スライド 1

Windows Server 8 Beta Active Directory 移行ガイド 2012 年 5 月 15 日 1.1 版 NEC Windows Platform Engineering Center

改定履歴 2012.4.13 1.0 版初版発行 2012.5.15 1.1 版お客様公開用に改版 Page 2 NEC Corporation 2012

目次 はじめに AD DS 導入のポイント 第 1 章 Windows Server 2008 R2 から Windows Server 8 Beta へ移行するメリット 第 2 章移行方式の検討と注意点 第 3 章ケーススタディ 付録 Page 3 NEC Corporation 2012

はじめに 本書の内容 Windows Server 2008 R2 Active Directory Domain Service 環境から 次期バージョン OS(Windows Server 2012) の開発途上版である Windows Server 8 Beta 環境への移行技術についての紹介旧バージョン (2008 R2 Windows Server 8 Beta) からの変更点 Windows Server 8 からの追加機能の紹介 インプレースアップグレードの 2008 R2 Windows Server 8 Beta 対応手順 スイング方式 (ADMT) に対応した移行手順 ( 概要のみ記載 ) 本ガイドでは Windows Server 8 Beta で検証を行っているため 製品版 (Windows Server 2012) では機能が異なる可能性があります また スイング方式に利用する ADMT については Windows Server 8 Beta 対応版がリリースされていないため 詳細な機能調査や移行手順は含んでおらず 机上検討で 本ガイドのみの提供となります 本ガイドでは 以下の略称を使用している箇所があります Active Directory : AD Active Directory ドメインサービス :ADDS ドメインコントローラー :DC Active Directory Migration tool:admt グループポリシーオブジェクト :GPO また Windows Server 8 Beta について Beta の表記を省略させていただきます Page 4 NEC Corporation 2012

Windows Server 8 AD DS 導入のポイント 導入 新機能を使用しなければ 2003や2008 R2の設計手法と大きな変更はない 新機能を利用するシナリオにマッチするかどうかがポイント 移行 2003 2008や2008 2008 R2の移行設計の考え方と大きな変更はない 運用 運用関連ツール類の改善や仮想化対応の強化仮想マシン上でのスナップショットバックアップ / リストア Active Directory 昇格時の前提条件の診断機能追加ごみ箱の強化 (GUI 版 ) など詳細は 第 1 章参照 Page 5 NEC Corporation 2012

第 1 章 Windows Server 8 Beta へ移行するメリット

Microsoft 社セキュリティ HOTFIX 停止後の問題 Windows 2000 Server のサポートはすでに終了 Windows Server 2003 もすでに延長サポートに入っている Windows Server 2008/2008 R2も2013 年には延長サポートへ 延長サポートの場合は 致命的な丌具合の修正しかされない サポート終了の場合は 原則的に修正モジュールは提供されない テンポラリ接続 PC インターネット 社内 LAN 2000 サーバ 記憶メディア たとえ 社内 LAN をインターネットに接続しないシステムであっても ウィルス等に感染した記憶メディアを持ち込んだり 誰かが個人 PC を社内 LAN に接続したまま インターネットにダイヤルアップ接続等したりすると 外部からの攻撃を受ける危険がある Page 7 NEC Corporation 2012

AD DS 関連の新機能および強化された機能 Windows Server 8 で追加 / 強化された機能 新機能 仮想マシン上でのスナップショットバックアップ / リストア 仮想ドメインコントローラの複製による展開の短期間化 Active Directory ごみ箱が GUI から利用可能 強化機能 ユーザのメイン PC を識別するための PrimaryComputer 属性の追加 Active Directory 昇格時の前提条件の診断機能追加 ドメインコントローラ展開の自動化 (PowerShell による自動化 ) 細かな設定が可能なパスワードポリシー (GUI 化 ) Windows PowerShell Histroy Viewer(GUI 操作を PowerShell コマンドで表示 ) Page 8 NEC Corporation 2012

