Active Directory移行の予備知識：NT管理者のためのActive Directory入門（3）

　Windows 2000のインストールのように、Active Directoryドメインへの移行作業そのものは簡単にできる。だからといって安易に移行すると、あとからさまざまな弊害が発生してしまう。そこで今回は、移行のために必要な知識とその手順を追っていこう。

移行（マイグレーション）の流れ

　Windows 2000 Serverは、インストール直後は「スタンドアロン」もしくは「メンバーサーバ」である。Windows NT Serverのときのように、インストール中にドメインコントローラ（DC）を選ぶのではなく、「DCPromo.exe」というツールを使ってDCへと昇格させる必要がある。

　DCPromo.exeを実行すると「Active Directoryインストールウィザード」が起動し、ドメインコントローラ（DC）昇格に必要な情報を尋ねてくる。昇格に必要な情報を入力するために、DCPromo.exe実行の前にしっかりとした移行計画が必要となる。また、入力する情報としてDNSが必須のため、Active Directoryの構築にはDNSの知識が不可欠である。DNSの詳細については、連載の次の回に解説する。

　では実際に、移行の手順について解説していこう。まずは、移行モデルを次の2つのいずれかから選択する。

• 現在のドメインをアップグレードする
  既存環境を維持しながら、ユーザーに対してシームレスなアップグレードができる。今回は、こちらをメインに解説していく
• 新たにActive Directoryドメインをインストールして再構築する
  現在の環境が混乱状態なので、覚悟を決めてリストラクチャリングする

既存ドメインからアップグレードすることのメリット／デメリット

　「インプレースアップグレード」とも呼び、ドメイン内のWindows NT Serverのプライマリドメインコントローラ（PDC）とバックアップドメインコントローラ（BDC）をWindows 2000 Serverへとアップグレードする。Windows 2000のスタンドアロンサーバもしくはメンバーサーバは、DCPromo.exeによりDCへと昇格できる。また逆に、DCPromo.exeによりDCを降格させることもできる。

　この移行モデルは、移行作業が楽なのも特徴だ。Windows NTドメイン上のPDCにWindows 2000のCD-ROMを入れて、画面の指示に従うだけで設定が終了する。既存のドメイン構成は変わらず、失われるものがないのもポイントだ。実際に、移行によって大きく変わるのは次の2点である。

• 認証方法がNTLMからKerberosになるNTLMからKerberosになる
• マスター・ドメイン／リソース・ドメインの一方向に信頼関係を結んでいる環境が、移行することで双方向の信頼関係になる

図1　NTドメインからActive Directoryの環境へ移行した場合の変更点

　そのほかの効果としては、次のようなものが挙げられる。

• SAMのサイズ制限がなくなる
• OUが使えるようになる

　ちなみに、Windows 2000に移行できるのは「Windows NT Server 4.0」か「Windows NT Server 3.51」のいずれかである。Windows NT Server 3.5以前のOSからは、そのままではWindows 2000にアップグレードできないので、まず前段階としてWindows NT Server 4.0に移行する必要がある。その際に、Service Packも最新のものを当てておこう。

　Windows 2000 ServerのDCはPDCとは完全に同等ではなく、ドメインに最初にインストールされたDCは「操作マスタ」と呼ばれ、シングルマスタ的な役割を持つDCになる。操作マスタの機能の1つに、互換性維持のための「PDCエミュレータ」がある。PDCエミュレータは、Windows NTのBDCおよびメンバーサーバに対してはPDCとして機能し、Windows 2000に対してはDCとして機能する。メンバーサーバは、Active Directoryドメイン環境に移行してもPDCエミュレータという機能があるために、そのもの自身に影響はない。

　アップグレードでは、現在の環境をできる限りそのまま移行できるように設計されているため、ほとんどのシステム設定やネットワーク構成がそのまま移行される。例えば、すでに稼働しているExchange Server 5.5のシステムは、Active Directoryドメイン環境でそのまま実行することができる。またWindows 2000では、Exchange 5.5 ディレクトリサービスとActive Directory環境の同期をサポートするツールとして、ADC（Active Directory Connector）を標準で提供している。ADCは、Windows 2000のCD-ROM内の「\VALUEADD\MSFT\MGMT\ADC\SETUP.exe」でインストールできる。

