの IP アドレス情報を再取得する必要があります -36-

37 3.2.5 ドメイン / フォレストの機能レベルの変更 Windows Server 2008/2008 R2 Active Directory 移行の手引き ドメイン機能レベルの変更 本手順は 2008R2DC-1 で行います 1 ドメイン機能レベルを変更します スタート 管理ツール サーバーマネージャー をクリックします 2 サーバーマネージャー が表示されます サーバーマネージャー ( サーバ名 ) 役割 Active Directory ドメインサービス Active Directory ユーザーとコンピューター fujitsu.local を右クリックし ドメインの機能レベルの昇格 をクリックします 3 ドメインの機能レベルの昇格 が表示されます 利用可能なドメインの機能レベルを選択してください で Windows Server 2008 R2 を選択します 上げる をクリックします 4 右のメッセージが表示されます OK をクリックします 5 右のメッセージが表示されます OK をクリックします 6 再度 手順 2 を実行し ドメインの機能レベルが Windows Server 2008 R2 になっていることを確認します 閉じる をクリックします -37-

38 フォレスト機能レベルの変更 本手順は 2008R2DC-1 で行います Windows Server 2008/2008 R2 Active Directory 移行の手引き 1 フォレスト機能レベルを変更します スタート 管理ツール から Active Directory ドメインと信頼関係 をクリックします 2 Active Directory ドメインと信頼関係 が表示されます Active Directory ドメインと信頼関係 を右クリックし フォレストの機能レベルの昇格 をクリックします 3 フォレストの機能レベルの昇格 が表示されます 利用可能なフォレストの機能レベルを選択してください で Windows Server 2008 R2 を選択します 上げる をクリックします 4 右のメッセージが表示されます OK をクリックします 5 右のメッセージが表示されます OK をクリックします 6 再度 手順 2 を実行し フォレストの機能レベルが Windows Server 2008 R2 になっていることを確認します OK をクリックします -38-

39 3.2.6 SYSVOL 複製方式の変更 本手順は 2008R2DC-1 で行います Windows 2000 ドメインでは FRS(File Replication Service) を使用して SYSVOL を複製します Windows Server 2003 R2 以降の DC 間では FRS の後継にあたる DFSR(Distributed File System Replication) を使用可能ですが Windows 2000 ドメインから Windows Server 2008 R2 に移行した場合 複製には引き続き FRS を使用します DFSR を使用するためには コマンドラインツールを使用して手動で変更する必要があります DFSR を使用することで複製によるネットワーク負荷を下げ より高速に SYSVOL の複製が可能になります 1 現在の DFSR 移行のグローバル状態を取得します コマンドプロンプトで 以下を実行します dfsrmig /GetGlobalState DFSR 移行がまだ初期化されていません 移行を開始するには グローバル状態を目的の値に設定してください 実行すると 右のメッセージが表示されます 2 DFSR 移行のグローバル状態を 開始 に設定します コマンドプロンプトで 以下を実行します dfsrmig /SetGlobalState 0 DFSR の現在のグローバル状態 : 開始 新しい DFSR のグローバル状態 : 開始 無効な状態変更が要求されました 実行すると 右のメッセージが表示されます AD に DFSR に必要なオブジェクトやクラスが作成されます -39-

40 3 現在の DFSR 移行のグローバル状態を取得します DFSR の現在のグローバル状態 : 開始 コマンドプロンプトで 以下を実行しま成功しました す dfsrmig /GetGlobalState 実行すると 右のメッセージが表示されます 4 グローバル状態が 開始 になっていることを確認します コマンドプロンプトで 以下を実行します dfsrmig /GetMigrationState 実行すると 右のメッセージが表示されます すべてのドメインコントローラーがグローバル状態 ( 開始 ) に移行しました 移行状態が すべてのドメインコントローラー上で整合性のとれた状態になりました 成功しました 他のドメインコントローラと整合性が取れていることを確認します 5 DFSR 移行のグローバル状態を 準備完了 に設定します コマンドプロンプトで 以下を実行します dfsrmig /SetGlobalState 1 実行すると 右のメッセージが表示されます DFSR の現在のグローバル状態 : 開始 新しい DFSR のグローバル状態 : 準備完了 準備完了 状態に移行します DFSR サービスによって SYSVOL が SYSVOL_DFSR フォルダーにコピーされます -40- いずれかの DC で移行を開始できない場合は 手動ポーリングを試行してください 移行は 15 分から 1 時間までの任意の時点で開始できます 成功しました

41 6 移行準備の状況をイベントログで確認します Windows Server 2008/2008 R2 Active Directory 移行の手引き スタート 管理ツール サーバーマネージャー をクリックします 7 サーバーマネージャー が表示されます サーバーマネージャー ( サーバ名 ) 診断 イベントビューア アプリケーションとサービスログ DFS Replication をクリックします イベント ID 8010( 移行準備開始 ) 8014 ( 移行準備完了 ) が表示されることを確認します 8 すべてのドメインコントローラが移行準備完了になっているか確認します コマンドプロンプトで 以下を実行します dfsrmig /GetMigrationState 実行すると 右のメッセージが表示されます すべてのドメインコントローラーがグローバル状態 ( 準備完了 ) に移行しました 移行状態が すべてのドメインコントローラー上で整合性のとれた状態になりました 成功しました -41-

42 移行準備が完了すると C:\Windows 配下に SYSVOL_DFSR フォルダが作成され C:\Windows\SYSVOL から C:\Windows\SYSVOL_DFSR フォルダに 必要なファイルが複製されます 9 DFSR 移行のグローバル状態を リダイレクト済み に設定します コマンドプロンプトで 以下を実行します dfsrmig /SetGlobalState 2 実行すると 右のメッセージが表示されます DFSR の現在のグローバル状態 : 準備完了 新しい DFSR のグローバル状態 : リダイレクト済み リダイレクト済み 状態に移行します SYSVOL 共有が DFSR を使用してレプリケートされた SYSVOL_DFSR フォルダーに変更されます 10 リダイレクトの状況をイベントログで確認します 成功しました サーバーマネージャー で サーバーマネージャー ( サーバ名 ) 診断 イベントビューア アプリケーションとサービスログ DFS Replication をクリックします イベント ID 8015( リダイレクト処理開始 ) 8017 ( リダイレクト処理完了 ) が表示されることを確認します リダイレクト処理が完了すると DFSR の複製が開始され C:Windows \SYSVOL_DFSR を複製します -42-

