Select the product you need help with
Active Directory ドメインおよびフォレストの機能レベルを上げる方法文書番号: 322692 - 対象製品 目次概要この資料では、Microsoft Windows Server 2003 ベース以降のドメイン コントローラーでサポートされているドメインおよびフォレストの機能レベルを上げる方法について説明します。Active Directory には 4 つのリリースがあり、Windows NT Server 4.0 から変更されたレベルのみに特別な配慮が必要です。このため、ドメイン コントローラーのオペレーティング システム、ドメイン、またはフォレストの機能レベルの新しいバージョン、現在のバージョン、または古いバージョンを使用して、その他のレベル変更について説明します。 機能レベルとは、新しい Active Directory 機能を有効にするために Microsoft Windows 2000 Server で導入された混在モードとネイティブ モードの概念の拡張です。ドメインまたはフォレスト内のすべてのドメイン コントローラーで最新の Windows Server バージョンを実行していて、管理者がドメインまたはフォレストで対応する機能レベルをアクティブにしている場合は、さらにいくつかの Active Directory 機能を使用できます。 最新のドメイン機能を有効にするには、ドメイン内のすべてのドメイン コントローラーで最新の Windows Server オペレーティング システム バージョンを実行している必要があります。この条件を満たしている場合、管理者はドメインの機能レベルを上げることができます。 最新のフォレスト全体の機能を有効にするには、フォレスト内のすべてのドメイン コントローラーで、必要なフォレスト機能レベルに対応する Windows Server オペレーティング システムを実行している必要があります。また、現在のドメイン機能レベルが既に最新のレベルである必要があります。この条件を満たしている場合、管理者はフォレストの機能レベルを上げることができます。 一般に、ドメインおよびフォレストの機能レベルの変更は元に戻せません。変更を元に戻せない場合、フォレスト回復処理を使用する必要があります。Windows Server 2008 R2 オペレーティング システムの場合、ドメインの機能レベルおよびフォレストの機能レベルに対する変更はロールバックすることができます。ただし、ロールバックは Active Directory 機能レベルに関する Technet の資料
(http://technet.microsoft.com/ja-jp/library/cc787290(WS.10).aspx)
で説明されている特定の状況でのみ実行できます。注: 最新のドメイン機能レベルおよび最新のフォレスト機能レベルは、ドメイン コントローラーのグループとしての動作のみに影響を及ぼします。ドメインまたはフォレストと対話的な処理を行うクライアントには影響を及ぼしません。また、ドメイン機能レベルまたはフォレスト機能レベルへの変更はアプリケーションに影響を及ぼしません。ただし、アプリケーションでは最新のドメイン機能および最新のフォレスト機能の利点を活用できます。 詳細については、さまざまな機能レベルに関連する機能についての TechNet の資料
(http://technet.microsoft.com/ja-jp/library/cc771294.aspx)
を参照してください。機能レベルを上げる注意: 機能レベルに指定されているバージョンより前のバージョンのドメイン コントローラーがドメインにあるか、それが計画されている場合は、機能レベルを上げてはいけません。たとえば、Windows Server 2008 機能レベルでは、ドメインまたはフォレスト内のすべてのドメイン コントローラーで Windows Server 2008 以降のオペレーティング システムがインストールされている必要があります。ドメインの機能レベルを上げると、フォレスト回復処理を使用しなければ以前のレベルに戻すことはできません。多くの場合、機能によってドメイン コントローラー間の通信が変更されたり、データベースの Active Directory データの記憶領域が変更されるため、この制限が適用されています。ドメインおよびフォレストの機能レベルを有効にする最も一般的な方法は、Windows Server 2003 Active Directory の機能レベルに関する TechNet の資料で説明されているグラフィカル ユーザー インターフェイス (GUI) 管理ツール
(http://technet.microsoft.com/ja-jp/library/cc759280(WS.10).aspx)
