現場でよくあるトラブルを徹底解説！ Active Directory移行の課題と解決策

Active Directoryの役割と構成

Active Directory（AD）は、Microsoftが提供するディレクトリサービスであり、企業内のユーザー、グループ、コンピューター、ポリシーなどの情報を一元管理するための基盤です。ADの主な役割は、認証と認可の提供、リソースへのアクセス制御、そしてセキュリティポリシーの適用です。

ADの構成要素の中心となるのはドメインコントローラー（DC）であり、ユーザー情報やセキュリティ情報を保持します。複数のDCを配置することで、冗長性と可用性を確保できます。ADはドメイン、ドメインツリー、フォレストという階層構造を持ち、組織の規模や構造に応じて柔軟に設計可能です。また、グループポリシー（GPO）を活用することで、ユーザーやコンピューターに対する設定を一括で管理できます。

このように、Active Directoryは企業のITインフラにおける中核的な役割を担い、効率的かつ安全な運用を支えています。またMicrosoft Azureでは、クラウドベースのIDおよびアクセス管理（IAM）サービスとしてMicrosoft Entra ID（旧Azure AD）が提供されています。Entra IDはクラウドネイティブなID管理機能を提供しながら、オンプレミスのADと連携することで、SSO（シングルサインオン）やMFA(多要素認証)などのサービスを実現することが可能です。

Active Directoryの一般的な分離プロセス

会社の分割などにより完全に独立したAD環境を構築する場合、Microsoftが提唱する「自律性と分離（Autonomy and Isolation）」の設計原則に基づき、「フォレスト分割」を以下のプロセスで実施します。

• ① 新しいAD環境の構築

  新ドメイン／フォレストの設計と構築、DNS、OU、GPO、レプリケーション設計など

• ② オブジェクトの移行

  ユーザーアカウント、グループ、コンピューター、SIDなど

• ③ アプリケーションとサービスの再構成

  認証先（Kerberos、LDAP、SAMLなど）の変更

• ④ テストと検証

• ⑤ 本番移行と旧環境の縮退

  段階的な切り替えの実施、旧ドメインの不要なデータ削除などの実施

Active Directoryの一般的な統合プロセス

会社の統合などにより複数のAD環境を一つに統合する場合、一般的に以下のプロセスで実施します。

• ① 信頼関係の構築

  統合元、統合先ドメイン間での信頼関係の設定

• ② オブジェクトの移行

  ユーザーアカウント、グループ、コンピューター、SIDなど

• ③ GPOとOUの再設計

  GPOの整理と統合、OU構造の管理しやすい構造への再設計

• ④ DNSゾーンの統合

  名前解決の整合性確認

• ⑤ 移行後のチェックと最適化

  認証、アクセス確認、ログオンスクリプトやプロファイルの確認、不要ドメインの縮退削除などの実施

分離・統合いずれの作業においても、実施前には要件の定義、設計、及び綿密な計画の策定が必須となります。パイロット移行（段階的な移行）を含めたテスト・検証を十分に行うことにより、本番切り替え時のトラブルを未然に防止することが可能となります。

FSMOロール移行時の不具合

• トラブル

  ドメインコントローラー間のレプリケーションが、誤ったネットワーク設定や名前解決の問題により正常に行われていない状態で、最新ではないDCへのFSMO（Flexible Single Master Operation）ロール移行を試みると、移行が失敗する場合があります。

• 影響度

  この失敗によりFSMOロールが復旧できなくなった場合、AD全体の機能停止や再構築を余儀なくされる、極めて重大な影響が発生します。

SID履歴移行漏れによるアクセス権の喪失

• トラブル

  ユーザーやグループなどのオブジェクトを移行する際、元のSID(セキュリティ識別子)を保持するためのSID履歴の移行に漏れが生じる場合があります。

• 影響度

  移行先のユーザーアカウントがファイルサーバーやアプリケーションへのアクセス権を失い、サービスが利用不可になります。このアクセス権を再度付与し直す作業は、膨大な工数が掛かる場合があります。

GPOの競合または適用漏れ

• トラブル

  移行先の環境でGPOが正しく適用されない、または複数のGPO設定が競合することで、セキュリティ設定やログオンスクリプトが機能しなくなることがあります。

• 影響度

  意図しない動作が引き起こされます。具体的には、ネットワークドライブやプリンターが使用できない、あるいはファイアウォールの設定やパスワードポリシーが適用されずに端末のセキュリティリスクが増大するといった深刻な影響が生じます。

DNS構成と名前解決の確認

ADはDNSに強く依存しており、DNSが正しく設定されていない場合、ドメインコントローラーの検出やユーザーログオンが失敗します。

確認内容

dcdiagやnslookupコマンドを用いてDNSの健全性や名前解決ができることを確認します。また、DNS管理ツールなどでDNSゾーンがAD統合型であることを確認します。

レプリケーションの健全性チェック

移行前に、すべてのドメインコントローラー間でADレプリケーションが正常に行われているかを確認することが不可欠です。

確認内容

レプリケーションに問題があると、移行中にハングアップや移行後にデータの不整合や認証エラーが発生したりする原因となります。repadminコマンド等を使用してレプリケーションの状況を確認します。

FSMOロールのオーナーと移行計画の確認

ADには5種類のFSMOロールが存在します。移行時、どのDCがこれらのロールを保持しているかを把握し、必要に応じて移行する必要があります。

確認内容

netdom query fsmoやそれに関連するコマンドを用いて、現在のロールオーナーを確認します。

SIDHistoryの保持とアクセス権の継続性

ユーザーやグループの移行時に元のSIDを保持しておかないと、ファイルサーバーやアプリケーションにおけるアクセス権が失われる可能性があります。

確認内容

Microsoftが提供しているADMT（Active Directory Migration Tool）を使用するのであれば、SIDHistoryを有効化して移行を実施します。移行後にはwhoamiコマンドなどでSIDが正しく保持されていることを確認します。

GPOの整合性および適用状況

移行後にGPOが正しく適用されない場合、セキュリティ設定やログオンスクリプトが機能しなくなります。

確認内容

設計書に基づいてOUの構造とGPOの整合性を確認します。gpresultコマンドなどを使用し、ポリシーの適用状況を確認することが重要です。