[PR]上記の広告は3ヶ月以上新規記事投稿のないブログに表示されています。新しい記事を書く事で広告が消えます。
[0回]
ここでは微に入り細にうがった回答はできないが、具体的な質問には的確に答える。
（質問）
2003から2008への移行手順
はじめまして、お世話になります。
ユーザ数20人弱のドメインのDCを「2003Server」から「2008Server」へ移行することとなりました。
こちらのフォーラムや、Technet技術文書を参考に自分なりに手順を考えているのですが、
初めての作業で不安でして、皆さんのお知恵を貸していただきたく、投稿させていただきました。
以下の、[手順]のレビュー・ツッコミと、
最後に記載します[■皆さんに質問したいこと■]へのご回答を宜しくお願いできますでしょうか。
ひとつの質問だけにでもご回答を頂ければ幸いです。
[環境]
旧）DC（DNS・DHCPサーバ）2003 SPなし ⇒ 新）DC（DNS・DHCPサーバ）2008 SP2
※ドメインにDCは1台のみ。ホスト名・IPアドレス変更予定
[手順]
================
１．新DC受入準備
================
◎バックアップとリストア手順の確認
毎日フルバックアップを習得している
◎機能レベルの確認
2008の受け入れにはドメインの機能レベルが「Windows2000」ネイティブ以上である必要がある。
◎スキーマ拡張
adprep/adprep.exe /forestprep
adprep/adprep.exe /domainprep /gpprep
adprep/adprep.exe /rodcprep
◎スキーマ拡張の確認
移行元DCの以下のレジストリを参照⇒[44]になっていること
キー：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters
値：Schema Version
値は以下の通り
objectVersion OS
[30] Windows Server 2003
[31] Windows Server 2003 R2
＞[44] Windows Server 2008
================
２．新DC昇格
================
◎DCの追加
「Dcpromo」でADをインストール
DNS、グローバルカタログのオプションにチェックを入れる
◎FSMO移動
ntdsutilコマンドで行う。GUIからも可能らしいがコマンドならまとめて行える
◎グローバルカタログ移動
[旧DC]「ADDSサイトとサービス」で「グローバルカタログ」のチェックをオフ
◎DHCPサーバ移行
DHCPオプションのDNSアドレスを旧DcのIP⇒新DcのIPに変更
DHCPの設定のExport/ImportをNetshコマンドにて行う
◎並行期間
2台並行で試運転(1日以上)
================
３．旧DC切り離し
================
◎直前に強制レプリケーション
［Active Directoryサイトとサービス］を起動し[NTDS Settings］を選択する。
そして右側のペインに表示されるサーバ名を右クリックし、ポップアップ・メニューから［今すぐ複製］を選択する。
◎旧DC降格（Dcpromo
※※「このサーバはドメインの最後のDCです」にチェックをしない
◎残骸処理
新DCで以下の場所から旧DCの残骸を処理する。（"ユーザとコンピュータ"や"サイトとサービス"）
◎機能レベルを上げる（2008へ）
==============================
■皆さんに質問したいこと■
==============================
０．機能レベルを2008にするタイミング
現手順では、最後に2008へ上げていますが、スキーマ拡張の前に実施しなくても大丈夫でしょうか？
１．FSMO移動完了の確認方法は？
FSMOが新DCに移動したことを確認するにはどうすればよいでしょうか？
２．グローバルカタログ移動完了の確認方法は？
グローバルカタログが移動できたことを確認するには？
３．ADの移行確認は？
何をもってADのオブジェクトやポリシーが"完全"に移行できたとすれば良いでしょう？
ログの場所・見方やコマンドなどの操作方法を教えてください？
４．リストア手順は？
毎日一回深夜にテープライブラリにフルバックアップを取っています。
万が一の時のADの修復には、どのファイル・フォルダをどこに戻せばよいのでしょうか？
参考になるようなURLのご紹介も頂けるとありがたいです。
－－－－－－－－－－－－－－－－－－－－－－－－
（回答）
○○○○です。
申し訳ないですが、個人的には、微に入り細にうがった回答はできません。ですから[手順]について、細かいチェックはしていません。ですが、細かいところについて、他の方からご指摘があるかもしれませんね。
ちなみに、こういう資料は参考になりそうです。
