ActiveDirectryへの追加

Question

こんにちは。

現在、5台の仮想サーバを運用しています。

そのうちの1台は検証用サーバで、5台のサーバについて、ADのドメインが二つ存在するという状況です。

現在、検証サーバと商用サーバの1台で一つのドメイン、残りの3台の商用サーバで他のドメインとなっています。

これを検証サーバだけのドメインと、商用サーバ4台のドメインに変更したいと考えています。

具体的な手順をご教示いただくことは可能でしょうか。

何卒よろしくお願いいたします。

Answer 1

検証サーバーと同じドメインになっている商用サーバーをそのドメインから離脱させて（もしドメイン コントローラーになっている場合は降格させてから離脱）、ワークグループ サーバーになった状態からもう一つのドメインに参加すればよいだけですが、この作業の「具体的な手順」が欲しいのでしょうか？

Answer 2

こんにちは、

Q&A フォーラムにご投稿いただきありがとうございます。

サーバー環境を現在の構成から、認証サーバーを含む 1 つのドメインと 4 つの商用サーバーを含む別のドメインに変更するには、一連の Active Directory (AD) の移行および再構成操作を実行する必要があります。一般的なステップバイステップのガイドは次のとおりです。

1. データをバックアップします。

データとシステム ステータスが確実にバックアップされていることを確認します。運用中に問題が発生した場合に備えて、Active Directory (Windows Server バックアップなどのツールを使用) とシステム ステータスのバックアップに特に注意して、すべてのサーバー データをバックアップします。

2. 環境を準備します。

認証サーバーがマルチドメイン コントローラー環境のメンバーである場合は、ドメインの機能レベルと FSMO の役割に対する変更の影響を考慮し、これらの役割の移行を計画する必要があります。

3. 商用サーバーの役割を調整します。

ADMT ツールを使用して 4 台目の商用コンピューターのユーザー アカウント、コンピューター アカウント、およびサービス構成を移行し、現在のドメインから安全に切り離してから、他の 3 台の商用サーバーを含むドメインに参加させます。

4. 検証とテスト: 大規模な変更を行う前に、必ず隔離された環境で適切なテストを実施し、ビジネスの継続性とデータの整合性を確保してください。すべてのコンピュータがそれぞれのドメインに適切に参加していることを確認し、すべてのサービスとアクセス許可が期待どおりに機能していることを確認します。

上記の情報がお役に立てば幸いです。

よろしくお願いします、

ヤンホン・リウ

===========================================

回答が役に立った場合は、「回答を受け入れる」をクリックして賛成票を投じてください。

Answer 3

チャブーンです。

この件ですが、一つ確認事項があります。検証サーバーと商用サーバーで1つのドメイン、ということですが、このうち商用サーバー1台は、3台の他ドメインと同じになる、という理解でいいですか？

この場合、基本的にこういうことになると思います。

1. 事前バックアップを取る(全台)
   バックアップをとれば、何か不具合が発生しても元に戻すことができます。バックアップを取る際にVMシステムのスナップショットは使わないでください。Windows Serverバックアップのベアメタルバックアップがお奨めです。
   https://jpwinsup.github.io/blog/2022/03/22/Storage/Backup/Windows-Server-Backup-Overview/
   https://jpwinsup.github.io/blog/2022/05/09/Storage/Backup/Restore/
2. ドメインコントローラーを降格する
   商用サーバー1台について、ドメインコントローラーを降格します。そうすることで、他のドメインにドメインコントローラーとして再昇格させることができるようになります。ちなみに降格させると、ドメインコントローラーとしての情報は、元のドメインからは削除されます。
   https://blog.trainocate.co.jp/blog/c72
3. ドメインコントローラーを追加(再昇格)する
   別の環境で追加ドメインコントローラーとして、昇格させます。ただし、本来は再昇格(=再利用)ではなく、新たな仮想VMを作成、それを新規に昇格させたほうがいいでしょう。元ドメインに参加していた時の影響が、起こらないようにするためです。
   https://blog.serverworks.co.jp/windows-server-3-second-domain-controller-setup

もしそうでなくて、検証サーバーと商用サーバーで1つのドメインの方を「設定はそのままで分離させ互いの影響をなくしたい」ことなら、状況は変わってきます。

1. 事前バックアップを取る(2台)
   前項を参照してください。
2. 検証サーバーと商用サーバーをネットワーク的に分離させる
   Hypervisorソフトウェアの仕様によりますが、一般的には分離スイッチやVLANを構成します。
3. 検証サーバーと商用サーバーそれぞれで、「不要な設定」を手動で取り除く
   そのままだと、相手方の情報が残りエラーが頻発します。そうならないよう、相手側の情報を取り除く必要があります。手動で行う必要があります。Metadata Cleanupという特別な手順を行います。詳細な内容は以下の「B-2-1　Metadata Cleanup の実施」以降をご覧ください。
   https://jpwinsup.github.io/blog/2023/04/02/ActiveDirectory/PromotionAndDemotion/Demotion/#B-2-1-Metadata-Cleanup-%E3%81%AE%E5%AE%9F%E6%96%BD