ドメインコントローラーを Windows Server 2025 に移行する方法（手順ガイド）

Active DirectoryLicenceHouse
How to migrate a domain controller to Windows Server 2025, step-by-step guide by LicenceHouse

ドメインコントローラーを Windows Server 2025 に移行する方法（手順ガイド）

ドメインコントローラー（DC）の移行とは、既存の DC と並行して新しい Windows Server 2025 の DC を構築し、Active Directory をレプリケートし、5つの FSMO の役割を転送したうえで、旧サーバーを降格することです。この順序で行えば、ドメインのダウンタイムもディレクトリの再構築もなく移行を完了できます。

本ガイドでは、移行失敗の大半を防ぐ正常性チェック、新しい DC の昇格、PowerShell と GUI による FSMO の役割の転送、DNS と DHCP の更新、旧サーバーの安全な降格、そして Windows Server 2025 の機能を有効にする機能レベルの引き上げまで、全工程を解説します。

🔑 新しいサーバーのライセンスが必要ですか？ LicenceHouse で Windows Server 2025 Standard の正規プロダクトキーを購入できます。メールで即納、永続ライセンスです。

ドメインコントローラーの移行では実際に何を行うのか

ドメインコントローラーの移行は、インプレースアップグレードではなく並行（サイドバイサイド）で行う作業です。既存のドメインに新しいサーバーを追加し、ドメインコントローラーに昇格させて Active Directory をレプリケートし、FSMO の役割を移し、DNS の参照先を切り替えてから、旧 DC を降格します。その間、ドメインはオンラインのままです。

以前の移行を経験した管理者がよく驚く点が2つあります。第一に、adprep /forestprep と /domainprep を個別に手動で実行する必要はもうありません。サーバーマネージャーから最初の Windows Server 2025 DC を昇格させると、スキーマの準備が自動的に実行されます（アカウントが Schema Admins と Enterprise Admins のメンバーであることが条件）。

第二に、本番環境の DC の OS をインプレースでアップグレードすることは技術的には可能ですが、推奨される方法ではありません。クリーンなサーバーとレプリケーションを使う方法なら、正常な状態が確認されたディレクトリと簡単なロールバック手段が得られます。降格前に何か問題が起きても、すべてを保持した旧 DC がまだ残っているからです。

移行方法の比較

方法 ダウンタイム ロールバック 最適なケース リスク
並行移行（新 DC + FSMO 転送） ドメインの停止なし 簡単：旧 DC がまだ稼働中 ほぼすべての環境 低
既存 DC の OS をインプレースアップグレード アップグレード中はサーバー停止 バックアップからの復元のみ ハードウェアに制約がある場合、単一サーバーの拠点 中～高
新しいフォレスト + ユーザー / グループの移行（ADMT） 計画的な切り替え 複雑 ドメイン名の変更、企業合併、損傷したディレクトリの整理 高

この後の解説では、Microsoft が推奨し、単一ドメインでも小規模な複数拠点環境でも適している並行移行の方法を取り上げます。

移行を始める前に必要なもの

昇格作業の前に、4つの点を確認します。現在のフォレストとドメインの機能レベルが新しい DC の最低要件を満たしていること、SYSVOL が旧式の FRS ではなく DFSR でレプリケートされていること、Active Directory が正常でレプリケーションエラーがないこと、そして現在の DC の検証済みシステム状態バックアップがあることです。

機能レベルを確認する

Windows Server 2025 のドメインコントローラーを追加するには、フォレストとドメインがすでにサポート対象の機能レベルになっている必要があります。既存の DC で次を実行します：

Get-ADForest | Select-Object ForestMode
Get-ADDomain | Select-Object DomainMode

機能レベルがまだ Windows Server 2008 R2 や 2012 R2 の場合は、2025 の DC を追加する前に少なくとも Windows Server 2016 に引き上げてください。機能レベルの引き上げは一方向で、フォレストを復元しない限り元に戻せません。先に古い DC が残っていないことを確認しましょう。

SYSVOL が FRS ではなく DFSR を使っているか確認する

移行が止まる原因として最も多いのがこのチェックです。ファイルレプリケーションサービス（FRS）は非推奨となり、最新の Windows Server からは削除されています。ドメインがまだ FRS で SYSVOL をレプリケートしている場合、新しい DC はポリシーやスクリプトのファイルを正しくレプリケートできません。

dfsrmig /getglobalstate

結果が「Eliminated」状態であれば問題ありません。「Start」や「Prepared」と表示される場合は、先に FRS から DFSR への移行を完全に終わらせてください。重要な理由は、グループポリシーオブジェクトが SYSVOL に格納されているためです。SYSVOL のレプリケーションが壊れていると、ユーザー認証はできてもポリシーの適用に黙って失敗する DC になり、数週間後になって問題が発覚することがよくあります。