http://primeserver.fujitsu.com/primergy/technical/construct/pdf/win2008-active-directory03.pdf
質問にも簡単に答えます。
0. Windows Server 2003 ドメインコントローラが存在する状況で「ドメイン機能レベル」を2008にあげることはできません。
1. ntdsutilコマンドで確認しましょう。GUIでもできます。
http://support.microsoft.com/kb/234790/ja
2. [Active Directory サイトとサービス] コンソールから、直接確認しましょう。
3. したのURLに一覧が書いてあります。「Active Directoryが正常にインストールおよび複製できているか」を確認する方法ですが、おおむね同じです。
http://technet.microsoft.com/en-us/library/cc794717(WS.10).aspx
4. フルバックアップがとってあるなら、すべてのドメインコントローラを同時にフルリストアすることが確実です。フルバックアップならNTバックアップの「システム状態」をとっておく必要があります。こういうURLが参考になるでしょう。
http://technet.microsoft.com/ja-jp/ee676512.aspx
http://technet.microsoft.com/ja-jp/library/cc985001.aspx (多少古い内容です)
[0回]
ADSIエディタはWindows Ｓｅｒｖｅｒ ２００８に既定で附属しているが正しい使い方・見方が分かるひとは少ない。
（質問）
Adprepの失敗？
Win2003のドメインコントローラーにWin2008R2のドメインコントローラーを追加しようと、以下の順でAdprepを実行しました。
adprep32 /forestperp
adprep32 /domainprep /gpprep
adprep32 /rodcprep
それぞれ正常に完了したか、下記TechNetライブラリを参考にadsieditで確認したところ、forestprepで確認する属性値はTechNetライブラリの値よりも１大きい値でしたが、値があることを確認できました。
しかし、domainprepで確認するRevisionの属性値が「Not Set」となっています。
rodcprepはエラーで終了しており、CN=ActivedirectoryRodcUpdate すらない状態です。
http://technet.microsoft.com/ja-jp/library/dd464018(WS.10).aspx
これらを正しく終了させる方法をご教示いただけないでしょうか。
よろしくお願いいたします。
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
（回答）
○○○○○です。
この件ですが、参照されているページが「Beta版」の内容も含んでいるようで、正確でない部分があるようです。英語になってしまうのですが、このページが正しいないようかなと思いますよ。
で、スキーマのバージョンは問題なさそうですが、domainprepの方はチェックするオブジェクトが違っているようです。CN=ActiveDirectoryUpdate,CN=DomainUpdates,CN=System,<ドメイン DN>のオブジェクトのRevision属性を見てみてはどうでしょう。
最後のrodcprepですが、エラーを見てみないとわからないですが、インフラストラクチャマスタが存在しないと失敗する例があるようです(詳細は949257を見てみてください)。同時にドメイン名前付けマスタとも通信できる必要があります。
英語で大変だとは思うのですが、うえのページに必要な情報はほとんどあるようなので、読まれてみてはどうでしょう。
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
（参考情報）
Windows Server 2008 で AD DS をサポートするために行われた Adprep.exe の変更に関する付録
http://technet.microsoft.com/ja-jp/library/cc770703(WS.10).aspx
（この情報を見ると）
フォレスト全体の更新がうまくいった場合は
CN=ActiveDirectoryUpdate,CN=ForestUpdates,CN=Configuration,DC=ForestRootDomain オブジェクトが作成され、このオブジェクトのリビジョン属性 (スキーマの CN=Revision、Integer 構文) が 2 に設定される。
ドメイン全体の更新がうまくいった場合は