仮想マシン上でのスナップショットバックアップ / リストア ドメインコントローラの仮想化は 現状でも正式サポートされていますが 運用する上で 注意点がありました 特に スナップショットバックアップ / リストア機能を利用すると 更新シーケンス番号 (USN) がロールバックする問題がありました Windows Server 8 のドメインコントローラは Hyper-V 内で仮想マシンが実行されている場合 スナップショットのバックアップ / リストアに対応します Hyper-V ホストも Windows Server 8 である必要があります スナップショットバックアップ / リストア前 スナップショットバックアップ前の RID プールがスナップショットリストア後に初期化され 新規に新しいプールが払い出される これにより USN のロールバック問題を回避 スナップショットリストア後 Page 9 NEC Corporation 2012

仮想ドメインコントローラの複製による展開の短期間化 Windows Server 8 では 仮想化されたドメインコントローラの複製により スケールアウトやテスト環境構築時のドメインコントローラの早期展開が可能です 複製された DC に対し Sysprep を実行する必要はありません 複製先 DC のホスト名 NW 情報は後述の XML ファイルに記載して複製元 DC が保持します 既存の仮想ドメインコントローラのイメージを複製するため DC 構築時のデータ レプリケーションを抑えられます 特に大規模環境の DC 追加に効果的です 複製元 複製先仮想 DC を動作させる仮想化基盤 ( ハイパーバイザ ) は Windows Server 8 の Hyper-V 3.0 もしくは VM-Generation ID をサポートしている 3rd パーティ製品である必要があります PDC エミュレータの役割を保持している DC の OS は Windows Server 8 である必要があります 複製元 DC は PDC エミュレータを保持していない DC が対象となります PDC エミュレータを保持している場合は 複製前に他 DC に役割を転送する必要があります Sysprep イメージをから OS 展開もしくは OS 新規インストール DC 昇格 DB フルレプリケーション 既存 DC (PDC エミュレータ以外 ) 複製による追加 DC OS の Sysprep 処理 DC 昇格作業 DB フルレプリケーションが丌要 既存 DC DC 複製 追加 DC 昇格 DB 複製 構成情報を記述 Hyper-V ホスト (Windows Server 8 ) 従来の DC 追加作業 Windows Server 8 の DC 複製による追加 Page 10 NEC Corporation 2012

仮想ドメインコントローラの複製による展開の短期間化 ( 手順 1/2) 以下の手順にて 仮想ドメインコントローラを複製します Cloneable Domain Controllers グループに 複製元 DC のコンピュータ アカウントを追加します DIT が存在するディレクトリ ( 既定では Windows NTDS) に DCCloneConfig.xml ( 複製する DC の設定情報 ) を作成します 複製元 DC にて Get-ADDCCloningExcludedApplicationList PowerShell コマンドを実行し DC 複製時明示的に複製を許可する必要の あるプログラム サービスを出力します Page 11 NEC Corporation 2012

仮想ドメインコントローラの複製による展開の短期間化 ( 手順 2/2) DCCloneConfig.xml と同じ場所に CustomDCCloneAllowList.xml を作成し 前コマンドで出力されたプログラム サービスを記載します DCCloneConfig.xml CustomDCCloneAllowList.xml の記述内容は以下 URL を参照 http://technet.microsoft.com/ja-jp/library/hh831734.aspx 複製元の仮想マシンをシャットダウンしてエクスポートします 複製先 DC となる新しい仮想マシンとしてインポートし 起動すると複製先 DC で構成情報 の適用等の処理が実行され 起動時には DC として構成されます 複製により追加した DC 起動と同時に 最初から DC として登録されている 複製した DC 起動時に処理が実行される Page 12 NEC Corporation 2012

Active Directory ごみ箱が GUI から利用可能 Windows 2008 R2 よりゴミ箱機能は存在しておりましたが GUI での操作はできず PowerShell を利用した面倒な操作が必要でした Windows Server 8 では Active Diretory 管理センターより 以下のように GUI で簡単にオブジェクトを復旧可能です フォレストレベルは Windows Server 2008 R2 以上である必要があります ゴミ箱から復元できる期限は デフォルトで 180 日です Page 13 NEC Corporation 2012