正常性チェックを実行する

dcdiag /v
repadmin /replsummary
repadmin /showrepl

昇格の前に、すべてのエラーと警告を解決してください。既存のレプリケーション障害を抱えたまま移行すると、その障害が新しい DC にも引き継がれます。

バックアップを取る

wbadmin start systemstatebackup -backupTarget:E: -quiet

システム状態バックアップには、Active Directory、SYSVOL、レジストリが含まれます。移行が完全に検証され、旧 DC が正常に降格されるまで保管しておいてください。

新しいサーバーをドメインコントローラーに昇格させるには

Windows Server 2025 をインストールして静的 IP アドレスを割り当て、優先 DNS を既存のドメインコントローラーに向け、メンバーサーバーとしてドメインに参加させます。その後、Active Directory ドメイン サービスの役割を追加し、昇格ウィザードで「既存のドメインにドメインコントローラーを追加する」を選択します。

  1. OS をインストールして更新する。役割を追加する前に、利用可能な更新プログラムをすべて適用します。
  2. 静的 IP を設定する。ドメインコントローラー自身のアドレスに DHCP を使ってはいけません。
  3. 優先 DNS を既存の DC に設定する。新しいサーバーがドメインを見つけるには名前解決が必要です。この設定は昇格後に変更します。
  4. ドメインに参加する。通常のメンバーサーバーとして参加し、再起動します。
  5. AD DS の役割を追加する：サーバーマネージャー → [管理] → [役割と機能の追加] → [Active Directory ドメイン サービス]。既存の DC が DNS もホストしている場合は、DNS サーバーの役割も追加します。
  6. 昇格する：サーバーマネージャーの通知フラグをクリック →「このサーバーをドメイン コントローラーに昇格する」。
  7. [既存のドメインにドメイン コントローラーを追加する] を選択し、Domain Admins 権限のある資格情報を入力します（フォレストで最初の 2025 DC の場合は Schema Admins と Enterprise Admins も必要）。
  8. グローバルカタログ（GC）と DNS サーバーにチェックを入れ、DSRM パスワードを設定して、任意の DC からレプリケートするよう選択します。
  9. 前提条件のチェックを確認して [インストール] をクリックします。サーバーは自動的に再起動します。

移行元が Windows Server 2016、2019、2022 のいずれであっても、昇格の手順は同じです。異なるのは機能レベルの前提条件だけです。

先に進む前にレプリケーションを確認する

レプリケーションが完了するまで待ち、新しい DC が正常でディレクトリのコピーを保持していることを確認します：

dcdiag /v
repadmin /showrepl
Get-ADDomainController -Filter * | Select-Object Name, Site, IsGlobalCatalog

レプリケーションがエラーなしと報告されるまでは、FSMO の役割を転送しないでください。レプリケーションが終わっていない DC に役割を転送することは、移行中にディレクトリを実際に損傷させてしまう数少ない原因の1つです。

FSMO の役割を新しいドメインコントローラーに転送するには

新しい DC 上で、5つの役割番号をすべて指定して Move-ADDirectoryServerOperationMasterRole を1つのコマンドで実行します。5つの FSMO（Flexible Single Master Operations）の役割、すなわちスキーマ マスター、ドメイン名前付けマスター、RID マスター、PDC エミュレーター、インフラストラクチャ マスターは、それぞれ同時に1台の DC しか保持できません。

現在の役割の保持者を確認する

netdom query fsmo

または PowerShell で：

Get-ADForest | Select-Object SchemaMaster, DomainNamingMaster
Get-ADDomain | Select-Object PDCEmulator, RIDMaster, InfrastructureMaster

5つの役割を1つのコマンドで転送する

新しいドメインコントローラーで PowerShell を管理者として開き、次を実行します：

Move-ADDirectoryServerOperationMasterRole -Identity "NewDCName" -OperationMasterRole 0,1,2,3,4

NewDCName は新しいサーバーのホスト名に置き換えてください。番号の対応は次のとおりです：0 = PDC エミュレーター、1 = RID マスター、2 = インフラストラクチャ マスター、3 = スキーマ マスター、4 = ドメイン名前付けマスター。各確認プロンプトに応答するか、-Confirm:$false を付けてすべて承認します。

転送を確認する

netdom query fsmo
Get-ADDomainController -Filter * | Select-Object Name, OperationMasterRoles

