ActiveDirectoryでメインとバックアップのADを入れ替えるときに操作マスター移動するのだが、どんだけ移動するのか忘れないように記録としてまとめてみました。

 

■ADコンピューターとユーザー
・RID
・PDC
・インフラストラクチャ

■ADドメインと信頼関係
・ドメイン名前付け操作マスター

■ADスキーマ
・スキーママスタ

※「regsvr32 schmmgmt.dll」で管理コンソールに追加。MMCを起動してスナップインを追加する。
※移行先のドメインコントローラを指定する。そのあとに操作マスターで移動する

ActiveDirectoryのドメイン名を変更するときが来ましたのでその時の作業方法をまとめましたのでメモ的に残しておきます。

※検証したOSは、Windows Server 2008 R2

手順は下記の通りです。

■ドメイン名の変更

例：sample-domain.co.jp→sample-domain.co.jp.local

１．管理者権限アカウントでADサーバーへログオンする

２．DNSに前方参照ゾーンを追加する
（１）DNSマネージャーを起動する
（２）「前方参照」を右クリックして、「新しいゾーン」をクリックする
（３）ゾーンの種類：プライマリゾーン
※Active Directoryにゾーンを格納するのチェックを外す。

（４）動的更新：非セキュリティ保護およびセキュリティ保護の両方による動的更新を許可する
３．RENDOMコマンドでドメイン名の変更（作業用のテンポラリフォルダを用意しておくとよい）
（１）コマンドプロンプトで「rendom /list」を入力し「Domainlist.xml」を出力する。また、バックアップも取得する
（２）Domainlist.xmlをメモ帳で開く。
（３）DNSname要素とNetBiosName要素を変更したものにする。

例：
（旧）
<DNSname>DomainDnsZones.sample-domain.co.jp</DNSname>

（新）
<DNSname>DomainDnsZones.sample-domain.co.jp.local</DNSname>
（旧）
<NetBiosName>sample-domain</NetBiosName>

（新）↓sample-domainの部分が変わっていないので特に変更しなかった。
<NetBiosName>sample-domain</NetBiosName>

（４）メモ帳を閉じる

（５）「rendom /showforest」を入力して、内容を検証する。
※操作は正常に終了しましたと表示されていることを確認する

（６）「rendom /upload」を入力してドメイン名称を変更する

（７）動作検証用のファイル「dclist.xml」を生成しているか確認する。（同じ場所にある）その中に変更前のドメイン名が書かれているか確認する

（８）FSMOの機能を担当しているサーバを確認コマンド「dsquery server -hasfsmo name」を実行する。そしてメモをしておく。
（９）「repadmin /syncall /d /e /P /q <DomainNamingMaster>」
※AD１台の場合は<DomainNamingMaster>は省略可能。DomainNamingMasterは、コンピュータのFQDNを指定する。
※例えば、インターネットに存在するドメインがAD名になっている場合は、インターネットの接続を切断してから実施するとエラーが起きない。
（１０）ドメインコントローラが名前変更できるか確認するコマンド「rendom /prepare」を実行する
※エラーがないことを確認
（１１）ドメイン名変更を実行する。「rendom /execute」と入力して実行する
（１２）変更に成功したかチェックする。自動的に再起動がかかる。
変更に成功すると、「dclist.xml」ファイルのState要素に「Done」と書かれる
※エラーが発生したときには、このテキストが「Error」となる。
■最終設定
（１）「Active Directoryユーザーとコンピュータ」でドメイン名が認識しているのか確認する。

（２）「rendom /end」を入力し、フォレストのフリーズ状態を解除する。（作業フォルダは作業していたフォルダを指定）
※「操作は正常に終了しました。」と表示されることを確認
（３）DNSマネージャーを起動し、作成したゾーンのプロパティを開く。
「全般」タブの「変更」ボタンをクリックし「ゾーン種類」で「ActiveDirectoryにゾーンを格納する」にチェックを入れる。

それで「このゾーンをActiveDirectory統合にしますか？」とメッセージが表示されるので「はい」ボタンをクリックする。

また、「動的更新」欄を「セキュリティ保護のみ」にする。
（４）必要に応じて、グループポリシーなども確認する。

 

まあ、リスクと面倒さとあるのでこのような作業はご依頼いただけるとよいですね・・・。