ドメインコントローラ/Active Directory

～部門サーバのWindows Server 2008への移行～

今回は部門のドメインコントローラ（以降DC）をWindows Server 2008 β3（以降 Windows Server 2008）に移行するために取り組んだ検証や既存環境へ移行した際の体験談を紹介します。

Windows Server 2008のActive Directoryはなにが変わった？

Windows Server 2008のActive Directory（以降AD）ではグループポリシーが強化されました。Windows Server 2008のグループポリシーはWindows Vistaのポリシーに完全対応しており、今後クライアントPCを含む管理の効率化が期待できます。具体的にはWindows Server 2008とWindows Vistaの組み合わせによって、デバイスのインストール制御やリムーバブル記憶領域へのアクセス制御といったセキュリティ、情報漏洩対策等、近年、企業が課題としているものが強化されています。

そのほか、ADの「ふりがな」サポートなど、AD機能拡張に伴いスキーマが拡張されています。

表1 Windows Server 2008のスキーマ拡張イメージ

また、DCは認証基盤としてシステム全体に影響力を持つため、バージョンアップや移行の際は十分な計画、テスト環境での検証がトラブル未然防止の鍵となります。

ページの先頭へ

テスト環境での検証でトラブルを事前に解決しよう！

テスト環境は、図1にあるような既存環境を疑似的に構築するために、Virtual Server 2005を使った環境を用意しました（図2）。Virtual Serverは仮想ネットワーク内に複数のDCやドメインを既存環境のように再現することができます。

検証は、移行手順の確立のほか、ドメイン内のサーバやクライアントへの影響とあらゆる角度から影響の有無を確認することを心がけました。

検証のポイント

スキーマ拡張が問題なく行えるか、既存環境へ悪影響を与えないか？
Windows Server 2008 DC導入によって既存環境へ悪影響を与えないか？

図1 既存フォレスト環境でのDC配置

図2 検証環境イメージ

検証を実施した結果、以下の問題を事前に検出できました。

スキーマ拡張に失敗！

スキーマ拡張のコマンドadprep (1) を実施した早々失敗してしまいました。原因は、過去にWindows Services for UNIX 2.0 (SFU2.0) のスキーマ拡張が既存ADに適用されており、それが既知問題KB919938 (2) に抵触するというものでした。既存資産を移行していた場合、過去にどのような拡張、設定をしたか把握していないケースがよくあるのではないでしょうか。検証でこのような問題を抽出し、その対策を準備しておくことが重要です。

(1) adprepはWindows Server 2008のメディアに含まれています
<CD-ROM>:\sources\adprep フォルダ以下に格納。
(2) Microsoftサポートオンライン

図3 過去のスキーマ適用経緯（一部抜粋）

「ふりがな」タブが表示されない！

さらに検証では、Windows Server 2008移行後にAD管理コンソールを確認したところ、「ふりがな」タブが表示されないという問題がありました。この現象はADの新規構築時は発生せず、既存ADを移行した場合、発生するというものでした。この問題は今後提供されるWindows Server 2008では解決される予定です。

図4 AD管理コンソールの「ふりがな」表示

物理サーバを十分確保できなかったため、Virtual Serverを用いての検証は、非常に効率的でした。ただし、ルータを超えたネットワーク環境の検証やサイトをまたいでの検証は実施することができず、それらの確認は本番環境で確認しなくてはいけないという制限もありました。

ページの先頭へ

いざ本番環境へ！

部門サーバ移行では、ADのスキーマを拡張し、川崎の4つの部門DCをWindows Server 2008へ移行するという計画でした。
移行時の万が一のトラブルに備え、各DCサーバのバックアップ実施と、スキーマ拡張していない既存ADのDC 1台をロールバック用サーバとして停止状態で配置しました。これにより、トラブルが発生したときは停止状態のサーバを稼動させれば移行前のAD環境に戻すことができます。

このように移行前の準備を整え、Windows Server 2008移行を以下のようにすすめました。

図5 DCのWindows Server 2008移行

今回行った部門DCのWindows Server 2008への移行は、先に実施した検証によって不測の事態なく無事移行することができました。この移行はWindows 2000 Serverから Windows Server 2003への移行手順を元に実施しましたが、その手順に大きな差はなく、Windows Server 2008への移行は決して複雑なものではありませんでした。

しかし、実際のIT環境では様々なシステムが複雑に絡み合っている場合もあり、想定できない問題が存在するかもしれません。そのような場合でも、お客様のニーズに応えるため、富士通は豊富な導入実績を誇る「Active Directory導入サービス」でのWindows Server 2008対応の準備を進めています。