5つの役割すべてに新しいサーバー名が表示されていれば完了です。

GUI を使う方法

管理コンソールを使いたい場合、役割は3か所に分かれています。PowerShell の方が速いのはまさにこのためです：

  • RID、PDC、インフラストラクチャ：[Active Directory ユーザーとコンピューター] → ドメインを右クリック → [操作マスター]
  • ドメイン名前付けマスター：[Active Directory ドメインと信頼関係] → ルートを右クリック → [操作マスター]
  • スキーマ マスター：先に regsvr32 schmmgmt.dll でスナップインを登録してから、[Active Directory スキーマ] を開き → 右クリック → [操作マスター]

GUI では、転送先の DC にログオンしている必要があります。コンソールは一覧から選んだサーバーではなく、接続中のサーバーへ役割を転送するためです。

転送と強制取得（シーズ）の重要な違い

転送はオンラインの2台の DC 間での正常な引き継ぎで、計画的な移行ではこちらを使います。強制取得（シーズ）は、現在の保持者が恒久的にオフラインで復旧できない場合に、役割を強制的に割り当てるものです。役割を強制取得した後は、旧保持者を二度とネットワークに戻してはいけません。2台の DC が同じ役割を主張すると、ディレクトリの不整合が起きるためです。強制取得は本当に障害が発生した場合にのみ行ってください。

役割の移動後に更新が必要なもの

新しい DC の DNS を自分自身に向け、DHCP が配布する DNS サーバーを変更し、DC のアドレスをハードコードしているデバイスやアプリケーションを確認します。クライアントは DNS が示す DC で認証を続けるため、切り替えを実際に完了させるのは Active Directory ではなく DNS です。

  1. 新しい DC で：優先 DNS サーバーを自身の IP アドレスに設定し、他に DC があれば代替 DNS をそちらに向けます。
  2. DHCP で：スコープ オプション 006（DNS サーバー）を更新し、新しい DC を登録します。クライアントの大半が移るのはこの変更によってです。
  3. DNS フォワーダーを確認する：旧サーバーから引き継がれたフォワーダーと条件付きフォワーダーを確認します。
  4. 静的な参照を点検する：ファイアウォール、NAS、プリンター、ハイパーバイザー、VPN アプライアンス、業務用サーバーは、DHCP の変更では直らない DC の IP をハードコードしていることがよくあります。
  5. 旧 DC が DHCP を担っていた場合は、降格の前にスコープを新しいサーバーへ移行します。

クライアントからテストします。gpupdate /force を実行し、テストユーザーのパスワードを変更し、名前解決が機能することを確認します。続いて nltest /dsgetdc:yourdomain.local を実行し、クライアントがどの DC を使っているか確認します。

旧ドメインコントローラーを安全に降格するには

サーバーマネージャーから Active Directory ドメイン サービスの役割を削除すると降格ウィザードが起動するので、そこから旧サーバーを降格します。旧 DC の電源を単に切ったり、コンピューター オブジェクトを削除したりしてはいけません。ディレクトリに孤立したメタデータが残り、後で手動クリーンアップが必要になります。

  1. 旧 DC が FSMO の役割を一切保持していないことを確認します（netdom query fsmo）。
  2. まず新しい DC を数日間稼働させ、見落とした依存関係があれば旧サーバーに切り戻せるうちに発見できるようにします。
  3. 旧 DC で：サーバーマネージャー → [管理] → [役割と機能の削除] → [Active Directory ドメイン サービス] のチェックを外します。
  4. 降格ウィザードが起動します。サーバーが本当にドメインと通信できない場合を除き、「このドメイン コントローラーを強制的に削除する」にチェックを入れないでください。
  5. ローカル Administrator のパスワードを設定してウィザードを完了します。サーバーはメンバーサーバーとして再起動します。
  6. 降格後は、ドメインから脱退させるか、完全に廃止します。

残った情報をクリーンアップする

降格後、旧サーバーが [Active Directory サイトとサービス]（サイトを展開 → Servers）から消えていることを確認し、古い DNS レコード（ホスト（A）、ネームサーバー（NS）、_msdcs 配下のサービス（SRV）レコード）を削除します。古い NS レコードは、それ以外は問題なく移行できた後に断続的なログオンの遅延が起きるよくある原因です。クライアントが、もう存在しない DC に定期的に接続しようとするためです。

機能レベルはいつ引き上げるべきか

ドメインとフォレストの機能レベルは、環境内のすべてのドメインコントローラーが Windows Server 2025 で稼働し、旧 DC が降格された後にのみ引き上げてください。Windows Server 2025 の機能レベルでは、32K のデータベース ページ サイズなどの機能が有効になりますが、この変更は元に戻せません。

