MENU
  1. ホーム
  2. Active Directory
  3. Windows Server 2012 R2から2022へのドメインコントローラー移行と互換性の完全ガイド

Windows Server 2012 R2から2022へのドメインコントローラー移行と互換性の完全ガイド

Active Directory

Windows Server環境をより安全かつ最新の状態に保つため、ドメインコントローラーのアップグレードは避けて通れないプロセスです。特に2012 R2から2022への移行を考える際には、既存OSとの互換性やExchangeサーバーの扱いなど多くの疑問が生まれます。本記事では、これらのポイントを包括的に整理し、安全でスムーズなアップグレードを行うための注意点を詳しく解説します。

目次
  1. Windows Server 2022へアップグレードするメリット
    1. 強化されたセキュリティ機能
    2. クラウド連携の容易化
    3. 最新ハードウェアへの最適化
  2. ドメイン機能レベルとフォレスト機能レベルの考え方
  3. Windows Server 2003/2008/2012/2016など既存メンバーサーバーへの影響
    1. 動作継続の理由
    2. アップグレード推奨の理由
  4. クライアントOSの互換性: Windows XP/7/8/8.1
    1. ドメイン参加と認証の可否
    2. セキュリティリスクと運用上の留意点
  5. Exchange 2007の扱い: 移行とサポート終了
    1. サポート対象のExchangeバージョン
    2. 移行手順の概要
  6. 移行手順のポイント
    1. 1. 既存環境のバックアップ
    2. 2. 新しいサーバーの準備
    3. 3. レプリケーションとFSMO役割の移行
    4. 4. 古いドメインコントローラーの降格と削除
    5. 5. ドメイン機能レベル・フォレスト機能レベルの引き上げ
  7. トラブルシューティングと注意点
    1. ネットワーク設定の整合性
    2. ウイルス対策ソフトウェアとの競合
    3. グループポリシーの再適用
  8. まとめ

Windows Server 2022へアップグレードするメリット

Windows Server 2022はセキュリティ機能の強化、最新ハードウェアとの互換性、ハイブリッドクラウドとの連携性向上など、多岐にわたる改善が施されています。アップグレードすることで以下のようなメリットを得ることができます。

強化されたセキュリティ機能

Windows Server 2022では、Secured-Core Serverをはじめとした包括的なセキュリティ対策が導入され、OSレベルでの攻撃を防ぐ仕組みが整っています。特にカーネルレベルでの検証強化やハードウェアルートの信頼を活用することで、ランサムウェアなどの脅威に対してより強固な防御を構築できます。

クラウド連携の容易化

Microsoft Azureとの連携がスムーズに行えるのも大きな特徴です。ファイルサーバーのクラウド同期やAzure Arcを活用したリソース管理など、ハイブリッド環境の効率化に寄与する機能が強化されています。オンプレミスのリソースとクラウド側のサービスを連携することで、柔軟な運用が可能となります。

最新ハードウェアへの最適化

Windows Server 2022では、最新のCPUアーキテクチャやストレージ、ネットワークハードウェアをより効率的に活用できます。高いパフォーマンスを引き出せるため、大規模なシステムや高トラフィックな環境でもスムーズに運用できる可能性が高まります。

ドメイン機能レベルとフォレスト機能レベルの考え方

Windows Serverドメインを運用する上で重要なのが、ドメイン機能レベルとフォレスト機能レベルです。これらのレベルはActive Directoryの利用可能な機能を決定し、互換性にも大きく影響します。一般的には、以下の通りです。

  • ドメイン機能レベル: ドメイン内のドメインコントローラー(DC)すべてのWindows Serverバージョンに対応する機能セット。
  • フォレスト機能レベル: フォレスト全体で最も古いドメイン機能レベルに合わせて設定され、すべてのドメインに共通する機能を決定する。

以下は主な機能レベルと対応OSをまとめた表の一例です。

機能レベル対応するDC OS主な特徴
Windows 2003Windows Server 2003以上基本的なAD機能
Windows 2008Windows Server 2008以上DFSレプリケーションによるSYSVOLのレプリケートなど
Windows 2008 R2Windows Server 2008 R2以上ADリサイクル機能の強化
Windows 2012Windows Server 2012以上Dynamic Access Controlなどの機能
Windows 2012 R2Windows Server 2012 R2以上Kerberos認証の機能強化
Windows 2016Windows Server 2016以上Privileged Access Managementなど
Windows 2019Windows Server 2019以上Hybrid Azure AD Joinの強化など
Windows 2022Windows Server 2022以上より高度なセキュリティとクラウド連携機能

Windows Server 2012 R2から2022にアップグレードする場合、フォレストとドメインの機能レベルを最終的に「Windows Server 2012」や「Windows Server 2012 R2」に引き上げるケースが一般的です。これは、すべてのDCが対応するOSに移行してからでないと設定できませんが、機能レベルを上げることで新しいActive Directoryの機能を利用できるようになります。