CN=ActiveDirectoryUpdate,CN=DomainUpdates,CN=System,DC=ForestRootDomain オブジェクトは、正常に完了したことを示すためにリビジョン属性 (スキーマの CN=Revision、Integer 構文) が3 に設定される。
[0回]
Windows Server 2003 R2 ADから、Windows Server 2008 R2 AD用にAdprepを実行しスキーマを拡張するとこのようなことが多いのだが、誰もがこのようなトラブル解決の方法を知りたいだろう。
（質問）
Win2003DNSサーバコンソールにWin2008DNSサーバを追加できない
先日、ドメインコントローラの入替を行いました。
サーバAをサーバCにリプレイスしました。
サーバAはDCから降格し、コンピュータアカウントは削除済。
旧環境
フォレスト：1フォレスト
ドメイン：1ドメイン
サイト：1サイト（すべてのDCが同じサイトにあり、かつGC設定）
ドメインコントローラ：
サーバA Windows2003 STD SP1（FSMO）
サーバB Windows2003R2 ENT SP2
その他：
フォレスト機能レベルWindows2003、
ドメイン機能レベル Windows2003。
サーバA、サーバBともにDNSサーバーも動作。（AD統合ゾーン設定）
新環境
フォレスト：1フォレスト
ドメイン：1ドメイン
サイト：1サイト（すべてのDCが同じサイトにあり、かつGC設定）
ドメインコントローラ：
サーバA Windows2008R2 （FSMO）
サーバB Windows2003R2 ENT SP2
その他：
フォレスト機能レベルWindows2003、
ドメイン機能レベル Windows2003。
サーバA、サーバBともにDNSサーバーも動作。（AD統合ゾーン設定）
WIN2008用にスキーマ拡張実施。
上記の新環境で以下について、教えてください。
①サーバBのDNSサーバのMMCから、サーバAのDNSサーバの管理ができません。
DNSサーバに接続→次のコンピュータでサーバAを指定すると、「サーバは利用できません。追加しますか？」
のメッセージが表示されます。ここで、はい、いいえが選択できるので、「はい」を選択するとDNSサーバのMMCに
サーバAは追加されるのですが、クリックすると、「DNSサーバにアクセスできません。」と右側のペインに表示されます。
サーバAのDNSゾーン情報も参照できませんが、ただサーバAのイベントビューア－DNSイベントは参照できます。
②サーバA上のサーバマネージャからサーバBを開けません。
別のコンピュータへ接続を選択して、別のコンピュータにサーバBを指定します。
すると、以下のエラーメッセージが表示されます。
「サーバーマネージャーはサーバBに接続できません。再試行をクリックし、接続を再試行してください。」
上記の2点について、Win2003同士であれば可能だったのですが、2003と2008ではダメなのでしょうか。（仕様なのでしょうか。）
それとも、何か設定が悪いのでしょうか。
ご存知のかたがいれば、教えていただけませんか。
[0回]
有資格者の名に恥じない大変、情熱ある立派な回答である。
しかし、Windows Server 2008 ADはネットワークやグループポリシーに関するトラブルが多く見られることから、Windows Server 2003 ADからのアップグレードは怖い。
Windows Server 2003 ADの方が、面白味がないが安定している気がする。
（質問）
Active Directory 子ドメインのリプレースに関して
お世話になっております。
現在、Active Directory環境下で、サーバのリプレースを考えています。
【環境】
サーバA： Windows Server 2003
用途 ： ADサーバ（ルートサーバ） ドメイン名を仮に ServerA.aaa.localとします。
サーバB： Windows Server 2003
用途 ： ADサーバ（上記サーバのバックアップ的用途） ドメイン名を仮に ServerB.aaa.localとします。
サーバC1～C4： Windows Server 2003
用途 ： ADサーバ（上記の子ドメインサーバ） ドメイン名を仮に ServerC1～C4.bbb.aaa.localとします。
サーバC1～C4は別々のサイトとして存在
【質問】
1.上記の環境下で今回、「サーバC1～C4」をWindows Server 2008へのリプレースを考えています。
その際、ADprepを実施する必要があると思いますが、ADprepの実施は、以下のどれに相当しますでしょうか？
1.サーバA、Bに対ADprepが必要
2.サーバC1～C4（リプレース対象サーバ）に対しADprepが必要
3.全サーバでADprepが必要
2.上記の作業はどのサーバで何を実施する必要がありますでしょうか？