43 DFSR のグローバル状態が 削除済み となっていないため FRS 複製も実行されています 11 DFSR のグローバル状態を 削除済み にします コマンドプロンプトで 以下を実行します dfsrmig /SetGlobalState 3 このコマンドを実行後は 複製フォルダを元に戻すことはできません DFSR の現在のグローバル状態 : リダイレクト済み 新しい DFSR のグローバル状態 : 削除済み 実行すると 右のメッセージが表示されます 削除済み 状態に移行します このステップを元に戻すことはできません 12 削除済みになったことを イベントログで確認します いずれかの RODC が長時間にわたって 削除済み 状態になっている場合は /DeleteRoNtfrsMembers オプションを指定して実行してください 成功しました サーバーマネージャー で サーバーマネージャー ( サーバ名 ) 診断 イベントビューア アプリケーションとサービスログ DFS Replication をクリックします イベント ID 8018( 削除済み開始 ) 8019( 削除済みリダイレクト処理完了 ) が表示されることを確認します -43-

44 13 以下のコマンドを実行し 他のドメインコントローラも 削除済み になったかどうかを確認します コマンドプロンプトで 以下を実行します dfsrmig /GetMigrationState すべてのドメインコントローラーがグローバル状態 ( 削除済み ) に移行しました 移行状態が すべてのドメインコントローラー上で整合性のとれた状態になりました 成功しました 実行すると 右のメッセージが表示されます 以上でドメイン移行作業は完了です 移行完了後は稼働確認を行ってください -44-

45 4 新規ドメイン構築 & アカウント移行手順 Windows Server 2008/2008 R2 Active Directory 移行の手引き 本章では 移行方式 新規ドメイン構築 & アカウント移行 を選択して Windows 2000 ドメインから Windows 2008 ドメインへ移行する手順を紹介します 4.1 移行環境本章で紹介する移行手順は 以下の環境における移行を想定しています 図 2 新規ドメイン構築 & アカウント移行 の移行環境 既存ドメイン (fujitsu.local) とは別に 新規ドメイン (fujitsu2.co.jp) を別フォレストとして作成し ユーザアカウント コンピュータアカウントを移行します ユーザアカウントの移行時に SID も併せて移行することで 新規ドメインに移行したアカウントで 引き続き既存ドメインのリソース ( ファイルサーバなど ) にアクセスできます 本書では以下のアカウントを移行対象とします ユーザアカウント コンピュータアカウント User-2003File Win 2000 User-Win2000 WinXP User-WinXP 2003File 図 2 のサーバ / クライアントの設定内容を 以下の表に示します ( 表 3 表 4) -45-

46 表 3 DC サーバの設定内容 番号 項目 内容 1 コンピュータ名 2000DC-1 IP アドレス OS SP Windows 2000 Server SP4 DNS 移行前 ( 優先 ) ( 代替 ) 移行時 ( 優先 ) ( 代替 ) 役割 DC(FSMO GC) DNS(fujitsu.local ゾーン 移行時は セカンダリゾーンに fujitsu2.co.jp を追加 ) 2 コンピュータ名 2000DC-2 IP アドレス OS SP Windows 2000 Server SP4 DNS ( 優先 ) ( 代替 ) 役割 DC(GC) DNS(fujitsu.local ゾーン ) 3 コンピュータ名 2008DC-1 IP アドレス OS SP Windows Server 2008 DNS 移行時 ( 優先 ) ( 代替 ) 移行後 ( 優先 ) ( 代替 ) 役割 DC(FSMO GC) DNS(fujitsu2.co.jp ゾーン 移行時 はセカンダリゾーンに fujitsu.local を追加 ) 4 コンピュータ名 2008DC-2 IP アドレス OS SP Windows Server 2008 DNS ( 優先 ) ( 代替 ) 役割 DC(GC) DNS(fujitsu2.co.jp ゾーン ) -46-

47 表 4 ドメインメンバサーバ / クライアントの設定内容 番号項目内容 コンピュータ名 2003File IP アドレス OS SP Windows Server 2003 R2 DNS 移行前 ( 優先 ) ( 代替 ) 移行時 ( 優先 ) ( 代替 ) 移行後 ( 優先 ) ( 代替 ) 役割 ファイルサーバ コンピュータ名 Win2000 IP アドレス OS SP Windows 2000 Professional SP4 DNS 移行前 ( 優先 ) ( 代替 ) 移行時 ( 優先 ) ( 代替 ) 移行後 ( 優先 ) ( 代替 ) 役割 なし コンピュータ名 WinXP IP アドレス OS SP Windows XP Professional SP3 DNS 移行前 ( 優先 ) ( 代替 ) 移行時 ( 優先 ) ( 代替 ) 移行後 ( 優先 ) ( 代替 ) 役割 なし コンピュータ名 2008ADMT IP アドレス OS SP Windows Server 2008 DNS 移行時 ( 優先 ) ( 代替 ) 移行後 ( 優先 ) ( 代替 ) 役割 ADMT サーバ -47-

48 4.2 移行手順 Windows Server 2008/2008 R2 Active Directory 移行の手引き 移行方式 新規ドメイン構築 & アカウント移行 による ドメインの移行の詳細手順を紹介します 新規ドメインの新規構築 本手順は 2008DC DC-2 で行います Windows Server 2008 で新規にドメインを構築します ADMT3.1 を使用した移行では 新規ドメインの機能レベルが以下のいずれかである必要があります Windows 2000 ネイティブ Windows Server 2003 Windows Server 2008 下位の機能レベルは移行期間中に使用するものであり ドメインまたはフォレスト内に古いバージョンの DC を設置する必要がない場合は機能レベルを Windows Server 2008 にすることを推奨します 信頼関係の構築既存ドメインと新規ドメインの間で信頼関係を構築します 信頼関係は一方向だけでも移行は可能ですが 移行時の手順が煩雑になるため 本書では双方向の信頼関係を構築する手順を紹介します (1)DNS サーバの指定 TCP/IP の設定で 既存ドメインの DC サーバでは新規ドメインの DNS サーバを 新規ドメインの DC サーバでは既存ドメインの DNS サーバを指定します 本手順は 2000DC-1 で行います インターネットプロトコル (TCP/IP) のプロパティ を表示します 代替 DNS サーバー に 新規ドメインの DNS サーバの IP アドレスを入力します -48-