Windows Server 2003/2008/2012/2016など既存メンバーサーバーへの影響

ドメインコントローラーをWindows Server 2022に移行し、フォレストやドメイン機能レベルを2012あるいは2012 R2にする場合、古いメンバーサーバーがドメインから外れてしまうのではないかと心配される方も多いでしょう。結論としては、多くの場合は問題なく動作が継続可能です。

動作継続の理由

メンバーサーバーが求めるのは主にドメイン参加と認証機能です。ドメイン機能レベルを上げても「レガシーなDCが存在しないこと」が要件となる場合はありますが、「古いメンバーサーバーが強制的に切り捨てられる」わけではありません。したがって、Windows Server 2003や2008をメンバーサーバーとして残す場合でも、ひとまず認証やファイル共有などの基本機能は動作することが一般的です。

アップグレード推奨の理由

ただし、Windows Server 2003や2008はすでに延長サポートも終了しているため、セキュリティ更新が受けられません。脆弱性が残ったまま運用を続けるリスクは極めて高いです。組織としてのセキュリティポリシーを強化する意味でも、サーバーOSを段階的にアップグレードする計画を立てることが推奨されます。

クライアントOSの互換性: Windows XP/7/8/8.1

クライアントOSにおいても、古いバージョンのWindows XPやWindows 7などを引き続き使用しているケースがあるかもしれません。これらのOSはすでにサポートが終了しているものが多いのですが、ドメイン環境での認証や参加は技術的には可能です。

ドメイン参加と認証の可否

Windows XPやWindows 7、Windows 8/8.1でも、必要なプロトコル（KerberosやNTLM）を通じてドメインコントローラーとやり取りできるため、理論上は認証やポリシーの適用が行われます。実際、ドメインコントローラーがWindows Server 2022であっても、クライアントOSが対応するプロトコルを利用できれば問題なくログオンが可能です。

セキュリティリスクと運用上の留意点

しかしながら、これらのクライアントOSは既に製品サポートが終了しているケースがほとんどであり、セキュリティ更新も停止しています。業務上やむを得ず利用を続ける場合は、ネットワークセグメントを分割するなどの対策が必要です。理想的には、Windows 10やWindows 11などのサポート対象OSへ計画的に移行することで、セキュリティ面の不安を軽減できます。

Windows 8.1のアップデートがサーバー側でサポートされない問題

実際の運用では、「Windows 8.1の更新がドメインコントローラー側の問題で適用できない」といった事例を耳にすることがあります。多くの場合はグループポリシーの設定、WSUS（Windows Server Update Services）の構成、またはネットワーク機器・サードパーティ製ソフトウェアとの競合が原因であるケースが考えられます。
ドメインコントローラーのバージョンそのものが直接的な原因となる可能性は低いため、イベントログやWSUSのログを精査し、ポリシーやネットワーク設定に問題がないか確認することが大切です。

Exchange 2007の扱い: 移行とサポート終了

Exchange Server 2007は非常に古いバージョンであり、フォレスト機能レベルやドメイン機能レベルの引き上げ、さらにWindows Server 2022のサポート対象外となっています。引き続き運用することは大きなリスクを伴います。

サポート対象のExchangeバージョン

Microsoftの公式ドキュメントによると、Exchange Server 2013以降であればWindows Server 2022環境や最新の機能レベルにおおむね対応しています。Exchange 2016やExchange 2019であれば、より長くサポートを受けられ、セキュリティ更新も提供されます。そのため、早急にExchange 2007からの移行を検討する必要があります。

移行手順の概要

  1. 新しいExchange Serverの準備: Exchange 2013以上をインストール可能なWindows Server（できれば2019以降）に役割を設定します。
  2. メールボックス移行: Exchange 2007上の各メールボックスを新しいサーバーへ移行します。オンライン移行ツールやPowerShellコマンドを活用します。
  3. Exchange 2007のアンインストール: すべてのメールボックス移行が完了し、動作確認ができたら古いExchangeサーバーの役割を削除します。
  4. ドメイン/フォレスト機能レベルの引き上げ: Exchange 2007を完全に撤去した後、Active Directoryの機能レベルを引き上げるとスムーズです。

移行手順のポイント

ここでは、具体的にWindows Server 2012 R2から2022へのドメインコントローラー移行手順を押さえておきましょう。シナリオによって手順は前後しますが、大まかな流れは下記の通りです。

1. 既存環境のバックアップ

  • AD DSのバックアップ: システム状態バックアップを取得し、万が一のリストアに備えます。
  • 重要データのスナップショット: 仮想環境であればスナップショット、物理環境であれば別ストレージへのバックアップを実施。

2. 新しいサーバーの準備

  • Windows Server 2022のインストール: 最新の累積アップデート(CU)を適用しておくことが望ましいです。
  • AD DS役割の追加: サーバーマネージャーやPowerShellを使って追加します。
  • 名前解決の設定: DNSサーバーが別にある場合は、新サーバーに適切なDNS設定を行います。
# Windows Server 2022でAD DSをインストールする例
Install-WindowsFeature AD-Domain-Services -IncludeManagementTools