（例：サーバA,Bでforestprepのみ等々）
どのサーバにどのadprepを実施するか、感覚的には理解しているつもりですが
今回のような子ドメインのみのリプレースの経験がない為、念の為確認したく思います。
初歩的な質問で恐縮ですが、ご教示下さい。
よろしくお願いします。
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
（回答１）
○○○です。
IT Proさんの記事にアップグレードの詳細な情報がありますのでこちらを参考にしてはいかがでしょうか？
Active Directoryアップグレード方法論
http://itpro.nikkeibp.co.jp/article/COLUMN/20080701/309864/
さて、アップグレードを行う際にはおっしゃる通りAdprepなどの前作業が必要になります。
行うべきことはフォレストに対する変更とドメインに対する変更になります。
ですのでルートドメインであるaaa.local上のFSMOのスキーママスタが存在するサーバー上でadprep /forestprepを実行する必要があります。
後はドメインごとの変更です。
ですので子ドメインであるbbb.aaa.local上のFSMOのインフラストラクチャマスタが存在するサーバー上でadprep /domainprep /gpprepを実行する必要がありますね。またRODCを今後使う予定があるのであれば、adprep /rodcprepも実行する必要があります。
今後ルートドメインにもWin2008DCを参加させるのであれば、上記操作が必要になります。
ここからは考え方次第なのですが、私なら今後のことも考えてルートドメインにも同様の動作を施しておきます。なぜなら毒にはならないからです。また、インストールする際にこれらの作業を実行していなかった場合は、これらの作業をするようにエラーメッセージが出てインストールできません。
FSMOサーバーを検索するコマンドとして簡単なのはnetdom query fsmoになります。ただし、Win2003にはデフォルトでこのコマンドは入っていません。サポートツールをインストールする必要があります
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
（回答２）
ちょっと補足します
各ドメインで行う作業として
adprep /domainprep /gpprep
と書きましたが、これはWindows 2000 Serverドメイン内の最初のWin2008DCである場合です
Windows Server 2003ドメイン内の最初のWin2008DCの場合は
adprep /domainprep
でいいです。
またRODCをGCにする場合は全てのドメイン（そのドメインでWin2008DCを実行しなくても）で
adprep /domainprep
を実行します。
ちなみにgpprepスイッチを指定するとSYSVOL共有フォルダにあるGPOに継承可能なACEが追加
されドメイン内のコントローラ間でSYSVOL共有フォルダが同期されます。
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
（回答３）
Windows Server 2008 で AD DS をサポートするために行われた Adprep.exe の変更に関する付録
http://technet.microsoft.com/ja-jp/library/cc770703(WS.10).aspx
この情報を見ると
フォレスト全体の更新がうまくいった場合は
CN=ActiveDirectoryUpdate,CN=ForestUpdates,CN=Configuration,DC=ForestRootDomain オブジェクトが作成され、このオブジェクトのリビジョン属性 (スキーマの CN=Revision、Integer 構文) が 1 に設定されます。
ドメイン全体の更新がうまくいった場合は
CN=ActiveDirectoryUpdate,CN=DomainUpdates,CN=System,DC=ForestRootDomain オブジェクトは、正常に完了したことを示すためにリビジョン属性 (スキーマの CN=Revision、Integer 構文) が 1 に設定されます。
と書いてありますのでADSIエディタなどで確認することができると思われます。
[0回]
最近は仕事が忙しく、疲れているのでフォーラムへの回答はまともにできません。当分は自分のブログにコメントするにとどめる。
（質問）
ご回答ありがとうございます。
記載頂いたURLは構築時にも参考にさせて頂きました。
LDAPSクエリーが「スキーマクラスが見つかりません」というエラーが返されるようなった件は、
現状NagiosのLDAP監視モジュールを使用し、アノニマスユーザでのバインドを実施しているようです。