49 本手順は 2008DC-1 で行います Windows Server 2008/2008 R2 Active Directory 移行の手引き インターネットプロトコルバージョン 4 (TCP/IPv4) のプロパティ を表示します 代替 DNS サーバー に 既存ドメインの DNS サーバの IP アドレスを入力します (2) セカンダリゾーンの登録既存ドメインと新規ドメインの間に信頼関係を構築するために 既存 / 新規ドメインの DNS サーバで以下のゾーン情報を持つ必要があります 既存ドメインの DNS サーバ : 新規ドメインの DNS ゾーン情報 新規ドメインの DNS サーバ : 既存ドメインの DNS ゾーン情報 DNS ゾーンは セカンダリゾーン として作成し ゾーン転送を行います 既存ドメインの DNS サーバに新規ドメインのセカンダリゾーンを作成新規ドメインの DNS サーバでゾーン転送の許可を設定し 既存ドメインの DNS サーバで新規ドメインのセカンダリゾーンを作成します 本手順は 2008DC-1 で行います 1 ドメイン管理者権限でサーバにログインします 2 スタート サーバーマネージャ をクリックします -49-

50 3 サーバーマネージャ が表示されます 左ペインの サーバーマネージャ ( サーバ名 ) - 役割 - DNS サーバー - DNS - (DNS サーバ名 ) - 前方参照ゾーン - ( 新規ドメインのゾーン名 ) を右クリックし プロパティ をクリックします 4 ( 新規ドメインのゾーン名 ) のプロパティ が表示されます ゾーンの転送 タブを選択します ゾーン転送を許可するサーバー にチェックを入れます 次のサーバーのみ を選択します 編集 をクリックします 5 ゾーン転送を許可する が表示されます < ここをクリックして IP アドレスまたは DNS 名を追加してください > に既存ドメインのDNSサーバのIPアドレスを入力します OK をクリックします IP アドレス入力後に 一度別の場所をポイントしてください 入力した IP アドレスの検証が行われ OK ボタンがクリック可能になります この時点では 検証結果は NG となりますが 問題ありません -50-

51 6 ( 新規ドメインのゾーン名 ) のプロパ ティ で OK をクリックします Windows Server 2008/2008 R2 Active Directory 移行の手引き 本手順は 2000DC-1 で行います 1 ドメイン管理者権限でサーバにログインします 2 スタート プログラム 管理ツー ル DNS をクリックします 3 DNS が表示されます 左ペインの DNS - (DNS サーバ名 ) - 前方参照ゾーン を右クリックし 新しいゾーン をクリックします -51-

52 4 新しいゾーンウィザードの開始 が表 示されます 次へ をクリックします Windows Server 2008/2008 R2 Active Directory 移行の手引き 5 ゾーンの種類 が表示されます 標準 セカンダリ を選択します 次へ をクリックします 6 ゾーン名 が表示されます 名前 に新規ドメインのゾーン名を入力します 次へ をクリックします 7 マスタ DNS サーバー が表示されます IP アドレス に新規ドメインの DNS サーバの IP アドレスを入力します 追加 をクリックします IP アドレス の下のテキストボックスに入力した IP アドレスが表示されます 次へ をクリックします 8 新しいゾーンウィザードの完了 が表示されます 完了 をクリックします -52-

53 9 DNS の DNS - (DNS サーバ名 ) - 前方参照ゾーン に新規ドメインのゾーン ( セカンダリゾーン ) が作成され ゾーン情報が転送されている事を確認します ゾーン情報が転送されるまで 数分時間がかかることがあります 新規ドメインの DNS サーバに既存ドメインのセカンダリゾーンを作成新規ドメインの DNS サーバで既存ドメインのセカンダリゾーンを作成します Windows 2000 Server の DNS では 既定ですべてのサーバにゾーン転送を許可しています 設定変更などでゾーン転送の許可が無効になっている場合は 有効にしてください 本手順は 2008DC-1 で行います 1 ドメイン管理者権限でサーバにログインします 2 スタート サーバーマネージャ をクリックします 3 サーバーマネージャ が表示されます 左ペインの サーバーマネージャ ( サーバ名 ) - 役割 - DNS サーバー - DNS - (DNS サーバ名 ) - 前方参照ゾーン を右クリックし 新しいゾーン をクリックします -53-

54 4 新しいゾーンウィザードの開始 が表 示されます 次へ をクリックします Windows Server 2008/2008 R2 Active Directory 移行の手引き 5 ゾーンの種類 が表示されます セカ ンダリゾーン を選択します 次へ をクリックします 6 ゾーン名 が表示されます ゾーン名 に既存ドメインのゾーン名を入力します 次へ をクリックします 7 マスタ DNS サーバー が表示されます IP アドレス に既存ドメインの DNS サーバの IP アドレスを入力します 次へ をクリックします 8 新しいゾーンウィザードの完了 が表示されます 完了 をクリックします -54-

55 9 サーバーマネージャ の サーバーマネージャ ( サーバ名 ) - 役割 - DNS サーバー - DNS - (DNS サーバ名 ) - 前方参照ゾーン に既存ドメインのゾーン ( セカンダリゾーン ) が作成され ゾーン情報が転送されている事を確認します (3) 信頼関係の構築既存ドメインと新規ドメインの間に 外部の信頼 を双方向に構築します 本手順は 2008DC-1 で行います 1 ドメイン管理者権限でサーバにログインします 2 スタート 管理ツール Active Directory ドメインと信頼関係 をクリックします 3 Active Directory ドメインと信頼関係 が表示されます 左ペインの Active Directory ドメインと信頼関係 - ( 新規ドメイン名 ) を右クリックし プロパティ をクリックします -55-

56 4 ( 新規ドメイン名 ) のプロパティ が表示されます 信頼 タブをクリックします 新しい信頼 をクリックします 5 新しい信頼ウィザードの開始 が表示されます 次へ をクリックします 6 信頼の名前 が表示されます 名前 に既存ドメイン名を入力します 次へ をクリックします 7 信頼の種類 が表示されます 外部の信頼 を選択します 次へ をクリックします 8 信頼の方向 が表示されます 双方向 を選択します 次へ をクリックします -56-

57 9 信頼の方向 が表示されます このドメインと指定されたドメインの両方 を選択します 次へ をクリックします 10 ユーザー名とパスワード が表示されます 既存ドメインのドメイン管理者アカウントとパスワードを入力します 次へ をクリックします 11 出力方向の信頼認証レベル -- ローカルドメイン が表示されます ドメイン全体の認証 を選択します 次へ をクリックします 12 信頼の選択の完了 が表示されます 次へ をクリックします 13 信頼の作成完了 が表示されます 次へ をクリックします -57-

58 14 出力方向の信頼の確認 が表示されます 確認する を選択します 次へ をクリックします 15 入力方向の信頼の確認 が表示されます 確認する を選択します 次へ をクリックします 16 新しい信頼ウィザードの完了 が表示されます 完了 をクリックします 17 Active Directory ドメインサービス が表示されます OK をクリックします 18 ( 新規ドメイン名 ) のプロパティ で OK をクリックします -58-