# インストール後、ドメインコントローラーとして昇格する
Import-Module ADDSDeployment
Install-ADDSDomainController `
-Credential (Get-Credential) `
-DomainName "example.local" `
-InstallDns:$true `
-SiteName "Default-First-Site-Name" `
-DatabasePath "C:\Windows\NTDS" `
-LogPath "C:\Windows\NTDS" `
-SysvolPath "C:\Windows\SYSVOL" `
-Force

3. レプリケーションとFSMO役割の移行

  • レプリケーション状態の確認: Active Directory Sites and Servicesでレプリケーションが正しく完了しているか確認します。
  • FSMO役割の移行: 新しいDCが安定稼働しているのを確認したら、Schema Master、Domain Naming Master、RID Master、PDC Emulator、Infrastructure Masterを移行します。

4. 古いドメインコントローラーの降格と削除

  • 役割の降格: Windows Server 2012 R2上のドメインコントローラーをdcpromoやサーバーマネージャーを使い、メンバーサーバーに降格します。
  • クリーンアップ: Active DirectoryやDNSから古いサーバーのオブジェクトを削除し、メンバーサーバーとして今後も利用するか、廃止するかを検討します。

5. ドメイン機能レベル・フォレスト機能レベルの引き上げ

  • 最終確認: すべてのドメインコントローラーがWindows Server 2012 R2以上になったことを確認します。
  • 引き上げ: Active Directory Domains and TrustsやPowerShellからドメイン機能レベル→フォレスト機能レベルの順に引き上げます。
# ドメイン機能レベルをWindows2012R2へ引き上げ
Set-ADDomainMode -Identity "example.local" -DomainMode Windows2012R2Domain

# フォレスト機能レベルをWindows2012R2へ引き上げ
Set-ADForestMode -Identity "example.local" -ForestMode Windows2012R2Forest

トラブルシューティングと注意点

アップグレード作業時には、以下の点に注意してトラブルを未然に防ぐことが重要です。

ネットワーク設定の整合性

ドメインコントローラーが複数存在する場合、DNSの正引き・逆引きが混乱しているとレプリケーションエラーが発生しやすくなります。必ずクライアント、DCともにDNSサーバーの設定を正しく行い、名前解決がスムーズに行われるようにしましょう。

ウイルス対策ソフトウェアとの競合

ウイルス対策ソフトやエンドポイント保護ソリューションが、システム状態のバックアップやAD DS関連のファイルにアクセスし、作業をブロックするケースがあります。事前に除外設定を見直すか、一時的にオフにしてから作業を進めるのも有効です。

グループポリシーの再適用

ドメインコントローラーを切り替えた後に、クライアントやメンバーサーバーでGPOが適切に適用されているかを確認してください。ログオンスクリプトやフォルダーリダイレクトなどがある場合、SYSVOLレプリケーションの状態も要チェックです。

まとめ

Windows Server 2012 R2から2022へのドメインコントローラーアップグレードは、多くの組織において避けられない大きな課題です。しかし、手順をしっかりと押さえ、互換性やサポート状況を事前に把握しておくことで、移行時のトラブルを最小限に抑えることが可能です。特に以下の点を意識するようにしましょう。

  • 古いサーバーOSやクライアントOSの継続利用: 技術的には参加可能な場合が多いが、サポート切れによるセキュリティリスクを踏まえて早期移行を検討。
  • Exchange 2007との共存は非推奨: 最新の機能レベルやWindows Server 2022上でのサポート外であり、Exchange 2013以降への移行が必須。
  • DNSやレプリケーションの正確な管理: ドメインコントローラー同士の同期をスムーズにするため、ネットワークとDNSを適切に設定。
  • 段階的なアップグレード計画: 既存環境のバックアップ→新環境の構築→FSMO役割移行→旧環境の降格と削除→機能レベルの引き上げ、というプロセスを守ることでリスクを低減。

システムの安定稼働とセキュリティを高めるためにも、計画的かつ確実なアップグレードを進めていきましょう。

Active Directory
Active Directory アップグレード Windows Server 2022

コメント

コメントする

目次
  1. Windows Server 2022へアップグレードするメリット
    1. 強化されたセキュリティ機能
    2. クラウド連携の容易化
    3. 最新ハードウェアへの最適化
  2. ドメイン機能レベルとフォレスト機能レベルの考え方
  3. Windows Server 2003/2008/2012/2016など既存メンバーサーバーへの影響
    1. 動作継続の理由
    2. アップグレード推奨の理由
  4. クライアントOSの互換性: Windows XP/7/8/8.1
    1. ドメイン参加と認証の可否
    2. セキュリティリスクと運用上の留意点
  5. Exchange 2007の扱い: 移行とサポート終了
    1. サポート対象のExchangeバージョン
    2. 移行手順の概要
  6. 移行手順のポイント
    1. 1. 既存環境のバックアップ
    2. 2. 新しいサーバーの準備
    3. 3. レプリケーションとFSMO役割の移行
    4. 4. 古いドメインコントローラーの降格と削除
    5. 5. ドメイン機能レベル・フォレスト機能レベルの引き上げ
  7. トラブルシューティングと注意点
    1. ネットワーク設定の整合性
    2. ウイルス対策ソフトウェアとの競合
    3. グループポリシーの再適用
  8. まとめ