【Windows Server 2019】ドメインコントローラー 追加と降格

2022.01.16

既存の Windows Server 2019 の Active Directory ドメインに、2台目のドメインコントローラ（DC）を追加し、そのあと降格して取り外すまでの手順を確認します。DC を 2台にしておくと、1台が止まってもログオンや名前解決を続けられます。

この記事でわかること
  1. 追加するサーバの DNS を既存の DC に向け、ドメインに参加させる
  2. AD DS の役割を追加し、既存のドメインに DC として昇格させる
  3. 追加した DC を降格し、ドメインから DC を外す

検証の構成

既存のドメインは hirotanoblog.local で、DC 1号機の AD-1 が動いています。ここに、DC 2号機として AD-2（Windows Server 2019）を追加します。1台目の DC の構築手順は 【Windows Server 2019】Active Directoryのインストール手順 で紹介しています。

ドメイン：hirotanoblog.local 追加する DC 172.16.1.0/24 AD-1（既存の DC） 172.16.1.4 DNS：127.0.0.1 AD-2 172.16.1.5 DNS：172.16.1.4 AD-2 は、AD-1 を DNS サーバーとして参照する
図1　検証の構成
項目AD-1（既存の DC）AD-2（追加する DC）
ホスト名AD-1AD-2
IP アドレス172.16.1.4/24172.16.1.5/24
DNS サーバー127.0.0.1（自分自身）172.16.1.4（AD-1）
OSWindows Server 2019Windows Server 2019

作業は大きく、ドメインへの参加、AD DS の役割の追加、DC への昇格の順に進めます。降格は、その逆の流れです。

追加 ① ドメイン参加メンバーサーバになる② 役割の追加AD DS をインストール③ 昇格DC になる 降格 ④ 降格メンバーサーバに戻る⑤ 役割の削除再起動してから実行
図2　DC の追加と降格の流れ
Windows Server 2019 のサポート

この記事は Windows Server 2019 で検証した内容です。Windows Server 2019 は 2024年1月9日にメインストリーム サポートが終了し、延長サポートは 2029年1月9日までです。これから DC を追加する場合は、新しいバージョンの Windows Server も検討してください。

ドメインコントローラの追加

IP アドレスと DNS を設定する

追加するサーバのホスト名を AD-2 にし、IP アドレスと DNS サーバーを設定します。DNS サーバーには、既存の DC である AD-1（172.16.1.4）を指定します。ドメインへの参加や DC の昇格では、DNS でドメインや DC を探すので、ドメインの DNS ゾーンを持つ DNS サーバーを指定しておく必要があります。

画面イメージについて

この記事の画面は、実際の画面ではなく、検証時の画面から設定する項目（見るポイント）を抜き出して描いたイメージです。バージョンによって、項目の並びや表記は変わります。

インターネット プロトコル バージョン 4 (TCP/IPv4) のプロパティ（AD-2）画面イメージ
IP 設定○ IP アドレスを自動的に取得する◉ 次の IP アドレスを使う
1IP アドレス172 . 16 . 1 . 5
サブネット マスク255 . 255 . 255 . 0
デフォルト ゲートウェイ172 . 16 . 1 . 1
DNS 設定◉ 次の DNS サーバーのアドレスを使う
2優先 DNS サーバー172 . 16 . 1 . 4
代替 DNS サーバー 
図3　AD-2 の IP アドレスと DNS の設定（実際の画面ではなく、設定項目のポイントを示したイメージです）
No.項目設定内容
1IP アドレスなどAD-2 の固定 IP アドレス（172.16.1.5/24）とデフォルト ゲートウェイ
2優先 DNS サーバー既存の DC（AD-1）の 172.16.1.4

AD-1 の名前を解決でき、通信できることを確認します。ここでは ping で AD-1 の FQDN を指定し、172.16.1.4 に名前解決されて応答が返ることを確かめました。

コマンド プロンプト（AD-2）画面イメージ
C:\Users\（伏せています）>ping ad-1.hirotanoblog.local 1ad-1.hirotanoblog.local [172.16.1.4]に ping を送信しています 32 バイトのデータ:172.16.1.4 からの応答: バイト数 =32 時間 =1ms TTL=128172.16.1.4 からの応答: バイト数 =32 時間 =3ms TTL=128172.16.1.4 からの応答: バイト数 =32 時間 =2ms TTL=128172.16.1.4 からの応答: バイト数 =32 時間 =2ms TTL=128 172.16.1.4 の ping 統計:2    パケット数: 送信 = 4、受信 = 4、損失 = 0 (0% の損失)、ラウンド トリップの概算時間 (ミリ秒):    最小 = 1ms、最大 = 3ms、平均 = 2ms
図4　AD-1 への名前解決と疎通の確認（実際の画面ではなく、表示内容のポイントを示したイメージです）
No.表示意味
1ad-1.hirotanoblog.local [172.16.1.4]AD-1 の FQDN が、DNS で 172.16.1.4 に名前解決できている
2損失 = 0 (0% の損失)4回とも応答があり、AD-1 と通信できている