Set-ADDomainMode -Identity "yourdomain.local" -DomainMode Win2025
Set-ADForestMode -Identity "yourdomain.local" -ForestMode Win2025

実行前に古い DC が残っていないことを確認し、先に最新のシステム状態バックアップを取ってください。将来、拠点に 2019 サーバーを追加するなど、古いバージョンの DC を追加する予定がある場合は、機能レベルの引き上げを保留してください。引き上げると、そのサーバーを昇格できなくなります。

移行時によくある問題と解決方法

症状 考えられる原因 解決方法
昇格ウィザードが前提条件チェックで失敗する 機能レベルが低すぎる、またはアカウントが Schema / Enterprise Admins に所属していない 機能レベルを 2016 以上に引き上げる。アカウントを両方のグループに追加する
新しい DC からグループポリシーが適用されない SYSVOL がまだ FRS、または SYSVOL が共有されていない FRS から DFSR への移行を完了し、dfsrmig /getglobalstate で確認する
クライアントがまだ旧 DC で認証している DNS と DHCP オプション 006 が未更新 DHCP スコープ オプションとクライアントの DNS 設定を更新する
降格後にログオンが遅い、または失敗する 削除した DC の古い DNS レコードが残っている _msdcs 配下の残った A、NS、SRV レコードを削除する
役割の転送前にレプリケーションエラーが出る 既存の AD 障害が移行に持ち込まれた 先に進む前に dcdiag と repadmin のエラーをすべて解決する

よくある質問

ダウンタイムなしでドメインコントローラーを移行できますか？

はい。両方がオンラインの状態で新しい DC が既存の DC から Active Directory をレプリケートするため、移行中もドメインはユーザー認証を続けます。短時間の中断は各サーバーの再起動時のみで、その間は他の DC がカバーします。DC が1台しかない環境では、降格の工程にメンテナンス時間を設けてください。

adprep を手動で実行する必要はありますか？

いいえ。サーバーマネージャーから最初の Windows Server 2025 ドメインコントローラーを昇格させると、フォレストとドメインのスキーマが自動的に準備されます。ただし、昇格を行うアカウントが Schema Admins、Enterprise Admins、Domain Admins に所属している必要があります。スキーマの準備を別の管理された手順として実行したい管理者向けに、手動の adprep も引き続き利用できます。

ドメインコントローラーの移行にはどのくらい時間がかかりますか？

DC が1～2台の単一ドメイン環境では、技術的な作業は通常2～4時間で、その大半はレプリケーションと再起動の待ち時間です。ただし現実的なスケジュールはもう少し長くなります。新しい DC の昇格から旧 DC の降格まで数日間を空け、ロールバックが容易なうちに見落とした依存関係を洗い出してください。

異なるバージョンの Windows Server を同時にドメインコントローラーとして運用できますか？

はい。これこそが移行を安全にしている仕組みです。機能レベルが対応していれば、Windows Server 2025 の DC は 2016、2019、2022 の DC と共存できます。ただし、ドメインは最も古い機能レベルの機能に制限されるため、バージョン混在はあくまで移行期間中の一時的な状態として想定されており、恒久的な構成ではありません。

FSMO の役割を転送する前に旧 DC が故障したらどうなりますか？

その場合は転送ではなく、Move-ADDirectoryServerOperationMasterRole に -Force パラメーターを付けて、新しい DC に役割を強制取得させる必要があります。故障したサーバーは二度とネットワークに参加させてはならず、そのメタデータは ntdsutil でクリーンアップしなければなりません。開始前の検証済みシステム状態バックアップが必須であるのはこのためです。

ドメインコントローラーにはどの Windows Server エディションが必要ですか？

ほとんどの環境では、Active Directory ドメイン サービスには Standard エディションで十分です。Datacenter エディションを選ぶ価値があるのは、同じホストで無制限の仮想マシンのライセンスが必要な場合だけです。AD DS の機能はどちらのエディションでも同じです。

新しいサーバーのライセンス

すべてのドメインコントローラーにはそれぞれ Windows Server のライセンスが必要で、さらに接続するユーザーまたはデバイス分の CAL（クライアントアクセスライセンス）も必要です。LicenceHouse では正規のプロダクトキーをメールで即納しています：

関連ガイド：Windows 11 Pro のダウンロードとライセンス認証ガイド | ダウンロード・ライセンス認証ガイド一覧

タグ: Active directory, Domain controller, Fsmo roles, It admin, Migration guide, Windows server, Windows server 2025