を使用する方法です。この資料では、Windows Server 2003 について説明します。ただし、より新しいオペレーティング システム バージョンでも手順は同じです。また、機能レベルは手動で、または Windows PowerShell スクリプトを使用して構成できます。機能レベルを手動で構成する方法の詳細については、「機能レベルの表示と設定」を参照してください。
Windows PowerShell スクリプトを使用して機能レベルを構成する方法の詳細については、この方法に関する TechNet の資料
(http://technet.microsoft.com/ja-jp/library/cc730985.aspx)
を参照してください。手動による機能レベルの表示と設定Ldp.exe や Adsiedit.msc などの LDAP (Lightweight Directory Access Protocol) ツールを使用して、現在のドメインおよびフォレストの機能レベルの設定の表示と変更を行うことができます。機能レベルの属性を手動で変更する場合、最適な方法は Microsoft 管理ツールで通常対象とされる Flexible Single Master Operations (FSMO) ドメイン コントローラーで変更を行う方法です。ドメイン機能レベルの設定msDS-Behavior-Version 属性は次の各ドメインのルート名前付けコンテキスト (NC) ヘッドにあります。
混在モードおよびネイティブ モードの設定ntMixedDomain 属性は次の各ドメインのルート名前付けコンテキスト (NC) ヘッドにあります。
フォレスト レベルの設定msDS-Behavior-Version 属性は次の各ドメインのルート名前付けコンテキスト (NC) ヘッドにあります。
Ldp.exe ファイルを使用して現在の設定をすばやく表示する
注: ドメイン コントローラーの機能は、そのドメイン コントローラーに適用可能な最も高い機能レベルを表します。
機能レベルを手動で変更する場合の必要条件
Windows 2000 Server に関連する機能レベルWindows 2000 Server は混在モードとネイティブ モードのみをサポートします。また、これらのモードはドメインの機能のみに適用されます。Windows Server 2003 のドメインのモードは Windows NT 4.0 および Windows 2000 Server ドメインのアップグレードに影響を与えるため、次のセクションでは、Windows Server 2003 のドメインのモードを示しています。ドメイン コントローラーのオペレーティング システム レベルを上げるときには、いくつかの検討事項があります。これらの検討事項は、Windows 2000 Server モードでリンクされている属性の記憶領域およびレプリケーションの制限によるものです。 Windows 2000 Server 混在 (既定)
Windows 2000 Server ネイティブ
Windows Server 2003 中間
Windows Server 2003
中間レベル - Windows NT 4.0 ドメインからのアップグレードWindows Server 2003 の Active Directory では、Windows Server 2003 中間という名前の特殊なフォレストとドメインの機能レベルを使用できます。この機能レベルは、既存の Windows NT 4.0 ドメインをアップグレードした後にも、1 つまたは複数の Windows NT 4.0 バックアップ ドメイン コントローラー (BDC) を機能させる必要がある場合のために用意されています。このモードでは Windows 2000 Server ドメイン コントローラーはサポートされていません。Windows Server 2003 中間は、以下の状況に適しています。
フォレストの機能レベルを Windows Server 2003 中間に設定するWindows Server 2003 中間をアクティブにするには、3 種類の方法がありますが、最初の 2 つの方法を使用することを強くお勧めします。これは、Windows NT 4.0 ドメインのプライマリ ドメイン コントローラー (PDC) を Windows Server 2003 ドメイン コントローラーにアップグレードした後、セキュリティ グループではリンク値レプリケーション (LVR) が使用されるためです。3 番目の方法では、セキュリティ グループのメンバーシップで複数の値を持つ単一の属性が使用されることにより、レプリケーションの問題が発生する可能性があるため、次善の方法として使用してください。Windows Server 2003 中間をアクティブにする方法を以下に示します。
最適な方法ここでは、機能レベルを上げる場合の最適な方法について説明します。レベルを上げる前に実行する必要のある処理について説明する「準備作業」と、さまざまな状況でレベルを上げる目的と方法について説明する「機能レベルを最適に設定する」の 2 つの部分に分けて説明します。Windows NT 4.0 ドメイン コントローラーを検出するには、次の手順を実行します。
