企業や組織で利用されるサーバー環境を最新の状態へアップグレードすることは、セキュリティやパフォーマンスの最適化において非常に重要です。特に BitLocker 管理および監視（MBAM）を導入している場合、暗号化の継続やキー管理などの要素が絡むため、周到な準備と正確な手順に則った作業が求められます。本記事では、Windows Server 2012 から Windows Server 2019 へのインプレースアップグレードをテーマに、MBAM 環境における具体的な対策や考慮点を分かりやすく解説します。
なぜ Windows Server 2019 への移行が重要なのか
Windows Server 2012 は長らく多くの企業で基幹システムとして稼働してきました。しかし、サポート終了に伴い新たな脆弱性が発生しても十分なセキュリティ更新プログラムが期待できなくなります。そこで、Windows Server 2019 への移行を検討することで、最新のセキュリティ機能や管理機能を享受し、システム全体の安定性と安全性を高めることが可能です。さらに、BitLocker 管理および監視（MBAM）を利用している環境では、暗号化キーの取り扱いやポリシー管理をより円滑に行うためにも新しい OS 上での動作確認が不可欠となります。
セキュリティとパフォーマンスの向上
Windows Server 2019 では、ネットワーク保護機能やクラウド統合の強化により、従来のバージョンよりも堅牢性が向上しています。特に SMB（Server Message Block）プロトコルの改良や、仮想化を活用した攻撃防止のメカニズムなどが導入されており、サーバーへの不正アクセスリスクを大幅に低減することが期待できます。
Server 2019で強化された機能例
- Windows Defender ATP: 悪意ある活動をリアルタイムで検知し、迅速に防御する仕組みを提供
- Hyper-V セキュアブートの拡張: 仮想マシンの起動時セキュリティを高め、OS を改ざんから保護
- Storage Migration Service: 他のサーバーからのデータ移行をより効率化し、サーバー置き換えを容易に
これらの機能をフル活用するためにも、対応するハードウェアとソフトウェアの準備、そして MBAM 環境を伴うアップグレード計画が必須となります。
インプレースアップグレードの前に知っておきたいポイント
インプレースアップグレードとは、既存の OS を削除せずに新しい OS を上書きするアップグレード手法を指します。アプリケーションやデータを保持したまま移行できるため便利ですが、万一の不具合や互換性問題が発生すると影響が大きくなりがちです。そのため、事前に対策を講じておく必要があります。
Windows Server 2012 から 2019 への直接アップグレードは不可
Microsoft 公式ドキュメントでも明言されていますが、Windows Server 2012 から 2019 への直接のインプレースアップグレードはサポートされていません。以下のように段階的に実行するのが正式な手順です。
- Windows Server 2012 → Windows Server 2016
- Windows Server 2016 → Windows Server 2019
二段階に分けることで、OS 間の大きなバージョン差を吸収し、システムを安定的に移行できる利点があります。
MBAM（BitLocker 管理および監視）の基本構成
MBAM は BitLocker ドライブ暗号化を集中管理するためのツールであり、主に以下のコンポーネントで構成されます。
- MBAM サーバー: ポリシー管理や回復キーの保存、レポート機能を担う
- MBAM データベース: SQL Server 上で暗号化キーや監視データを保持
- MBAM クライアント エージェント: 各エンドポイントにインストールされ、ローカルのドライブ暗号化やポリシー適用を行う
これらのコンポーネントをアップグレード後の OS でも正しく動作させるには、MBAM バージョンや SQL Server の互換性を確認し、それに応じて設定の修正やバージョンアップを検討する必要があります。
準備フェーズ
本格的にアップグレードを開始する前に、以下の項目を中心に準備を進めましょう。
バックアップ戦略の重要性
インプレースアップグレードは基本的にデータを残したまま行う方法ですが、万が一に備えて 完全バックアップ を作成するのは必須です。特に MBAM の回復キーや暗号化に関する設定は、事故やトラブル発生時に復旧の要となるため、念入りにバックアップを行いましょう。
MBAMデータベースのバックアップ
MBAM のデータベースは SQL Server を利用していることが多いため、SQL Server Management Studio (SSMS) や PowerShell スクリプトなどを活用して定期的にバックアップを取得しておくのが望ましいです。例えば、以下のような PowerShell スクリプトを使用することで、自動化されたバックアップが可能になります。
# バックアップ対象データベース名
$databaseName = "MBAM_RecoveryAndHardware"
# バックアップファイルのパス
$backupFile = "D:\Backup\MBAM_RecoveryAndHardware.bak"
# SQL Server のインスタンス名
$instanceName = "SQLSERVER01"
# SMO 経由でデータベースをバックアップする例
Add-Type -Path "C:\Program Files\Microsoft SQL Server\140\SDK\Assemblies\Microsoft.SqlServer.Smo.dll"