59 4.2.3 ADMTサーバの構築 ADMT は移行先のドメインメンバで Windows Server 2008 を実行するサーバにインストールする必要があります DC サーバに ADMT をインストールすることも可能ですが 本書では ADMT 用のメンバサーバを新規に構築する手順を紹介します 本手順は 2008ADMT で行います (1)Windows Server 2008 インストールと初期設定 Windows Server 2008 インストール Windows Server 2008 をインストールします ADMT は Server Core インストールや RODC(Read-Only Domain Controller) として構成したサーバにはインストールできません ネットワーク設定 TCP/IP の設定で 既存ドメインと新規ドメインの DNS サーバを設定します インターネットプロトコルバージョン 4 (TCP/IPv4) のプロパティ で新規 / 既存ドメインのDNSサーバのIPアドレスを入力します 新規ドメインへの参加新規ドメインに参加します -59-

60 (2)ADMT のインストール Windows Server 2008/2008 R2 Active Directory 移行の手引き 1 ローカル管理者権限でサーバにログインします 2 Active Directory 移行ツールのインストールモジュール (admtsetup31.exe) を実行します 3 開いているファイル セキュリティの警告 が表示されます 実行 をクリックします 4 Active Directory 移行ツールのインストールの開始 が表示されます 次へ をクリックします 5 使用許諾契約書 が表示されます 同意する を選択します 次へ をクリックします -60-

61 6 カスタマエクスペリエンス向上プログラム が表示されます 今回はプログラムに参加しません を選択します 次へ をクリックします 7 コンポーネントを構成しています が表示されます 8 データベースの選択 が表示されます ローカルの SQL Server 2005 Express Edition を使用する を選択します 次へ をクリックします 9 データベースのインポート が表示されます いいえ 既存のデータベースからデータをインポートしません ( 既定 ) を選択します 次へ をクリックします -61-

62 10 データベースのインポートの進行状 況 が表示されます Windows Server 2008/2008 R2 Active Directory 移行の手引き 11 Active Directory 移行ツールバージョン 3.1 は正常にインストールされました が表示されます 完了 をクリックします (3)ADMT 使用前の初期設定 ADMT を使用してアカウント情報を移行する前に 以下の初期設定を行う必要があります SID の履歴監査を行うローカルグループの作成 アカウント管理の監査ポリシーの有効化 TCP/IP クライアントサポートの有効化 SID の履歴監査を行うローカルグループの作成 本手順は 2000-DC1 で行います 1 ドメイン管理者権限でサーバにログインします 2 スタート プログラム 管理ツール Active Directory ユーザーとコンピュータ をクリックします -62-

63 3 Active Directory ユーザーとコンピュータ が表示されます 左ペインの Active Directory ユーザーとコンピュータ - ( 既存ドメイン名 ) - Users を右クリックし 新規作成 - グループ をクリックします 4 新しいオブジェクト グループ が表示されます グループ名に ( 既存ドメインの NetBIOS 名 )$$$ を入力します グループの範囲で ドメインローカル を選択します グループの種類で セキュリティ を選択します OK をクリックします アカウント管理の監査ポリシーの有効化 本書では既定のポリシー (Default Domain Controllers Policy) を直接編集する手順で記載しています 既定のポリシーオブジェクトには手を加えない管理ポリシーの場合は ドメインコントローラコンテナにリンクされた適切なポリシーオブジェクトに読み換えてください 本手順は 2000-DC1 で行います 1 ドメイン管理者権限でサーバにログインします 2 スタート プログラム 管理ツール ドメインコントローラセキュリティポリシー をクリックします -63-

64 3 ドメインコントローラセキュリティポリシー が表示されます 左ペインの Windows の設定 - セキュリティの設定 - ローカルポリシー 監査ポリシー をクリックします 右ペインの アカウント管理の監査 をダブルクリックします 4 セキュリティポリシーの設定 が表示されます これらのポリシーの設定を定義する にチェックを入れます 成功 失敗 にチェックを入れます OK をクリックします 本手順は 2008-DC1 で行います 1 ドメイン管理者権限でサーバにログインします 2 スタート 管理ツール グループポリシーの管理 をクリックします 3 グループポリシーの管理 が表示されます 左ペインの グループポリシーの管理 - フォレスト: ( 新規フォレスト名 ) - ドメイン - ( ドメイン名 ) - グループポリシーオブジェクト - Default Domain Controllers Policy を右クリックし 編集 をクリックします -64-

65 4 グループポリシー管理エディタ が表示されます 左ペインの Default Domain Controllers Policy [(DC の FQDN)] ポリシー - コンピュータの構成 - ポリシー - Windows の設定 - セキュリティの設定 - ローカルポリシー - 監査ポリシー をクリックします 右ペインの アカウント管理の監査 をダブルクリックします 5 アカウント管理の監査のプロパティ が表示されます セキュリティポリシーの設定 タブを選択します これらのポリシーの設定を定義する にチェックを入れます 成功 失敗 にチェックを入れます OK をクリックします 6 グループポリシーの変更を反映させるため コマンドプロンプトで以下を実行します gpupdate /target:computer 実行すると 右のメッセージが表示されます ポリシーを最新の情報に更新しています... コンピュータポリシーの更新が正常に完了しました -65-

66 TCP/IP クライアントサポートの有効化 本手順は 2000-DC1 で行います 本手順は 既存ドメインで PDC エミュレータ の役割を担うサーバで行ってください 1 ドメイン管理者権限でサーバにログインします 2 スタート ファイル名を指定して実行 をクリックします 3 ファイル名を指定して実行 が表示されます 名前に regedit を入力します OK をクリックします 4 レジストリエディタ が表示されます 以下のレジストリサブキーに移動します HKEY_LOCAL_MACHINE\SYSTEM\Cur rentcontrolset\control\lsa Lsa レジストリサブキーを右クリックし 新規 - DWORD 値 をクリックします 5 右ペインにレジストリキー New Value #1 が新規に作成されます 名前を TcpipClientSupport 値( データ ) を 1 に変更します 6 レジストリと前記の アカウント管理の監査ポリシー の変更を反映させるため サーバを再起動します -66-