注: Windows Server 2000 のドメイン コントローラーとは異なり、Windows NT 4.0 のドメイン コントローラーが存在するためにレベルを上げられないということはありません。ドメインの機能レベルを変更すると、Windows NT 4.0 ドメイン コントローラーへのレプリケーションは停止します。 ただし、Windows Server 2000 混在レベルのドメインが存在するフォレストを Windows Server 2003 フォレスト レベルに上げようとした場合はブロックされます。Windows Server 2000 ネイティブ以降のレベルですべてのドメインのフォレスト レベルの条件を満たしている場合、Windows NT 4.0 BDC は存在しないと考えられます。 例: レベルを上げる前の準備作業この例では、Windows Server 2000 混在モードから Windows Server 2003 フォレスト モードに環境を上げます。フォレスト内で、以前のバージョンのドメイン コントローラーの一覧を作成します。 正確なサーバー一覧を入手できない場合は、次の手順を実行します。
216498
(http://support.microsoft.com/kb/216498/
)
ドメイン コントローラーの降格に失敗した後、Active Directory のデータを削除する方法フォレスト内でエンド間のレプリケーションが動作していることを確認する確認するには、Windows Server 2000 または Windows Server 2003 のドメイン コントローラーに対して、Windows Server 2003 以降のバージョンの Repadmin を使用します。
次のいずれかの手順を実行して、万一の際に元に戻すための方法を準備しておきます。
注: いったん上げたレベルを正式に元に戻す方法はありません。つまり、レベルを上げた状態でレプリケートされたすべてのドメイン コントローラーを非コミッションにする必要があります。 以前のドメイン コントローラーをすべて非コミッションにした後で、接続を解除しておいたドメイン コントローラーを再度接続するか、バックアップからドメイン コントローラーを復元します。その他のすべてのドメイン コントローラーからメタデータを削除してから、それらを再び昇格します。この処理は難しいため、避ける必要があります。 例: Windows Server 2000 混在レベルから Windows Server 2003 フォレスト レベルに移行する方法すべてのドメインを Windows Server 2000 ネイティブ レベルに上げます。この処理が完了したら、フォレスト ルート ドメインの機能レベルを Windows Server 2003 フォレスト レベルに上げます。フォレスト内の各ドメインの PDC にフォレスト レベルがレプリケートされたら、ドメイン レベルが自動的に Windows Server 2003 ドメイン レベルになります。この方法には以下の利点があります。
Windows NT 4.0 のアップグレードWindows NT 4.0 のアップグレードでは、Windows Server 2000 ドメイン コントローラーが PDC のアップグレード対象のフォレストに導入されていない限り、PDC のアップグレード中は常に中間レベルを使用します。PDC のアップグレード中に中間モードを使用すると、既存の大規模グループで直ちに LVR レプリケーションが使用され、この資料で前述したレプリケーションの問題が発生しないようになります。アップグレード中に中間レベルを選択するには次のいずれかの方法を使用します。
Windows NT 4.0 で大規模グループを使用する場合の特別な注意事項大規模な Windows NT 4.0 ドメインでは、メンバー数が 5,000 を大幅に上回るセキュリティ グループが存在する場合があります。Windows NT 4.0 では、セキュリティ グループのメンバーが変更されると、メンバーシップの単独の変更がバックアップ ドメイン コントローラーにレプリケートされます。Windows Server 2000 では、グループ メンバーシップはグループ オブジェクトの単一の複数値属性に格納されるリンクされた属性です。グループのメンバーシップに対して単一の変更が行われると、グループ全体を 1 つの単位としてレプリケートが行われます。グループ メンバーシップが 1 つの単位としてレプリケートされるため、異なるドメイン コントローラーで異なるメンバーが同時に追加または削除されると、グループ メンバーシップの更新内容が失われる可能性があります。また、この単一のオブジェクトのサイズが、データベースへのエントリのコミットに使用されるバッファーのサイズを超える場合もあります。詳細については、この資料の「大規模グループでのバージョン ストアの問題」を参照してください。