メンバーサーバとしてドメインに参加する

AD-2 を、ドメインのメンバーサーバにします。サーバー マネージャー ›› ローカル サーバー を開き、ワークグループの「WORKGROUP」をクリックします。

サーバー マネージャー（ローカル サーバー のプロパティ）画面イメージ
コンピューター名AD-2
1ワークグループWORKGROUP
⋮　（中略）
イーサネット172.16.1.5
図5　ローカル サーバーのプロパティ（実際の画面ではなく、操作のポイントを示したイメージです）
No.項目操作
1ワークグループ「WORKGROUP」をクリックして、システムのプロパティを開く

システムのプロパティで「変更」をクリックします。所属するグループで「ドメイン」を選び、ドメイン名に hirotanoblog.local を入力して「OK」をクリックします。

コンピューター名/ドメイン名の変更画面イメージ
コンピューター名(C)AD-2
フル コンピューター名AD-2
1所属するグループ◉ ドメイン(D)hirotanoblog.local
 ○ ワークグループ(W)　WORKGROUP
2OKキャンセル
図6　ドメインへの参加（実際の画面ではなく、設定項目のポイントを示したイメージです）
No.項目設定内容
1所属するグループ「ドメイン」を選び、hirotanoblog.local を入力する
2OKドメインへの参加を始める

ドメインに参加する権限のあるアカウント（ここではドメイン管理者。アカウント名は伏せています）の名前とパスワードを入力します。「hirotanoblog.local ドメインへようこそ。」と表示されたら「OK」をクリックし、続く「これらの変更を適用するには、お使いのコンピューターを再起動する必要があります」も「OK」で閉じます。

システムのプロパティに戻ると、ドメインの表示が hirotanoblog.local に変わっています。「閉じる」をクリックし、「今すぐ再起動する」を選びます。

システムのプロパティ画面イメージ
コンピューター名 ／ ハードウェア ／ 詳細設定 ／ リモート
フル コンピューター名AD-2.hirotanoblog.local
1ドメインhirotanoblog.local
⚠ 変更はコンピューターの再起動後に有効になります。
2閉じるキャンセル適用(A)
図7　ドメインに参加したあとのシステムのプロパティ（実際の画面ではなく、表示のポイントを示したイメージです）
No.表示意味
1ドメイン：hirotanoblog.localドメインに参加した（再起動後に有効になる）
2閉じる閉じたあと「今すぐ再起動する」を選ぶ

再起動後、ドメイン管理者でサインインし、サーバー マネージャー ›› ローカル サーバー で、ワークグループだった欄が「ドメイン：hirotanoblog.local」に変わっていることを確認します。

AD DS の役割を追加する

サーバー マネージャー ›› ダッシュボード ›› 役割と機能の追加 をクリックし、ウィザードを次のように進めます。

ページ操作
開始する前に「次へ」
インストールの種類「役割ベースまたは機能ベースのインストール」を選んで「次へ」
サーバーの選択対象が AD-2 になっていることを確認して「次へ」
サーバーの役割「Active Directory ドメイン サービス」にチェックを入れ、表示される画面で「機能の追加」。チェックが入ったことを確認して「次へ」
機能何もチェックせずに「次へ」
AD DS「次へ」
確認「インストール」
結果「インストールが正常に完了しました」を確認して「閉じる」
役割と機能の追加ウィザード画面イメージ
開始する前に ›› インストールの種類 ›› サーバーの選択 ›› サーバーの役割　（対象サーバー：AD-2）
⋮
1役割☑ Active Directory ドメイン サービス
⋮
Active Directory ドメイン サービス に必要な機能を追加しますか?
2一緒に追加される機能[ツール] グループ ポリシーの管理
リモート サーバー管理ツール ›› 役割管理ツール ›› AD DS および AD LDS ツール
　Windows PowerShell の Active Directory モジュール
　AD DS ツール：[ツール] Active Directory 管理センター、[ツール] AD DS スナップインおよびコマンドライン ツール
管理ツールを含める☑ 管理ツールを含める (存在する場合)
3機能の追加キャンセル
図8　AD DS の役割と、一緒に追加される機能（実際の画面ではなく、設定項目のポイントを示したイメージです）
No.項目設定内容
1役割「Active Directory ドメイン サービス」にチェックを入れる
2一緒に追加される機能グループ ポリシーの管理や AD DS の管理ツールも一緒にインストールされる
3機能の追加必要な機能を追加する