67 (4) 移行用アカウントの作成 ADMT を使用して移行を行うには ドメインやローカルマシンで多くの権限を必要とします 移行をスムーズに行うために 移行専用のアカウントを作成します 本書では 既存ドメインに以下の権限を持つ移行用ユーザアカウント MigUser を作成します 既存ドメイン:Domain Admins グループ 新規ドメイン:Administrators グループ ADMT サーバ :Administrators グループ移行に必要な権限の詳細は以下 URL を参照してください マイクロソフト 移行用の移行アカウントの作成 移行用ユーザアカウント作成と既存ドメインでの権限設定 本手順は 2000DC-1 で行います 1 ドメイン管理者権限でサーバにログインします 2 スタート プログラム 管理ツール Active Directory ユーザーとコンピュータ をクリックします 3 Active Directory ユーザーとコンピュータ が表示されます 左ペインの Active Directory ユーザーとコンピュータ - ( 既存ドメイン名 ) - Users を右クリックし 新規作成 - ユーザー をクリックします -67-

68 4 新しいオブジェクト ユーザー が表示されます 移行用アカウント ( 本書では MigUser ) の情報を入力します 次へ をクリックします 5 Active Directory ユーザーとコンピュータ の左ペインの Active Directory ユーザーとコンピュータ - ( 既存ドメイン名 ) - Users をクリックします 右ペインの Domain Admins をダブルクリックします 6 Domain Admins のプロパティ が表示されます メンバ タブを選択します 追加 をクリックします 7 ユーザー 連絡先 またはコンピュータの選択 が表示されます 名前 から移行用アカウント (MigUser) を選択します 追加 をクリックします OK をクリックします -68-

69 8 Domain Admins のプロパティ で OK をクリックします Windows Server 2008/2008 R2 Active Directory 移行の手引き 新規ドメインでの権限設定 本手順は 2008DC-1 で行います 1 ドメイン管理者権限でサーバにログインします 2 スタート サーバーマネージャ をクリックします 3 サーバーマネージャ が表示されます 左ペインの サーバーマネージャ ( サーバ名 ) - 役割 - Active Directory ドメインサービス - Active Directory ユーザーとコンピュータ - ( 新規ドメイン名 ) - Builtin クリックします 右ペインで Administrators をダブルクリックします -69-

70 4 Administrators のプロパティ が表示されます メンバ タブをクリックします 追加 をクリックします 5 ユーザー 連絡先 コンピュータまたはグループの選択 が表示されます 場所 をクリックします 6 場所 が表示されます 場所 で既存ドメイン名をクリックします OK をクリックします 7 ユーザー 連絡先 コンピュータまたはグループの選択 で移行用アカウント (MigUser) を入力します OK をクリックします 8 Administrators のプロパティ で OK をクリックします -70-

71 ADMT サーバでの権限設定 本手順は 2008ADMT で行います 1 ドメイン管理者権限でサーバにログインします 2 スタート サーバーマネージャ をクリックします 3 サーバーマネージャ が表示されます 左ペインの サーバーマネージャ ( サーバ名 ) - 構成 - ローカルユーザーとグループ - グループ クリックします 右ペインで Administrators をダブルクリックします 4 Administrators のプロパティ が表示されます 追加 をクリックします 5 ユーザー コンピュータまたはグループの選択 が表示されます 場所 をクリックします -71-

72 6 場所 が表示されます 場所 で既存ドメイン名をクリックします OK をクリックします 7 ユーザー コンピュータまたはグループの選択 で移行用アカウント (MigUser) を入力します OK をクリックします 8 Administrators のプロパティ で OK をクリックします -72-

73 4.2.4 暗号化ツールのインストールと設定 ADMT では PES(Password Export Server) サービスを使用することでパスワードの移行が可能になります PES は以下 URL よりダウンロード可能です マイクロソフト Password Export Server version 3.1 (x86) - 日本語 (1)PES 暗号化キーの作成 本手順は 2008ADMT で行います 1 ローカル管理者権限でサーバにログインします 2 スタート コマンドプロンプト を右クリックし 管理者として実行 をクリックします 3 管理者: コマンドプロンプト が表示されます 以下のコマンドを実行します admt key /option:create /sourcedomain:( 既存ドメイン名 ) /keyfile:c:\share\key.pes /keypassword:( パスワード ) 本書では 事前に作成した C:\share フォルダに key.pes というファイル名でパスワードエクスポートサーバ暗号化キーを出力します 実行すると 右のメッセージが表示されます ドメイン ( 既存ドメイン名 ) 用のパスワードエクスポートサーバー暗号化キーが正しく作成され C:\share\key.pes に保存されました -73-

74 (2)PES サービスの構成 本手順は 2000DC-1 で行います 事前に 節 (1)PES 暗号化キーの作成 で作成した PES 暗号化キーを 2000DC-1 サーバの任意のローカルフォルダ ( 本書では C:\share) に移動します 1 移行用アカウントでサーバにログインします 2 PES インストールモジュール (pwdmig.msi) を実行します 3 ADMT パスワード移行 DLL インス トールウィザードの開始 が表示されます 次へ をクリックします 4 使用許諾契約書 が表示されます 使用許諾契約書に同意します を選択します 次へ をクリックします -74-

75 5 暗号化ファイル が表示されます 参 照 をクリックします Windows Server 2008/2008 R2 Active Directory 移行の手引き 6 ファイルを開く が表示されます 節 (1)PES 暗号化キーの作成 で作成したパスワード暗号化ファイル (pes ファイル ) を選択します 開く をクリックします 7 暗号化ファイル で 次へ をクリックします 8 暗号化キーのパスワードを指定してください が表示されます 節 (1)PES 暗号化キーの作成手順 3 で設定したパスワードを入力します 次へ をクリックします -75-

76 9 インストールの開始 が表示されます 次へ をクリックします Windows Server 2008/2008 R2 Active Directory 移行の手引き 10 システムの更新 が表示されます 11 パスワードエクスポートサーバーサービスはローカルシステムアカウントまたは指定されたユーザーアカウントで実行できます が表示されます ログオン を選択し 移行用アカウントとパスワードを入力します OK をクリックします 12 アカウント ( 移行用アカウント ) はサービスとしてログオンする権利を付与されました が表示されます OK をクリックします 13 ADMT パスワード移行 DLL のインストールの完了 が表示されます 完了 をクリックします -76-

77 14 インストーラ情報 が表示されます はい をクリックします サーバが再起動します PES サービスは既定で停止しています ADMT を使用してパスワードを移行する際に PES サービスを手動で起動してください また パスワード移行後は PES サービスを手動で停止してください -77-