このような理由により、推奨されるグループ メンバーの上限値は 5,000 です。メンバー数の上限を 5,000 とする規則の例外はプライマリ グループ (既定では "Domain Users" グループ) です。プライマリ グループでは、ユーザーのプライマリ グループ ID に基づいて計算されたメカニズムを使用してメンバーシップが確認されます。プライマリ グループでは、メンバーは複数値のリンクされた属性として保存されません。ユーザーのプライマリ グループをカスタム グループに変更すると、Domain Users グループのメンバーシップがそのグループのリンクされた属性に書き込まれ、計算は行われません。新しいプライマリ グループ Rid がプライマリ グループ ID に書き込まれ、ユーザーはそのグループのメンバー属性から削除されます。 管理者がドメインのアップグレード用に中間レベルを選択しない場合、アップグレード前に以下の手順を実行する必要があります。
大規模グループでのバージョン ストアの問題Active Directory では、1 つのサイズの大きな属性に対する深い検索やコミット処理のように時間のかかる操作が実行されるとき、その操作が完了するまで、データベースが必ず静的な状態に保持されます。サイズの大きな属性に対して深い検索やコミット処理が実行される場合の例として、レガシ記憶域を使用する大規模グループが存在する場合が挙げられます。データベースの更新は、ローカルで、またレプリケーション パートナーにおいて、継続的に発生します。そのため Active Directory では、時間のかかる操作が完了するまで、受信した変更をすべてキューに入れる方法により静的な状態が保たれます。その操作が完了すると、キューに入れられていた変更が直ちにデータベースに適用されます。 このようにしてキューに入れられた変更の格納場所は "バージョン ストア" と呼ばれており、容量は約 100 MB です。バージョン ストアのサイズは可変で、物理メモリを基準としています。バージョン ストアがすべて消費されても時間のかかる操作が完了しなかった場合、ドメイン コントローラーは、その時間のかかる操作とキューに入れられている変更がコミットされるまで、更新の受け入れを停止します。メンバー数が膨大になり 5,000 を超えたグループがある場合、その大規模グループのコミット処理が行われている間は、ドメイン コントローラーでバージョン ストアがすべて消費された状態になるおそれがあります。 Windows Server 2003 では、リンクされた複数の値を持つ属性を対象として、リンク値レプリケーション (LVR) と呼ばれる新しいレプリケーション メカニズムが導入されています。LVR では、ここで説明した問題に対処するため、グループ全体を単一のレプリケーション操作でレプリケートするのではなく、グループの各メンバーをそれぞれ別のレプリケーション操作でレプリケートします。LVR は、フォレストの機能レベルを Windows Server 2003 中間フォレスト レベルまたは Windows Server 2003 フォレスト レベルに上げた場合に使用可能になります。これらの機能レベルでは、Windows Server 2003 ドメイン コントローラー間でのグループのレプリケーションに LVR が使用されます。 プロパティ文書番号: 322692 - 最終更新日: 2010年5月14日 - リビジョン: 16.0 この資料は以下の製品について記述したものです。
"Microsoft Knowledge Baseに含まれている情報は、いかなる保証もない現状ベースで提供されるものです。Microsoft Corporation及びその関連会社は、市場性および特定の目的への適合性を含めて、明示的にも黙示的にも、一切の保証をいたしません。さらに、Microsoft Corporation及びその関連会社は、本文書に含まれている情報の使用及び使用結果につき、正確性、真実性等、いかなる表明・保証も行ないません。Microsoft Corporation、その関連会社及びこれらの権限ある代理人による口頭または書面による一切の情報提供またはアドバイスは、保証を意味するものではなく、かつ上記免責条項の範囲を狭めるものではありません。Microsoft Corporation、その関連会社 及びこれらの者の供給者は、直接的、間接的、偶発的、結果的損害、逸失利益、懲罰的損害、または特別損害を含む全ての損害に対して、状況のいかんを問わず一切責任を負いません。（Microsoft Corporation、その関連会社 またはこれらの者の供給者がかかる損害の発生可能性を了知している場合を含みます。) 結果的損害または偶発的損害に対する責任の免除または制限を認めていない地域においては、上記制限が適用されない場合があります。なお、本文書においては、文書の体裁上の都合により製品名の表記において商標登録表示、その他の商標表示を省略している場合がありますので、予めご了解ください。" | サポート技術情報の翻訳
 |
先頭へ戻る