この時点では、AD DS のプログラムがインストールされただけで、AD-2 はまだ DC ではありません。次の手順で、DC に昇格させます。

ドメインコントローラに昇格する

サーバー マネージャーの右上にある旗のアイコン（注意マーク付き）をクリックし、「このサーバーをドメイン コントローラーに昇格する」をクリックします。

サーバー マネージャー（通知）画面イメージ
1 展開後構成AD-2 で Active Directory ドメイン サービス の構成が必要です
このサーバーをドメイン コントローラーに昇格する
機能のインストール構成が必要です。AD-2 でインストールが正常に完了しました。
図9　展開後構成の通知（実際の画面ではなく、操作のポイントを示したイメージです）
No.表示操作
1展開後構成（注意マーク）「このサーバーをドメイン コントローラーに昇格する」をクリックする

Active Directory ドメイン サービス構成ウィザードが開きます。「既存のドメインにドメイン コントローラーを追加する」が選ばれ、ドメインに hirotanoblog.local が入っていることを確認します。資格情報が AD-2 のローカルのアカウントになっている場合は「変更」をクリックし、ドメイン管理者のアカウントを入力します。

Active Directory ドメイン サービス構成ウィザード画面イメージ
配置構成 ›› ドメイン コントローラー オプション ›› … ›› 前提条件のチェック
1配置操作◉ 既存のドメインにドメイン コントローラーを追加する
○ 新しいドメインを既存のフォレストに追加する
○ 新しいフォレストを追加する
ドメイン(O)hirotanoblog.local
2資格情報変更前：AD-2\（伏せています） (現在のユーザー)
変更後：HIROTANOBLOG\（伏せています）　変更(C)…
< 前へ3次へ(N) >インストールキャンセル
図10　配置構成（実際の画面ではなく、設定項目のポイントを示したイメージです）
No.項目設定内容
1配置操作とドメイン「既存のドメインにドメイン コントローラーを追加する」、ドメインは hirotanoblog.local
2資格情報「変更」でドメイン管理者（HIROTANOBLOG\…）に切り替える。追加の DC の昇格には Domain Admins の権限が必要
3次へ次のページに進む

ドメイン コントローラー オプションでは、「ドメイン ネーム システム (DNS) サーバー」と「グローバル カタログ (GC)」にチェックが入っていることを確認します。ディレクトリ サービス復元モード（DSRM）のパスワードを入力して「次へ」をクリックします。

Active Directory ドメイン サービス構成ウィザード画面イメージ
配置構成 ›› ドメイン コントローラー オプション
1ドメイン コントローラーの機能☑ ドメイン ネーム システム (DNS) サーバー
☑ グローバル カタログ (GC)
☐ 読み取り専用ドメイン コントローラー (RODC)
サイト名Default-First-Site-Name
2DSRM のパスワード●●●●●●●●
●●●●●●●●（確認入力）
< 前へ3次へ(N) >キャンセル
図11　ドメイン コントローラー オプション（実際の画面ではなく、設定項目のポイントを示したイメージです）
No.項目設定内容
1ドメイン コントローラーの機能DNS サーバーと GC にチェック（既定）。AD-2 も DNS サーバーとグローバル カタログになる。RODC は使わない
2DSRM のパスワードDC をディレクトリ サービス復元モードで起動したときに使う、ローカルの Administrator のパスワード。ドメインのパスワードとは別なので、記録して保管しておく
3次へ次のページに進む