PrimaryComputer 属性の追加 ユーザのメインPCを識別するために利用するPrimaryComputer 属性が追加されます この属性を利用すると 移動プロファイル / フォルダリダイレクトの動作を特定のコンピュータ利用時にのみに限定することができます 出先やミーティングルームなどの環境でのセキュリティやログオンパフォーマンスの向上が図れます Windows 8クライアントのみが利用できます Page 14 NEC Corporation 2012

Active Directory 昇格時の機能強化 新機能 Active Directory 昇格時の前提条件の診断機能追加が追加され より安全に昇格が可能になります 従来の昇格コマンド dcpromoが廃止され すべての操作がサーバマネージャより実施可能になります adprep( スキーマ拡張 ) を昇格時に自動的に実行するようになります 昇格時にスキーマアップデート Windows Server 8 の最初の AD サーバ昇格時には Enterprise Admin および Schema Admin の権限が必要になります 前提条件のチェック Page 15 NEC Corporation 2012

細かな設定が可能なパスワードポリシー (GUI 化 ) 細かな設定が可能なパスワードポリシー (PSO) は Windows 2008 より実現可能 ですが ADSI Edit にて特殊な属性をセットするもので 設定が複雑でした Windows Server 8 では GUI より簡単に設定できます ドメイン機能レベルが Windows 2008 以降である必要があります Page 16 NEC Corporation 2012

Windows PowerShell History View Active Directory 管理センターを利用した際の Active Directory の操作 内容を PowerShell で表示可能となりました これにより 大量にユーザを 作成するなどの PowerShell スクリプトが簡単に作成できるようになります ユーザ作成時の PowerShell スクリプト Page 17 NEC Corporation 2012

第 2 章 移行方式の検討と注意点

主な移行方式 Windows Server 8 追加 降格 Windows Server 2008 R2 インプレースアップグレード方式 既存のドメインに新規で Windows Server 8 のドメインコントローラーを新規で追加し 既存の Windows Server 2008 R2 のドメインコントローラーを降格 撤去する方式 既存ドメイン Windows Server 2008 R2 既存ドメイン 移行ツールによるオブジェクトの移行 Windows Server 8 新規ドメイン スイング方式 Windows Server 8 で新規ドメインを構築し 移行ツール (ADMT) を使用して既存の Windows Server 2008 R2 ドメインからオブジェクトの移行を実施する方式 Page 19 NEC Corporation 2012

インプレースアップグレード方式 1 STEP 1 サーバの更改中に新 AD サーバへクライアントからの認証があり 問題とならないよう 移行用サイトを作成する STEP 2 移行元ドメインに Windows Server 8 を新規 DC として追加する 移行元サーバに FSMO の役割がある場合は転送する STEP 3 既存の DC をドメインから降格し 撤去する サーバの台数分 STEP2-3 を繰り返す Page 20 NEC Corporation 2012

インプレースアップグレード方式 2 メリット Active Directoryの再構築を必要としないため アクセス制御や各オブジェクトの再設定は丌要 フォレスト ドメイン OU サイトなどは 以前の設定を引き継ぐことが可能 ドメイン環境は変わらないため 端末の設定は丌要 (AD 移行により DNSのアドレスが変わった場合などを除く ) スイング方式と比べ 短時間での移行が可能 デメリット 以前の状態を引き継ぐので 移行の中ではドメイン名の変更などの設計の変更はできない ドメイン統合の処理は行えない 現行環境に直接手を加える為 障害が生じた場合は業務に影響する 移行に失敗した場合はサーバのリストアが必要 ゆるやかな移行ができない Page 21 NEC Corporation 2012

スイング方式 1 Windows Server 8 STEP 1 Windows Server 8 で新規ドメインを構築し 移行元ドメインと信頼関係を結ぶ Windows Server 8 STEP 2 移行ツール (ADMT) を使用してオブジェクトを移行する Windows Server 8 STEP 3 オブジェクトの移行完了後に 移行元ドメインを削除する Page 22 NEC Corporation 2012