しかし、2003からはアノニマスが禁止されているという話を聞いたことがあり、
Nagiosの設定でバインドユーザを指定できるのか確認中です。
DC自体は正常に稼動しており、LinuxからのLdapserachコマンドでもアカウントを引けることを確認しました。
お騒がせしました。
同じ用件で、以下で1点質問させてください。
＜質問＞
ADPREPコマンドを実行した場合、既存スキーマが拡張されると思います。
この「拡張」によって、どのようなスキーマ情報が増えて、どの既存スキーマ情報が
変更されているのでしょうか。
※一覧などの資料として提供されていれば、助かるのですが。。。。。
＜質問経緯＞
今回移行させたDCに対してアカウント情報追加で連携しているJavaアプリケーションがあり、LDAPSで接続されます。
Windows2000のDCで存在する既存スキーマに変更が生じた場合、アプリケーションの改修が発生する場合があります。
adsieditツールを使用して、スキーマ情報をCSV形式でエクスポートさせてAdprep実行前後で比較したところ、
かなりの数のスキーマが追加・変更されていることが判明しました。
現在、この連携アプリケーションはDCと正常に連携できており、緊急に対応する必要はありません。
しかし、”今はスキーマ拡張された情報をインポートしていないだけでは？”という不安もあり、
スキーマの拡張情報の精査は行っておきたいと考えております。
以上、宜しくお願いします。
（ＭＳＦＴ氏の回答）
こんにちは、フォーラムオペレーターのXXXXです。
拡張されるスキーマについて、私の方でも調べてみましたが、残念ながら一覧といった形での公開情報は見当たりませんでした。
ただ、少しお手間はかかると思いますが、以下の方法で拡張されるスキーマの内容が確認出来るのではと思われますので、その方法をご紹介させていただきますね。
- 確認方法
----
Windows Server 2003 R2 の場合であれば、インストール CD-ROM Disk2 の "CMPNENTS\R2\ADPREP" フォルダにある、LDF ファイルをもとにスキーマの拡張が行われます。
ファイル名："SCHxx.ldf"
xx は 14 ～ 31 までの番号になります。
この "SCHxx.ldf" ファイルを notepad などで開いて、ADPREP 実行時に拡張されるスキーマの内容を確認してください。
なお、"changetype" の値で、変更されるのか、追加されるのかが確認でき、"objectClass" の値で、クラスなのか、属性なのかが確認出来ます。
・changetype: ntdsSchemaModify ・・ 変更
・changetype: ntdsSchemaAdd ・・ 追加
・objectClass: classSchema ・・ クラス
・objectClass: attributeSchema ・・ 属性
----
- 参考資料
Windows の管理 Active Directory スキーマを拡張する
http://technet.microsoft.com/ja-jp/magazine/2008.05.schema.aspx
Windows 2000 のドメインまたはフォレストに Windows Server 2003 ドメインコントローラを追加するときに Adprep.exe ユーティリティで実行される処理
http://support.microsoft.com/kb/309628
それでは、こちらの情報が少しでもお役にたてれば幸いです！
（ＭＶＰ氏の回答）
xxxxです。
どうでもいいかもしれない、参考情報をお知らせしますね。
Windows Server 2008 で adprep.exe を実行した場合、どんな動作をするか、についての細かい情報は、いちおう MS さんのページにありますね。
Windows Server 2008: Appendix of Changes to Adprep.exe to Support AD DS
うえの情報では、adprep を実行した際に、フォレストレベルではどう変更が入るか、ドメインレベルでの同様な変更、ldf ファイルでのスキーマアップデートの内容、なんかがあるみたいです。Windows Server 2008 R2 もありますので、興味のある方はチェックいただくといいかもしれないですね。
http://social.technet.microsoft.com/Forums/ja-JP/activedirectoryja/thread/19500177-92e4-432a-a875-dc4183d432f4
[0回]
[0回]
プロフィール
カレンダー
カウンター
リンク
最新記事
最新コメント
最新トラックバック
カテゴリー
アーカイブ
ブログ内検索
リンク
忍者画像RSS
忍者AdMax
フリーエリア