残りのページは、次のように進めます。

ページ表示と操作
DNS オプション「権限のある親ゾーンが見つからないか、Windows DNS サーバーが実行されていないため、この DNS サーバーの委任を作成できません」という警告が出る。hirotanoblog.local には委任を作る親ゾーンがないので、そのまま「次へ」
追加オプションレプリケート元が「任意のドメイン コントローラー」になっていることを確認して「次へ」。複製元の DC を決めたい場合は、ここで選ぶ
パスデータベースとログ ファイルは C:\Windows\NTDS、SYSVOL は C:\Windows\SYSVOL。変更せずに「次へ」
オプションの確認内容を確認して「次へ」
前提条件のチェック「すべての前提条件のチェックに合格しました」を確認して「インストール」
Active Directory ドメイン サービス構成ウィザード画面イメージ
… ›› オプションの確認 ›› 前提条件のチェック
1 チェック結果すべての前提条件のチェックに合格しました。[インストール] をクリックしてインストールを開始してください。
警告Windows Server 2019 ドメイン コントローラーには、セキュリティ設定 “Windows NT 4.0 と互換性のある暗号化アルゴリズムを許可する” の既定値が設定されています。…
警告権限のある親ゾーンが見つからないか、Windows DNS サーバーが実行されていないため、この DNS サーバーの委任を作成できません。…
2 再起動[インストール] をクリックすると、昇格処理の最後にサーバーが自動的に再起動されます。
< 前へ3インストール(I)キャンセル
図12　前提条件のチェック（実際の画面ではなく、表示のポイントを示したイメージです）
No.表示意味
1緑のチェック：合格昇格に必要な条件がそろっている。黄色の警告は、既定の暗号化設定と DNS 委任についての案内で、今回の構成では対応は不要
2自動的に再起動昇格が終わると、サーバーは自動で再起動する
3インストール昇格を始める

インストールが始まり、完了すると AD-2 は自動的に再起動します。

追加した DC を確認する

再起動後、ドメイン管理者でサインインします。サーバー マネージャー ›› ツール ›› Active Directory ユーザーとコンピューター を開き、Domain Controllers に AD-2 が追加されていることを確認します。

Active Directory ユーザーとコンピューター画面イメージ
hirotanoblog.local ›› Domain Controllers
名前種類DC の種類サイト
AD-1コンピューターGCDefault-First-Site-Name
1AD-2コンピューターGCDefault-First-Site-Name
図13　Domain Controllers に追加された AD-2（実際の画面ではなく、表示のポイントを示したイメージです）
No.表示意味
1AD-2（DC の種類：GC）AD-2 が、グローバル カタログを持つ DC として追加された

AD-2 で ipconfig /all を実行すると、DNS サーバーに 172.16.1.4（AD-1）に加えて、自分自身を表す 127.0.0.1 が追加されています。昇格のときに、AD-2 に DNS サーバーの役割が入ったためです。

コマンド プロンプト（AD-2）画面イメージ
C:\Users\（伏せています）.HIROTANOBLOG>ipconfig /allホスト名 : AD-2プライマリ DNS サフィックス : hirotanoblog.local（中略）イーサネット アダプター イーサネット:   物理アドレス : （伏せています）   IPv4 アドレス : 172.16.1.5(優先)   サブネット マスク : 255.255.255.0   デフォルト ゲートウェイ : 172.16.1.11   DNS サーバー : 172.16.1.42   DNS サーバー : 127.0.0.1
図14　昇格後の AD-2 の DNS サーバー（実際の画面ではなく、表示内容から必要な行を抜き出したイメージです）
No.表示意味
1172.16.1.4優先 DNS サーバーは、STEP 1 で設定した AD-1 のまま
2127.0.0.1代替 DNS サーバーとして、自分自身（AD-2 の DNS サーバー）が追加された
DC の DNS の向け先

Microsoft は、DC が自分自身（127.0.0.1）だけを DNS サーバーにすることを、DC が複数ある環境では勧めていません。その DNS サーバーが単一障害点になるためです。今回のように、優先 DNS をほかの DC、代替 DNS を自分自身にする構成なら、どちらかの DNS が止まっても名前解決を続けられます。

ドメインコントローラの降格

追加した AD-2 を、DC からメンバーサーバに戻します（降格）。降格すると、AD-2 が持っていた DNS サーバーやグローバル カタログの役割もなくなるので、ほかの DC（ここでは AD-1）がこれらの役割を持っていることを先に確認しておきます。

降格の前に確認すること
  • 降格する DC を DNS サーバーに指定しているクライアントやサーバーがあれば、ほかの DNS サーバーに向け直しておく。
  • 降格する DC が操作マスター（FSMO）の役割を持っている場合は、ほかの DC に移しておく。移し方は 【Active Directory】 操作マスター（FSMO）の移動と動作確認 で紹介しています。

役割と機能の削除から降格を始める

サーバー マネージャー ›› ダッシュボード ›› 役割と機能の削除 をクリックします。「開始する前に」で「次へ」、サーバーの選択で対象が AD-2 になっていることを確認して「次へ」をクリックします。