スイング方式 2 メリット 既存の業務環境と平行運用が可能 ネーミングルールなどを新しく再構築できる 移行範囲を限定し 徐々に移行を行うことができる 移行に失敗した場合は従来の環境を継続利用可能 デメリット インプレースアップグレードと比べると 工数がかかり移行に時間がかかる クライアントを自動で移行先ドメインに参加させる場合や ユーザプロファイルを移行する場合 各クライアントにて移行先の DNS を登録するなどの設定変更が必要 また移行時にクライアントがオンライン状態でログオフしておく必要がある ユーザプロファイルの移行が発生しない場合は 端末の移行準備が必要となり 全台の移行が保障できない為 クライアント側のドメイン再参加やドメイン移行後の設定変更は お客様にて ( 手動で ) 実施していただくのが現実的である 移行期間中の長期にわたりクライアントサポート要員が必要 ADMT 用サーバを用意する必要がある (Windows Server 8 に対応した ADMT が提供されれば Windows Server 8 の AD サーバ上に相乗りも可能 ) Page 23 NEC Corporation 2012

移行方式の検討 工数の少ないインプレースアップグレード方式を推奨 ドメインの統合やオブジェクトの整理が必要な場合はスイング方式 または双方の組み合わせにて行う クライアントの台数が多い場合にスイング方法の移行ツールでクライアントの設定変更を行うのは現実的ではない 現環境を継続運用し クライアントリプレースのタイミングで切り替えるなどの工夫が必要 スイング方式の場合 ツールの選択 ツールのインストール場所 他段階移行の考慮などが必要 Page 24 NEC Corporation 2012

第 3 章 ケーススタディ

ケース 1 ~ インプレースアップグレード方式 ~ 移行のシナリオ 現行のAD 環境を構築しているハードウェアが老朽化し ハードウェアリプレースを行いたい < 要件 > Windows Server 2008 R2 AD 環境からWindows Server 8 AD 環境への移行を考えている 現在のドメイン名を引き続き使用したい クライアントでの操作を極力減らすため リプレースしたDCにはリプレース前のDCと同じコンピュータ名 IPアドレスを使用する Windows Server 8 AD 環境でも運用中のアプリケーションに影響が無いことは確認済み Page 26 NEC Corporation 2012

インプレースアップグレード移行前環境 AD-01(FSMO) Windows Server 2008 R2 SP1 10.10.x.x AD-02 Windows Server 2008 R2 SP1 10.10.x.y Client : Windows 7 SP1 機能レベルドメイン :Windows Server 2008 R2 フォレスト :Windows Server 2008 R2 WPEC.local Windows Server 2008 R2 AD-01 AD-02 Windows 7 移行前環境 Page 27 NEC Corporation 2012

インプレースアップグレード移行後環境 AD-01(FSMO) Windows Server 8 Beta 10.10.x.x AD-02 Windows Server 8 Beta 10.10.x.y Client : Windows 7 SP1 機能レベルドメイン :Windows Server 8 フォレスト :Windows Server 8 WPEC.local 移行に伴いクライアントの設定を変更しないでいいように DC のホスト名や IP アドレスは移行前後で同じものを使用するようにする Windows Server 8 AD-01 AD-02 Windows 7 移行後環境 Page 28 NEC Corporation 2012

インプレースアップグレード手順の流れ 移行準備 移行用サイトの作成 スキーマ拡張 ドメイン情報の更新 (ForestPrep,DomainPrep) ForestPrep,DomainPrep ともに Windows Server 8 からは 昇格時に自動的に実行されます 新規追加 FSMO の機能を持たない既存 DC の降格 停止 新規サーバ構築 DC 昇格 FSMO 機能の移行 コンピュータ名 IP などは降格させた DC の設定を引き継ぐ 2 台目以降 1 台目と同様の作業を残りのサーバ台数分実施する 最終的に FSMO の役割をどのサーバに持たせるか確認する 詳細は別紙 ( 記載予定 ) のインプレースアップグレード移行手順書に記載します Page 29 NEC Corporation 2012

新規 Windows Server 8 DC の追加 (1 台目 ) サーバの更改中に 新 AD サーバへクライアントからの認証 / 名前解決があり 問題とならないように 次の 1~7 の作業を行います 1 移行用のサイトを作成します 2AD-02 を降格し ドメインから撤去します ( コンピュータアカウントも削除します ) 3 新サーバのAD-02をドメイン参加します 4AD-02をADサーバへ昇格します 34 ドメイン参加 昇格 AD-01 2008 R2 AD-02 2 ドメイン降格 AD-02 Windows Server 8 Default-First-Site-Name 1 移行用サイトの作成 移行用サイト WPEC.local Page 30 NEC Corporation 2012