　以上のように、既存のドメインをアップグレードする方法は、最も簡単で低リスクな移行プランである。デメリットとしては、Windows NTのPDC機能に依存しているアプリケーションやWindows NT独自のセキュリティに依存しているアプリケーションの中には、動かなくなる恐れがあるものも存在することだ。

新たにActive Directoryで再構築することのメリット／デメリット

　メリットとしては、ドメインの再構築ができることだろう。教科書的には、「シングルドメイン」「シングルマスタードメイン」「マルチマスタードメイン」が推奨されているが、現実には「完全信頼モデル」になっていたり、上記のどれにも当てはまらない場合も多い。

図2　現実のドメイン環境。本来であれば、信頼関係は黒い矢印だけのはずだが、部門ドメインAの一部のユーザーはマスタードメイン以外のアカウントをもち、部門ドメインCのサーバを借りている。また、部門ドメインBとCの管理者は仲がいいので、個人的信頼関係に基づいて、NTドメインの信頼関係も結んでしまった

　そこで、これら収集のつかない環境を、いっそのこと再構築してしまうのだ。手順としては、新たにActive Directoryドメインを構築し、従来のNTドメインと信頼関係を結んでおき、システムを徐々に移行する。既存のNTドメインはそのまま残るので、いざというときは元に戻れるという安心感がある。

　NTドメインからActive Directoryへと移行するには、Active Directory移行ツール（ADMT：Active Directory Migration Tool）を使えば、NTのアカウントドメイン、リソースドメインのグループやユーザーを、段階的に移行ウィザードを使用してWindows 2000ドメインへと移行できる。

　デメリットとして、管理者は2種類のシステムを管理することになるので、移行が終了するまでに2重の手間がかかる。さらに移行が進まないと混乱に拍車がかかり、収拾がつかなくなる。

既存のドメインをアップグレードする

　最初の手順として、PDCをWindows 2000 Serverで上書きアップグレードする。だが、万が一アップグレードに失敗してしまうと取り返しがつかなくなるので、次の2点の対策をあらかじめ行っておこう。

• フルバックアップおよびバックアップからの復旧テスト
• ドメインに一時的に使う新たなBDCを参加させておく

　BDCがドメインに参加すると、PDCから最新のディレクトリデータベースをコピーしてくる。データベースのコピーが終了したら、このBDCはネットワークから外しておく。これにより、万が一アップグレードに失敗したとしても、新たに追加したBDCをPDCへと昇格させればドメイン環境はそのまま維持される。

　上記の作業が終わってから、PDCをWindows 2000 Serverで上書きする。ここでよくある間違いに、「現状のドメインを壊したくないから、PDCではなくBDCをアップグレードする」というものがある。

　Active DirectoryとNTドメインの混在モードのときは、BDCの存在が許されている。そのため、混在モードでのBDCは、Windows 2000のDCの操作マスタ（PDCエミュレータ）からディレクトリデータベースのコピーを受け取ることができる。だが、いちどActive Directoryのネイティブモードにしてしまうと、BDCはディレクトリデータベースのコピーを受け取れずに、古いディレクトリデータベースを内部に維持することになる。しかも、BDC自身は認証が可能なため、古いディレクトリデータベースを使い認証してしまうことになる。ネイティブモードの環境でBDCが存在してしまうと、このような混乱が起きる。DCPromo.exeを実行してもBDCの存在を警告してはくれないので、自らBDCが存在していないことを確かめる必要があるのだ。この場合、たまたま電源が入っていないだけという厄介なBDCもあるので面倒だ。

　本来、障害対策の用途で導入するBDCは、2000名ごとに1台が目安となっている。数百人程度の運用であれば、低速なネットワークでの認証を早くしたいなど特別な理由がない限り、1つのドメインにBDCは2台で充分なはずである。ところが、皆さんの会社によっては導入したほとんどのサーバが、なぜかBDCになっていたりしないだろうか？ いまさらBDCが不必要なほどあると分かっても、実際、対処しようがない場合が多い。不用意にたくさんのBDCを作成してしまい収集がつかない状況は、Windows 2000に移行する際にメンバーサーバに降格させることで解決できる。BDCをアップグレードする際にDCPromo.exeさえ実行しなければ、DCにはならない。