78 4.2.5 アカウント移行 ADMT のウィザードを使用して既存ドメインのアカウントを新規ドメインへ移行します ADMT では以下のドメインオブジェクトの移行が可能です ユーザーアカウント コンピュータアカウント グループアカウント 本書では ユーザー コンピュータ の移行手順を紹介します POINT! 連絡先 プリンタ 共有フォルダ などのドメインオブジェクトは ADMT を使用して移行できません 移行先ドメインにドメインオブジェクトを新規作成する必要があります OU は ADMT を使用して移行できません 移行元ドメインと移行先ドメインを同じ OU 構成にする場合は 移行元ドメインと同じ構成で移行先ドメインに OU を作成し ADMT の移行ウィザードを使用して OU 内のドメインオブジェクトを適宜移行します グループポリシー は ADMT を使用して移行できません グループポリシーは ドメイン移行を機に見直しを兼ねて新規作成するケースが多くあります グループポリシーの移行を行う場合は グループポリシー管理エディタ を使用して移行元ドメインのグループポリシーを移行先ドメインにコピーします 詳細な手順は以下 URL 参照してください グループポリシーオブジェクトのバックアップ 復元 インポート およびコピーを行う ( マイクロソフト ) また ADMT では上記ドメインのアカウント以外にも 表 5 に紹介するサーバ / コンピュータ情報を変換できます 表 5 ADMT のウィザードで変換可能な項目変換項目説明ファイルとフォルダ移行対象サーバ / コンピュータの左記オブジェクトへのアクセス権に プリンタ移行先ドメインのアカウントを含めます レジストリ共有ローカルグループ移行対象サーバ / コンピュータのローカルグループメンバに 移行先ドメインのアカウントを含めます ユーザプロファイル移行元のユーザアカウントで使用していたユーザプロファイルを移行先のドメインユーザアカウントで継続して使用できるよう変換します ユーザ権利移行元のサーバ / コンピュータに設定されているユーザ権利を移行先ドメインのものに変換します -78-

79 (1) ユーザアカウントの移行ユーザアカウントを SID の履歴を含めて移行します SID の履歴を含めて移行することで 移行前にアクセス可能だった既存ドメインのリソースへ引き続きアクセスできます 本書ではユーザアカウント User-2003File User-Win2000 User-WinXP の移行を行います POINT! ユーザがグループに所属している場合は 事前に ADMT の グループアカウントの移行ウィザード を使用してグループアカウントを新規ドメインに移行します ユーザアカウント移行時にユーザアカウントが所属するグループアカウントのメンバーシップを自動更新することで 新規ドメインでもユーザアカウントの所属グループが保持されます ユーザアカウント移行時にユーザアカウントのパスワードも併せて移行する場合は 既存ドメインの DC(2000DC-1) で パスワードエクスポートサーバーサービス を手動で起動する必要があります 本手順は 2008ADMT で行います 1 既存ドメインで作成した移行用アカウントで 新規ドメインにログオンします 2 スタート 管理ツール Active Directory 移行ツール をクリックします 3 ユーザーアカウント制御 が表示されます 続行 をクリックします UAC(User Access Control) が無効になっている場合は表示されません -79-

80 4 Active Directory 移行ツール が表示されます 左ペインの Active Directory 移行ツール を右クリックし ユーザーアカウントの移行ウィザード をクリックします 5 ユーザーアカントの移行ウィザードの開始 が表示されます 次へ をクリックします 6 ドメインの選択 が表示されます 移行元 では既存ドメインのドメイン名を入力し 既存ドメインの DC をプルダウンメニューから選択します 移行先 では新規ドメインのドメイン名を入力し 新規ドメインの DC をプルダウンメニューから選択します 次へ をクリックします 7 ユーザーの選択オプション が表示されます ユーザーをドメインから選択 を選択します 次へ をクリックします 8 ユーザーの選択 が表示されます 追加 をクリックします -80-

81 9 ユーザーの選択 が表示されます 移行対象のユーザアカウントを入力します OK をクリックします 10 ユーザーの選択 で 次へ をクリックします 11 組織単位の選択 が表示されます 参照 をクリックします 12 コンテナの参照 が表示されます ユーザアカウントの移行先を選択します OK をクリックします 本書では Users コンテナに移行します 13 組織単位の選択 で 次へ をクリックします -81-

82 14 パスワードオプション が表示されます 移行後のパスワードの指定を行います 次へ をクリックします 本書では 移行先のユーザパスワードを変更しない設定を行います パスワードを移行する場合は PES サービスが起動している必要があります 15 アカウントの切り替えオプション が表示されます ユーザアカウントの移行ウィザード実行後の 既存 / 新規ドメインのアカウントの状態を選択します ユーザー SID を新規ドメインへ移行 にチェックを入れます 次へ をクリックします 本書では既存ドメインのユーザアカウントを無効に 新規ドメインのユーザアカウントを有効にする設定を行います また ユーザアカウントの SID も移行します 16 ユーザーアカウント が表示されます 移行用アカウントのユーザ名 パスワード ドメイン名を入力します 次へ をクリックします 17 ユーザーオプション が表示されます 移行するオプションにチェックを入れます 次へ をクリックします 本書では ユーザー権利を更新 にチェックを入れます -82-

83 18 オブジェクトのプロパティの除外 が表 示されます 次へ をクリックします Windows Server 2008/2008 R2 Active Directory 移行の手引き 19 競合の管理 が表示されます 移行先ドメインで競合が検出された場合 移行元オブジェクトを移行しない を選択します 次へ をクリックします 20 ユーザーアカウントの移行ウィザードの完了 が表示されます 完了 をクリックします 21 移行の進行状況 が表示されます ユーザアカウントの移行が完了すると 状態 のステータスが 完了 になります エラー で エラー数が 0 であることを確認します 閉じる をクリックします ファイルサーバ (2003File) で使用しているユーザアカウント User-2003File は移行後も既存ドメインで使用するため 上記の手順 15 の 移行元アカウントの無効化 のチェックを外して移行します -83-

84 (2) コンピュータアカウントの移行本書ではコンピュータアカウント 2003File Win2000 WinXP の移行を行います POINT! コンピュータアカウントの移行を正常に終了するためには 移行対象のコンピュータがログオフした状態で起動している必要があります コンピュータアカウント移行完了後 ADMT のエージェントにより移行対象のコンピュータは自動で再起動されます Windows NT 互換の暗号化アルゴリズム の有効化 Windows Server 2008 は 既定で Windows NT 互換の暗号化アルゴリズム をサポートしていません このため コンピュータアカウントの移行が失敗することがあります ADMT で Windows Server 2008/Windows Vista より前のバージョンのコンピュータアカウントを移行する場合は以下の手順に従って Windows NT 互換の暗号化アルゴリズム を有効にする必要があります コンピュータアカウント移行完了後は Windows NT 互換の暗号化アルゴリズム を無効にしてください 本書では既定のポリシー (Default Domain Controllers Policy) を直接編集する手順で記載しています 既定のポリシーオブジェクトには手を加えない管理ポリシーの場合は ドメインコントローラコンテナにリンクされた適切なポリシーオブジェクトに読み換えてください 本手順は 2008DC-1 で行います 1 既存ドメインで作成した移行用アカウントで 新規ドメインにログオンします 2 スタート 管理ツール グループポリシーの管理 をクリックします -84-