サーバーの役割で「Active Directory ドメイン サービス」のチェックを外し、表示される画面で「機能の削除」をクリックします。DC のままでは役割を削除できないので、次の検証結果が表示されます。「このドメイン コントローラーを降格する」をクリックします。

役割と機能の削除ウィザード（検証結果）画面イメージ
機能を削除しようとしているサーバーで問題が検出されました。選択した機能は、選択したサーバーから削除できません。
検証結果サーバー
AD-2.hirotanoblog.local
Active Directory ドメイン コントローラーは、AD DS の役割を削除する前に降格する必要があります。
1このドメイン コントローラーを降格する
OK
図15　役割を削除する前に降格が必要（実際の画面ではなく、表示のポイントを示したイメージです）
No.表示操作
1赤のバツ：削除できない「このドメイン コントローラーを降格する」をクリックして、構成ウィザードを開く

構成ウィザードで降格する

Active Directory ドメイン サービス構成ウィザードが、降格の画面で開きます。資格情報がドメイン管理者になっていることを確認して「次へ」をクリックします。「このドメイン コントローラーの削除を強制」は、ほかの DC と通信できないときだけ使うものなので、チェックしません。

Active Directory ドメイン サービス構成ウィザード画面イメージ
資格情報 ›› 警告 ›› 新しい Administrator パスワード ›› オプションの確認 ›› 降格
1資格情報HIROTANOBLOG\（伏せています） (現在のユーザー)
2強制削除☐ このドメイン コントローラーの削除を強制(F)
⚠ 降格操作後に、サーバーは自動的に再起動されます。再起動したら、役割の削除を実行する必要があります。
3次へ(N) >降格(D)キャンセル
図16　降格の資格情報（実際の画面ではなく、設定項目のポイントを示したイメージです）
No.項目設定内容
1資格情報ドメイン管理者。追加の DC の降格には Domain Admins の権限が必要
2強制削除チェックしない。強制で降格すると、ほかの DC に AD-2 の情報（メタデータ）が残る
3次へ次のページに進む

続くページは、次のように進めます。

ページ表示と操作
警告「ドメイン コントローラーは、現在、次の役割をホストしています：ドメイン ネーム システム (DNS) サーバー、グローバル カタログ」と表示される。これらの役割が AD-2 からなくなることを確認し、「削除の続行」にチェックを入れて「次へ」
新しい Administrator パスワード降格後にローカルでサインインするための、ローカルの Administrator のパスワードを入力して「次へ」
オプションの確認内容を確認して「降格」

降格の処理が始まり、完了すると AD-2 は自動的に再起動します。

降格を確認し、役割を削除する

AD-1 で サーバー マネージャー ›› ツール ›› Active Directory ユーザーとコンピューター を開き、Domain Controllers から AD-2 がなくなっていることを確認します。

Active Directory ユーザーとコンピューター画面イメージ
hirotanoblog.local ›› Domain Controllers
名前種類DC の種類サイト
1AD-1コンピューターGCDefault-First-Site-Name
図17　降格後の Domain Controllers（実際の画面ではなく、表示のポイントを示したイメージです）
No.表示意味
1AD-1 だけAD-2 は DC ではなくなった

降格しただけでは、AD-2 に AD DS の役割（プログラム）が残っています。再起動後に、もう一度 役割と機能の削除 で「Active Directory ドメイン サービス」のチェックを外すと、役割を削除できます。AD-2 は、ドメインのメンバーサーバとして残ります。

まとめ

作業操作ポイント
事前準備固定 IP と DNS を設定するDNS は既存の DC に向ける。ping で名前解決と疎通を確認
ドメイン参加システムのプロパティ ›› 変更参加したら再起動する
役割の追加役割と機能の追加AD DS を入れただけでは DC にならない
昇格このサーバーをドメイン コントローラーに昇格する「既存のドメインにドメイン コントローラーを追加する」、DNS と GC、DSRM のパスワード
降格役割と機能の削除 ›› このドメイン コントローラーを降格するDNS・GC・FSMO をほかの DC が持っていることを先に確認。強制削除は使わない
役割の削除再起動後に役割と機能の削除降格だけでは AD DS の役割は残る

関連記事：【Windows Server 2019】Active Directoryのインストール手順／【Active Directory】 操作マスター（FSMO）の移動と動作確認／【Active Directory】グループポリシーの構成・適用・更新

コメント