　PDCの場合は、Windows 2000 Serverをインストールして再起動すると、自動的にDCPromo.exeが起動する。このとき、Active Directoryに移行するかキャンセルするかのメニューが表示されるので、移行作業の担当者が望めば、Active DirectoryドメインにPDCの構成を受け継がせることができる。

図3　PDCからDCへと移行する過程

　そのほかの注意点についても触れておこう。

• インストール用領域が少ない場合にはエラーメッセージが表示されるので、少なくとも1GB以上は空き領域を作っておく
• Windows NT Server 4.0にできるだけ最新のService Packを適用しておく
• DOS、Windows 95／98／Meなどとのデュアルブート構成はできない

　ファイルシステムがFATの場合はActive Directoryデータベースが置けないので、NTFSに変更する必要がある。そのため、NTFSにアクセスできないDOSやWindows 9xなどとのデュアルブート環境にはできない。また本来、DCのデュアルブート構成自体が推奨されていない。

　また、混在モードとネイティブモードの変更はドメイン単位なので、Active Directoryのルートドメインがネイティブモードで、そのサブドメインが混在モード、あるいはその逆でも問題ない。

　もし既存のNTドメインが、アカウントを管理するドメイン（マスター・ドメイン）とリソースを管理するドメイン（リソース・ドメイン）の組み合わせの構成になっている場合は、まずマスター・ドメインから移行を行う。

新たにActive Directoryドメインを再構築する

　連載の第1回でも触れたように、特別な理由がない限りはシングルドメイン構成が望ましい（連載 第1回「Windows 2000のアカウント管理」の「【コラム】特別な理由とは？」を参照）。そこで、再構築の場合はシングルドメインに統合し、シンプルな運用を目指す。

　最初の手順としては、マスター・ドメインから移行を始める。これは、マスター・ドメインをActive Directoryのルートとして設定する必要があるからだ。移行の際は、新たにActive Directoryドメインを作るか、既存のマスター・ドメインをアップグレードするかのどちらかを選ぶ。新たにActive Directoryドメインを作った場合は、ADMT.exeを利用して移行する。

　マスター・ドメインの移行が完了し、Active Directoryのルートドメインとして機能し始めたら、次にリソース・ドメインをActive Directoryへと統合する。

　もし、計画段階で移行に時間がかかりそうだと判断した場合は、移行に時間がかかるNTドメインとActive Directoryドメインとで信頼関係を結ぶ。

　ここで時間がかかりそうな場合とは、急いで移行することで業務に支障が出ることを示している。例えば、Exchange Server 5.5などの基幹系アプリケーションがBDCに導入されていると、ネイティブモードには移行できない。そこで、BDC内にあるExchangeのメールボックスを、別のExchagneが導入されているメンバーサーバへと移行しなければならない。このような作業は業務に支障が出ないように、様子を見ながら影響が少ない部署から徐々に行うべきである。

　このような移行作業の間は、NTドメインとActive Directoryの両方の管理が必要になる。ここで、Active DirectoryドメインとNTドメインの信頼関係について補足しておこう。

• ドメインにBDCがなく、今後とも追加しないのであれば、ネイティブモードに移行する
• ネイティブモードに移行すると混在モードでの制限がなくなり、Active Directoryのすべての機能が使えるようになる
• Active Directoryドメインがネイティブモードであっても、NTドメインと信頼関係を結ぶことができる
• Active DirectoryがネイティブモードでNTドメイン側にBDCがあっても、問題なく信頼関係は結べる

　今回は、NTドメインからActive Directoryへ移行する際の予備知識と、全体の作業手順について見てきた。次回は、実際に「DCPromo.exe」を用いた作業手順の詳細を追いつつ、Active Directoryの構築とは切り離せないDNSについて解説していこう。