新規 Windows Server 8 DC の追加 (1 台目 ) 5DNS コンポーネントのインストール 6AD 診断ツールの実行 7AD-02 サーバをサイト移動 ( 現用系サイトへ ) 5DNS インストール AD-02 7 サイト移動 AD-02 Windows Server 8 AD-01 2008 R2 6AD サーバ診断 Default-First-Site-Name 移行用サイト WPEC.local Page 31 NEC Corporation 2012

FSMO の役割転送 既存 FSMO サーバを降格 停止させるために 新規で昇格させた Windows Server 8 へ FSMO の役割を転送します 1 新規サーバへ FSMO の機能を転送します FSMO の転送は GUI で実施する方法と CUI で実施する方法の 2 種類があります 1FSMO の役割転送 FSMO 2008 R2 FSMO Windows Server 8 AD-01 AD-02 WPEC.local Page 32 NEC Corporation 2012

新規 Windows Server 8 DC の追加 (2 台目 ) 2 台目の新規 DCの追加を行います 1FSMOの機能を転送したDCを降格 停止します 2 停止させたDCのアカウントを削除します 3 新規でWindows Server 8 をインストールしたサーバに設定を実施し DCへ昇格させます 1 既存サーバの降格 停止 2008 R2 FSMO Windows Server 8 AD-01 Windows Server 8 2 コンピュータアカウントの削除 AD-02 AD-01 3 新規サーバの DC 昇格 WPEC.local Page 33 NEC Corporation 2012

新規 Windows Server 8 DC の追加 (2 台目 ) 4DNSコンポーネントのインストールします 5FSMOを元のサーバに転送します 6ADサーバ診断をします 7 移行用サイトの削除します 5FSMO の転送 FSMO FSMO 4DNS インストール Windows Server 8 Windows Server 8 6AD サーバ診断 AD-01 AD-02 7 移行用サイトの削除 移行用サイト WPEC.local Page 34 NEC Corporation 2012

移行後の確認 フォレストの各ドメインで確認 FSMOが正しく機能しているか 配置に問題は無いか イベントログに複製 トポロジ その他障害イベントが記録されていないか DC の複製状態 停止しているDCが存在していないか 複製できていないDCが存在していないか Repadmin /replsum などでレプリケーションが正常に動作していることを確認して下さい Page 35 NEC Corporation 2012

ケース 2 ~ スイング方式 ~ 移行のシナリオ 社名変更に伴いドメイン名を変更しなければならなくなったが 現在のドメイン環境を引き継ぎたい < 要件 > ドメイン名変更と同時にWindows Server 2008 R2 AD DS 環境からWindows Server 8 環境への移行を考えている ユーザアカウントやグループアカウントを移行して使用したい パスワードやユーザプロファイルを引き継ぎ使用したい クライアント側で移行の操作を行わずに コンピューターアカウントを移行したい Windows Server 8 のドメインへ移行にあたり GPOの見直しを行いたい 移行期間を設けて段階的に移行を実施したい Page 36 NEC Corporation 2012

スイング移行前 移行後環境 旧ドメイン (old.local) 移行元 ( 旧 DC) 新ドメイン (new.local) 移行先 ( 新 DC) 2008 R2 10.10.x.x/x 移行後降格 停止 Windows Server 2008 R2 AD のデータを新ドメインへ移行 ADMT サーバ ADMT 2008R2 10.10.x.x/x Windows Server 8 10.10.x.x/x Windows Server 8 クライアントを新ドメインへ移行 Windows Server 2008 R2 Windows 7 Windows 7 Page 37 NEC Corporation 2012

スイング方式移行手順の流れ 移行計準備 移行スケジュールを計画 移行するオブジェクトの決定決める 移行先ドメイン環境の作成 新規サーバを構築し 新規ドメインを構築する ADMTサーバを構築する 移行元 移行先ドメインにてADMTをインストールするための準備をする ADMT 用サーバを作成し 移行先ドメインへ参加する SQL Server およびADMT v3.2をインストールする ADMTを使用してオブジェクトの移行を実施する 計画した移行項目に従って オブジェクトの移行を実施する Page 38 NEC Corporation 2012