85 3 ユーザーアカウント制御 が表示されます 続行 をクリックします UAC(User Access Control) が無効になっている場合は表示されません 4 グループポリシーの管理 が表示されます 左ペインの グループポリシーの管理 - フォレスト: ( 新規フォレスト名 ) - ドメイン - ( ドメイン名 ) - グループポリシーオブジェクト - Default Domain Controllers Policy を右クリックし 編集 をクリックします 5 グループポリシー管理エディタ が表示されます 左ペインの Default Domain Controllers Policy [(DC の FQDN)] ポリシー - コンピュータの構成 - ポリシー - 管理用テンプレート: ローカルコンピュータから取得したポリシー定義 (ADMX) ファイルです - システム - ネットログオン をクリックします 右ペインの Windows NT 4.0 と互換性のある暗号化アルゴリズムを許可する をダブルクリックします 6 Windows NT 4.0 と互換性のある暗号化アルゴリズムを許可するのプロパティ が表示されます 設定 タブを選択します 有効 を選択します OK をクリックします -85-

86 7 グループポリシーの変更を反映させるため コマンドプロンプトで以下を実行します gpupdate /target:computer 実行すると 右のメッセージが表示されます ポリシーを最新の情報に更新しています... コンピュータポリシーの更新が正常に完了しました 補足 レジストリの編集することでも Windows NT 互換の暗号化アルゴリズム を有効化できます グループポリシーの変更が行えない場合は 新規ドメインの DC(2008DC-1) で以下のレジストリを追加してください HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Netlogon\Parameters 値 :AllowNT4Crypto 型 :REG_DWORD データ : 1 レジストリ変更後はサーバを再起動してください 移行対象コンピュータの DNS の変更 本手順は Win2000 XP で行います インターネットプロトコル (TCP/IP) のプロパティ を表示します 代替 DNS サーバー に 新規ドメインの DNS サーバの IP アドレスを入力します -86-

87 コンピュータアカウントの移行 Windows Server 2008/2008 R2 Active Directory 移行の手引き 本手順は 2008ADMT で行います 1 既存ドメインで作成した移行用アカウントで 新規ドメインにログオンします 2 スタート 管理ツール Active Directory 移行ツール をクリックします 3 Active Directory 移行ツール が表示されます 左ペインの Active Directory 移行ツール を右クリックし コンピュータの移行ウィザード をクリックします 4 コンピュータの移行ウィザードの開始 が表示されます 次へ をクリックします 5 ドメインの選択 が表示されます 移行元 では既存ドメインのドメイン名を入力し 既存ドメインの DC をプルダウンメニューから選択します 移行先 では新規ドメインのドメイン名を入力し 新規ドメインの DC をプルダウンメニューから選択します 次へ をクリックします -87-

88 6 コンピュータの選択オプション が表示されます コンピュータをドメインから選択 を選択します 次へ をクリックします 7 コンピュータの選択 が表示されます 追加 をクリックします 8 コンピュータの選択 が表示されます 移行対象のコンピュータアカウントを入力します OK をクリックします 9 コンピュータの選択 で 次へ をクリックします 10 組織単位の選択 が表示されます 参照 をクリックします -88-

89 11 コンテナの参照 が表示されます コンピュータアカウントの移行先を選択します OK をクリックします 12 組織単位の選択 で 次へ をクリックします 13 オブジェクトの変換 が表示されます コンピュータアカウント移行時に変換を行う項目にチェックを入れます 次へ をクリックします 本書では ローカルグループ ユーザー権利 にチェックを入れます 14 セキュリティの変換オプション が表示されます 追加 を選択します 次へ をクリックします 15 コンピュータオプション が表示されます ウィザードが完了してからコンピュータを再起動するまでの待ち時間 を入力します 次へ をクリックします 本書ではウィザード完了後すぐ再起動するように 0 を入力しています -89-

90 16 オブジェクトのプロパティの除外 が表 示されます 次へ をクリックします Windows Server 2008/2008 R2 Active Directory 移行の手引き 17 競合の管理 が表示されます 移行先ドメインで競合が検出された場合 移行元オブジェクトを移行しない を選択します 次へ をクリックします 18 コンピュータの移行ウィザードの完了 が表示されます 完了 をクリックします 19 移行の進行状況 が表示されます コンピュータアカウントの移行が完了すると 状態 のステータスが 完了 になります エラー で エラー数が 0 であることを確認します 閉じる をクリックします -90-

91 20 Active Directory 移行ツールのエージェントダイアログ が表示されます エージェントの動作 で 事前確認とエージェントの操作を実行する を選択します 開始 をクリックします ( ) 開始 をクリックする前に移行対象コンピュータがログオフ状態で起動していることを確認します また ネットワーク通信可能な状態であることを確認します 移行対象コンピュータはエージェントの操作完了後に自動で再起動されます 21 Active Directory 移行ツールのエージェントダイアログ の 事前確認 が全て合格 エージェントの操作 が全て成功 事後確認 が全て合格することを確認します 閉じる をクリックします 既存ドメインでファイルサーバにアクセスする必要がなくなった時点で Windows Server 2003 のファイルサーバ (2003File) のコンピュータアカウントを新規ドメインへ移行します -91-

92 参考 :SID の履歴を使用したリソースへのアクセス Windows 2000 Server SP4 以降のドメインコントローラ間でフォレストの信頼関係を構築した場合 SID フィルターが有効になります SID の履歴を移行していても SID フィルターが有効になっていると SID の履歴を使用した既存リソースへのアクセスが失敗します SID の履歴を使用して新規ドメインから既存ドメインのリソースにアクセスできるようにするには 以下のコマンドを実行して SID フィルターを無効にしてください 本手順は 2008DC-1で行います 1 ドメイン管理者権限でサーバにログインします 2 コマンドプロンプトを起動して以下のコマンドを実行します Netdom trust ( 既存ドメイン名 ) /domain:( 新規ドメイン名 ) /quarantine:no /userd:( 新規ドメインの管理者アカウント ) /passwordd:( 新規ドメインの管理者アカウントのパスワード ) 本書では以下のコマンドを実行します Netdom trust fujitsu.local /domain:fujitsu2.co.jp /quarantine:no /userd:fujitsu \Administrator /passwordd:(fujitsu\administrator のパスワード ) Windows Server 2008 のローカライズ版では上記の Netdom コマンドが失敗することがあ ります この場合 以下のコマンドを実行してコマンドプロンプトを英語のコードページに変更することで回避できます Chcp 437 詳細は以下 URL を参照してください マイクロソフト Windows Server 2008 のローカライズ版で Netdom コマンドの一部が正しく動作しません