$srv = New-Object Microsoft.SqlServer.Management.Smo.Server($instanceName)
$db = $srv.Databases[$databaseName]
# バックアップ設定
$backup = New-Object Microsoft.SqlServer.Management.Smo.Backup
$backup.Action = 'Database'
$backup.Database = $databaseName
$backup.Devices.AddDevice($backupFile, 'File')
$backup.Initialize = $true
# バックアップ実行
$backup.SqlBackup($srv)
Write-Host "MBAM データベースのバックアップが完了しました: $backupFile"定期ジョブ化や複数世代のバックアップを保持することで、アップグレード時のリスクを最小化できます。
互換性の確認と必要なアップデート
MBAM やその他アプリケーションが正常に動作するためには、Windows Server 2016 および 2019 での互換性を事前にチェックしておくことが不可欠です。具体的には以下の項目を重点的に確認しましょう。
- MBAM のバージョン: MBAM 2.5 SP1 以降であれば Windows Server 2016 / 2019 をサポートするケースが多い
- SQL Server のバージョン: MBAM データベースの互換性が保たれているか
- 必要な Windows Update: アップグレード前に最新の修正プログラムを適用しておくことで、OS レベルの不具合を回避
また、ドライバ類やファームウェアの更新も併せて行い、サーバー環境を最新の状態に保つのが望ましいです。
Windows Server 2012 から 2016 へのアップグレード手順
インプレースアップグレードを成功させるには、手順とロールバック策を明確にしておくことが大切です。以下は基本的な流れを示した例です。
| ステップ | 内容 | 使用ツール | 確認ポイント |
|---|---|---|---|
| 1 | サーバー全体のバックアップ | バックアップソフト / PowerShell | バックアップファイルの有無、リストアテスト |
| 2 | アップグレード用メディアの準備 | Windows Server 2016 インストールメディア | メディアの整合性チェック |
| 3 | セットアップの実行 | インストールウィザード / PowerShell | OS のエディションや言語設定の確認 |
| 4 | 再起動と初期設定 | Windows 設定画面 | イベントビューアのエラーログ、MBAM サービス稼働状況 |
| 5 | MBAM の動作テスト | MBAM コンソール / PowerShell | 暗号化ポリシーや回復キー取得の確認 |
上記のステップを経て Windows Server 2016 へのアップグレードが完了したら、MBAM コンソールや関連サービスが問題なく稼働しているかを確認します。特に回復キーの取得やレポート機能に不備がないかをしっかりチェックしましょう。
Windows Server 2016 から 2019 へのアップグレード手順
Windows Server 2016 上での動作確認が完了したら、次は Windows Server 2019 へのアップグレードです。手順としては 2012 → 2016 へのアップグレードと似ていますが、以下の追加ポイントに注意が必要です。
- MBAM バージョンの最終確認
MBAM 2.5 SP1 など、Windows Server 2019 で公式にサポートされるリリースを利用しているか改めて確認します。必要であればアップグレード前に MBAM のバージョンアップを行いましょう。 - SQL Server のバージョン
MBAM データベースをホストする SQL Server がサポート対象外の場合、MBAM からの接続不具合やレポート機能のエラーが発生する可能性があります。SQL Server 2016 以降であれば概ね問題なく動作するケースが多いため、事前に仕様を要確認です。 - Windows Server 2019 対応ドライバの更新
ネットワークアダプタやストレージコントローラなど、サーバー稼働に直結するデバイスドライバが 2019 に対応しているか確認し、必要に応じてアップデートします。
以下のようなコマンドを利用して、対象サーバーがアップグレード可能なエディションであるかを確認することも有用です。
dism /online /Get-TargetEditions表示されたターゲットエディションの一覧に、Windows Server 2019 相当のエディション（Datacenter や Standard）が含まれていれば、アップグレードの候補として利用可能です。
MBAM がインストールされた環境での注意点
MBAM 環境では、暗号化プロセスが進行中のディスクや、クライアントの通信状態に影響を与えないように注意する必要があります。アップグレードの前後で暗号化が中断されていないか、ポリシーが正しく適用されているかを必ず確認しましょう。
サービス停止と再開のタイミング
アップグレード作業中に何度かサーバーを再起動するため、MBAM サーバーの関連サービス（IIS、SQL Server など）も停止状態になります。回復キーを取得しようとしたクライアントが一時的に取得できないケースが考えられるので、影響が少ない時間帯やメンテナンスウィンドウを選定しましょう。
