Windows Server 2016／2019 の DC を 2025 へ移行：インプレースか新規追加か

Windows Server 2025 の新規 DC を追加し、複製確認、FSMO 移行、旧 DC 降格を行う並行移行を基本とします。

1. 結論と対象範囲

ドメインコントローラーはアカウントだけでなく、DNS、Kerberos、GPO、SYSVOL、時刻、業務認証を提供します。新規追加方式は旧 DC を切戻し用に残し、廃止前に複製とクライアント動作を確認できるため、通常はインプレースより管理しやすい方法です。

Active Directory、DNS、GPO、認証、DC 健全性に関係します。変更前に複製、バックアップ、影響範囲を確認します。

2. 優先して確認するリスク兆候

• 既存 DC が DHCP、ファイル、証明書、外部アプリも兼務し、役割境界が不明確である。
• AD 複製、DNS、SYSVOL、イベントログに未解決エラーがある。

3. 変更前の確認項目

1. dcdiag、repadmin、DNS、SYSVOL を確認し、既存 AD の障害を先に修正します。
2. フォレスト／ドメイン機能レベル、DFSR、FSMO、サイト、サブネット、時刻源、システム状態バックアップを確認します。
3. 旧 DC の IP、LDAP、DNS、NTP を固定設定した業務システムを特定します。
4. Windows Server 2025 の既定セキュリティが旧 SMB、LDAP、TLS、管理ツールへ与える影響を確認します。

dcdiag /e /v
repadmin /replsummary
repadmin /showrepl * /csv
netdom query fsmo

4. 推奨実施手順

1. 固定 IP の新サーバーをドメイン参加させ、AD DS と DNS を導入して追加 DC に昇格します。
2. AD、DNS、SYSVOL の完全複製を確認してから DNS 優先順とサイト設定を変更します。
3. FSMO を移行し、PDC の時刻源を設定し、ログオン、GPO、業務認証、イベントを観察します。
4. 依存がなくなった後に旧 DC を降格し、DNS、サイト、DHCP、監視の記録を整理します。

5. 検証、切戻し、よくある誤り

• repadmin /replsummary に継続エラーがなく、重要 dcdiag 試験が成功します。
• SYSVOL、NETLOGON、DNS ゾーン、GPO、パスワード変更が DC 間で同期します。
• 端末再起動後、新 DNS／DC を使ってログオンと業務認証が成功します。

よくある誤り

• 複製障害を残したまま移行する。
• FSMO と依存を移す前に旧 DC を停止して試験する。
• 仮想 DC のディスク複製で新 DC を作る。

公式資料

• Microsoft： What is new in Windows Server 2025

よくある質問

インプレース更新は非対応ですか。

対応経路があっても、切戻し、検証、役割整理は新規追加方式の方が管理しやすい傾向があります。

新旧 DC は同時運用できますか。

できます。並行期間は複製、DNS、認証、業務依存を確認する重要な工程です。