93 4.2.6 既存ドメインの破棄 Windows Server 2008/2008 R2 Active Directory 移行の手引き 既存ドメインから新規ドメインへの全ての移行が完了した時点で 既存ドメインを破棄します (1) 信頼関係破棄既存ドメインと新規ドメインの信頼関係を破棄します 本手順は 2008DC-1 で行います 1 ドメイン管理者権限でサーバにログインします 2 スタート 管理ツール Active Directory ドメインと信頼関係 をクリックします 3 Active Directory ドメインと信頼関係 が表示されます 左ペインの Active Directory ドメインと信頼関係 - ( 新規ドメイン名 ) を右クリックし プロパティ をクリックします 4 ( 新規ドメイン名 ) のプロパティ が表示されます 信頼 タブをクリックします このドメインに信頼されるドメイン ( 出力方向の信頼 ) から既存ドメインを選択します 削除 をクリックします -93-

94 5 Active Directory ドメインサービス が表示されます ローカルドメインと他方のドメインの両方から信頼を削除する を選択します 既存ドメインの管理者アカウントとパスワードを入力します OK をクリックします 6 ( 既存ドメイン名 ) ドメインとの出力方向の信頼を削除しますか? が表示されます はい をクリックします 7 ( 新規ドメイン名 ) のプロパティ の このドメインを信頼するドメイン ( 入力方向の信頼 ) から既存ドメインを選択します 削除 をクリックします 8 Active Directory ドメインサービス が表示されます ローカルドメインと他方のドメインの両方から信頼を削除する を選択します OK をクリックします 9 ( 既存ドメイン名 ) ドメインとの入力方向の信頼を削除しますか? が表示されます はい をクリックします -94-

95 10 ( 新規ドメイン名 ) のプロパティ で OK をクリックします Windows Server 2008/2008 R2 Active Directory 移行の手引き (2)DNS セカンダリゾーンの削除新規ドメインの DNS から既存ドメインのセカンダリゾーンを削除します また 既存ドメインの DNS に許可しているゾーン転送の設定を削除します 本手順は 2008DC-1 で行います 1 ドメイン管理者権限でサーバにログインします 2 スタート サーバーマネージャ をクリックします 3 サーバーマネージャ が表示されます 左ペインの サーバーマネージャ ( サーバ名 ) - 役割 - DNS サーバー - DNS - (DNS サーバ名 ) - 前方参照ゾーン - ( 既存ドメインのゾーン名 ) を右クリックし 削除 をクリックします -95-

96 4 DNS が表示されます はい をクリッ クします Windows Server 2008/2008 R2 Active Directory 移行の手引き 5 サーバーマネージャ の左ペインの サーバーマネージャ ( サーバ名 ) - 役割 - DNS サーバー - DNS - (DNS サーバ名 ) - 前方参照ゾーン - ( 新規ドメインのゾーン名 ) を右クリックし プロパティ をクリックします 6 ( 新規ドメインのゾーン名 ) のプロパティ が表示されます ゾーンの転送 タブを選択します ゾーン転送を許可するサーバー のチェックを外します OK をクリックします -96-

97 (3)DNS 設定の変更 本手順は 2008DC-1 で行います Windows Server 2008/2008 R2 Active Directory 移行の手引き 1 ローカル管理者権限でサーバにログインします 2 インターネットプロトコルバージョン 4 (TCP/IPv4) のプロパティ を表示します 代替 DNS サーバー に 新規ドメイン (2 台目 ) の DNS サーバの IP アドレスを入力します メンバサーバ / クライアントで既存ドメインの DNS を設定している場合も変更を行ってください (4) アカウント管理の監査ポリシーの無効化 本手順は 2008-DC DC2 で行います 1 ドメイン管理者権限でサーバにログインします 2 スタート 管理ツール グループポリシーの管理 をクリックします -97-

98 3 グループポリシーの管理 が表示されます 左ペインの グループポリシーの管理 - フォレスト: ( 新規フォレスト名 ) - ドメイン - ( 新規ドメイン名 ) - グループポリシーオブジェクト - Default Domain Controllers Policy を右クリックし 編集 をクリックします 4 グループポリシー管理エディタ が表示されます 左ペインの Default Domain Controllers Policy [(DC の FQDN)] ポリシー - コンピュータの構成 - ポリシー - Windows の設定 - セキュリティの設定 - ローカルポリシー - 監査ポリシー をクリックします 右ペインの アカウント管理の監査 をダブルクリックします 5 アカウント管理の監査のプロパティ が表示されます セキュリティポリシーの設定 タブを選択します これらのポリシーの設定を定義する のチェックを外します OK をクリックします -98-

99 6 グループポリシーの変更を反映させるため コマンドプロンプトで以下を実行します gpupdate /target:computer 実行すると 右のメッセージが表示されます 2008DC-2 でも同様の手順でグループポリシーを変更します ポリシーを最新の情報に更新しています... コンピュータポリシーの更新が正常に完了しました 上記の手順で既存ドメインと新規ドメインを分離した後 Windows 2000 Server の DC を WORKGROUP へ降格することで 既存ドメインを破棄します -99-

100 おわりに 本書では Windows 2000 ドメインから Windows 2008/2008 R2 ドメインへの移行を予定されている一般的なお客様環境を想定し 移行の全体イメージと詳細な手順を紹介しました お客様の実際の環境にあわせて適宜読み替えて活用してください 富士通では Windows Server 2008 R2 の先行評価 Windows NT 時代から積み上げた豊富なノウハウをもって確実なドメイン移行をサポート致します ドメイン移行をお考えの際は ぜひ富士通にご相談ください 富士通 PC サーバ PRIMERGY につきましては 以下の技術情報を参照願います PC サーバ PRIMERGY PC サーバ PRIMERGY 機種比較表 富士通 PC サーバ PRIMERGY のお問い合わせ先 PC サーバ PRIMERGY( プライマジー ) のお問い合わせ

101 -101-