MBAM エージェントとの連携確認
特にエージェントがインストールされたクライアント側で、アップグレード後にエラーが出ることがあります。エージェントのバージョンやポリシー適用設定を点検し、Windows Server 2019 への移行後に問題なく報告・監視が続けられるかを確認するのが重要です。
アップグレード完了後の検証ステップ
アップグレードが完了しサーバーが再起動しても、作業が終わったわけではありません。OS・アプリケーション・セキュリティ・バックアップなど総合的な視点で検証を行い、想定通り動作しているかを入念にチェックしましょう。
- イベントログの確認
Windows Server 2019 のイベントビューア（Event Viewer）で重大エラーや警告が発生していないかを確認します。特にアプリケーションログとシステムログには、MBAM や SQL Server 関連のエラーが残りやすいため要チェックです。 - MBAM サービスとポータルの動作テスト
MBAM の管理ポータル（Web サイト）にアクセスし、回復キーの検索やレポートの参照が正常に行えるかを確認します。必要に応じて IIS のバインド設定や証明書を再構成する場合があります。 - ドライブ暗号化状態の確認
アップグレードによって BitLocker が解除されていないか、暗号化ドライブが引き続き保護されているかを確認します。以下のコマンドで暗号化状態を簡単にチェックできます。
manage-bde -status出力結果に「回復キー識別子」「暗号化の状態」などが正しく表示されていれば正常と判断できます。
- ポリシー配布状況のテスト
Group Policy や SCCM などで MBAM ポリシーを配布している場合は、クライアント PC が問題なくポリシーを受信し、暗号化ポリシーの適用を行っているかを確認しましょう。
トラブルシューティングのコツ
アップグレード中やアップグレード直後は、思わぬエラーや互換性問題が発生することがあります。代表的なトラブル例と対処法を把握しておくと、迅速な対応が可能です。
代表的なエラーと対処法
- MBAM Web ポータルにアクセスできない
- 原因: IIS 設定や SSL 証明書の更新忘れ、ポート競合など
- 対処: IIS マネージャーを使ってバインド設定を再確認し、正常に HTTPS 通信できているかをチェック
- SQL Server 接続エラー
- 原因: SQL Server のインスタンス名やポート番号の設定変更、ファイアウォールのブロックなど
- 対処: SQL Server 構成マネージャーとファイアウォールのルールを見直し、接続文字列を正しく設定
- BitLocker が自動的に再暗号化を始めた
- 原因: MBAM バージョンまたはポリシーの互換性不一致による誤判定
- 対処: MBAM クライアント エージェントのバージョンアップ、または GPO のポリシー調整で再暗号化の必要性を再評価
- エージェントがレポートを送信しない
- 原因: エージェントサービスの停止、GPO の設定ミス、ネットワークの不通
- 対処: エージェントサービスを再起動し、イベントログを確認。必要に応じて再インストールまたはポリシー修正
長期的なメンテナンス戦略
無事に Windows Server 2019 へのアップグレードが完了したら、今後は定期的なメンテナンスと改善策を講じてシステムを安定稼働させることが重要です。サーバー OS は常に新しい更新プログラムがリリースされるため、以下のような継続的なメンテナンスを実施すると良いでしょう。
- 定期的な Windows Update の適用
毎月のセキュリティ パッチや累積更新プログラムを迅速に適用することで、既知の脆弱性を封じ込めることができます。 - MBAM バージョンアップの検討
Microsoft が提供する新しいパッチや SP（サービスパック）で、MBAM の機能や安定性が向上することがあります。サポート情報を常にチェックし、環境に適合する場合は計画的にバージョンアップを進めます。 - SQL Server のチューニングとバックアップ
MBAM の監視データが増加すると、SQL Server のパフォーマンスに影響が出る場合があります。インデックスの再構築や更新統計を定期実行するなど、データベースチューニングを怠らないようにしましょう。 - 将来的なプラットフォーム移行も視野に入れる
Windows Server 2019 のサポート期間が終了する前に、次のバージョンまたは Azure などのクラウドプラットフォームへの移行を検討します。MBAM 環境を Azure AD や Microsoft Intune 上で統合管理するアプローチも増えてきており、長期的にはクラウド統合のメリットが大きい可能性があります。
また、サーバー構成管理のドキュメント整備やモニタリング ツールの導入など、オペレーション全体を見直す機会にすると、システム運用の効率化につながります。
上記のように、Windows Server 2012 から 2019 へのインプレースアップグレードは、MBAM 環境を保護しながら着実に進めることが可能です。しかしながら、OS や MBAM のバージョン互換性、データベースの移行、バックアップ戦略など、多角的に検討すべきポイントが多いのも事実です。だからこそ、まずはテスト環境での事前検証と、詳細な計画を立てることが成功への近道となります。リスクを最小限に抑え、システム稼働に不可欠な暗号化機能を確実に守りつつ、より強固なセキュリティと安定性を手に入れるために、しっかりと準備を進めていきましょう。
コメント