スイング移行手順 1 ( 移行先ドメインの作成 ) 1Windows Server 8 サーバを新規構築します 2 新規構築したサーバを DC へ昇格し 新規ドメインを作成します 2008 R2 2 新規ドメインの作成 Windows Server 8 3 移行元ドメインと移行先ドメインで双方の信頼関係を構築します 1 新規サーバ構築 Windows 7 3 双方向の外部信頼 old.local 信頼関係 new.local Page 39 NEC Corporation 2012

スイング移行手順 2 ( 移行環境の作成 ) 4 各ドメインで ADMT 用の設定を実施します 5Windows Server 2008 R2 で ADMT 用サーバを新規構築します 2008 R2 4 移行元 移行先ドメインでの事前作業 Windows Server 8 6 構築した ADMT 用サーバを移行先ドメインへ参加させます 2008 R2 現時点では ADMT が Windows Server 8 に対応おらず Windows Server 2008 R2 対応版が最新のため ADMT 専用サーバを設定しています 5ADMT 用サーバ構築 6 移行先ドメインへ参加 7 old.local 信頼関係 new.local Page 40 NEC Corporation 2012

スイング移行手順 3 (ADMT ツールのインストール ) 7 移行元ドメインにて 移行用アカウントを作成します 8 移行用アカウントに必要な権限を付不します 9ADMT サーバに ADMT をインストールします 10 移行元 DC へ PES( パスワード暗号化ツール ) をインストールします パスワード移行をする場合は必頇です 10PES インストール PES 2008 R2 7 移行用アカウントの作成 8 各管理者権限の付不 Windows Server 8 ADMT 2008 R2 9ADMTインストール 7 old.local 信頼関係 new.local Page 41 NEC Corporation 2012

スイング移行手順 4 ( アカウント移行 ) 11ADMT 用サーバへ移行用ユーザでログオンする 12ADMT を使用してユーザ グループアカウントの移行を行う パスワードや ( 移動 ) ユーザプロファイルはオプションで選択可能 PES 2008 R2 ユーザープロファイルパスワード ユーザー グループ ADMT 2008 R2 12 ユーザ グループアカウントの移行 Windows Server 8 13ADMT を使用してコンピュータアカウントの移行を行う オプションにて さまざまなオブジェクト変換が可能である 11 移行用ユーザでログオン コンピュータ移行時のオブジェクト変換の例 ローカルユーザプロファイル プリンタ レジストリ 共有 7 7 etc old.local 13 コンピュータアカウントの移行 信頼関係 new.local Page 42 NEC Corporation 2012

移行後の確認 ディレクトリデータベースの移行確認 移行先のドメインで Active Directory ユーザとコンピュータを起動し 移行したオブジェクトが存在することを確認する ユーザオブジェクトとグループオブジェクトの関連付けや GPOの関連付けを確認する 必要があれば修正を実施する 動作確認 移行したユーザとパスワードで移行したクライアントからドメインにログオンできることを確認する ユーザプロファイルの移行を実施した場合は ユーザプロファイルが移行され利用できることを確認する 割り当てられたポリシーが正常に反映されていることを確認する Page 43 NEC Corporation 2012

参考 URL Windows Server 2008 R2 Active Directory 公式 Web http://www.microsoft.com/japan/windowsserver2008/r2/technologies/ad-main.mspx Windows Server 2008 および 2008R2 ADDS の新機能 http://64.4.11.252/ja-jp/library/cc770946(ws.10).aspx http://technet.microsoft.com/ja-jp/library/dd378801(ws.10).aspx ADMT ガイド http://technet.microsoft.com/ja-jp/library/cc974332(ws.10).aspx Active Directory 移行ツールガイド : Active Directory ドメインの移行と再構築 http://www.microsoft.com/downloads/ja-jp/details.aspx?familyid=6d710919-1ba5-41ca- B2F3-C11BCB4857AF&displaylang=ja Page 44 NEC Corporation 2012