Windows Server 2025로 도메인 컨트롤러를 마이그레이션하는 방법(단계별 가이드)

도메인 컨트롤러 마이그레이션이란 기존 DC와 나란히 새 Windows Server 2025 DC를 구축하고, Active Directory를 새 서버로 복제한 뒤, 5가지 FSMO 역할을 전송하고 기존 서버를 강등하는 작업입니다. 이 순서대로 진행하면 도메인 중단 없이, 디렉터리를 다시 구축할 필요 없이 마이그레이션이 완료됩니다.

이 가이드에서는 마이그레이션 실패의 대부분을 예방하는 상태 점검, 새 DC 승격, PowerShell 및 GUI를 이용한 FSMO 역할 전송, DNS 및 DHCP 업데이트, 기존 서버의 안전한 강등, 그리고 Windows Server 2025 기능을 사용할 수 있게 해 주는 기능 수준 상향까지 전체 과정을 안내합니다.

🔑 새 서버용 라이선스가 필요하십니까? LicenceHouse에서 정품 Windows Server 2025 Standard 키 구매하기 — 즉시 이메일 발송, 평생 라이선스.

도메인 컨트롤러 마이그레이션에는 실제로 어떤 작업이 포함됩니까?

도메인 컨트롤러 마이그레이션은 현재 위치 업그레이드가 아니라 병행(side-by-side) 방식으로 진행됩니다. 기존 도메인에 새 서버를 추가하고, 이를 도메인 컨트롤러로 승격하여 Active Directory가 복제되도록 한 다음, FSMO 역할을 옮기고 DNS를 변경한 후 기존 DC를 강등합니다. 이 과정 내내 도메인은 온라인 상태를 유지합니다.

이전 방식의 마이그레이션에 익숙한 관리자가 흔히 놀라는 점이 두 가지 있습니다. 첫째, 이제 adprep /forestprep와 /domainprep를 별도의 수동 단계로 실행할 필요가 없습니다. 계정이 Schema Admins 및 Enterprise Admins 그룹의 구성원이라면, 서버 관리자를 통해 첫 번째 Windows Server 2025 DC를 승격할 때 스키마 준비가 자동으로 실행됩니다.

둘째, 운영 중인 DC의 운영 체제를 현재 위치에서 업그레이드하는 것은 기술적으로 가능하지만 권장되는 방법이 아닙니다. 새 서버와 복제를 이용하면 정상 상태가 확인된 디렉터리를 확보하고 쉽게 롤백할 수 있습니다. 강등 전에 문제가 생기더라도 기존 DC가 모든 것을 그대로 보유하고 있기 때문입니다.

마이그레이션 방식 비교

이 가이드의 나머지 부분에서는 병행 방식을 다룹니다. Microsoft가 권장하는 방식이며 단일 도메인 환경과 소규모 다중 사이트 환경 모두에 적합하기 때문입니다.

마이그레이션을 시작하기 전에 무엇이 필요합니까?

무엇이든 승격하기 전에 네 가지를 확인하세요: 현재 포리스트 및 도메인 기능 수준이 새 DC의 최소 요구 사항을 충족하는지, SYSVOL이 레거시 FRS가 아닌 DFSR로 복제되는지, Active Directory가 복제 오류 없이 정상인지, 그리고 현재 DC의 검증된 시스템 상태 백업이 있는지입니다.

기능 수준 확인

Windows Server 2025 도메인 컨트롤러를 추가하려면 포리스트와 도메인이 이미 지원되는 기능 수준이어야 합니다. 기존 DC에서 다음을 실행하세요.

Get-ADForest | Select-Object ForestMode
Get-ADDomain | Select-Object DomainMode

기능 수준이 아직 Windows Server 2008 R2 또는 2012 R2라면, 2025 DC를 추가하기 전에 최소 Windows Server 2016으로 올리세요. 기능 수준 상향은 단방향 작업으로, 포리스트를 복원하지 않고는 나중에 낮출 수 없으므로 먼저 레거시 DC가 남아 있지 않은지 확인하세요.

SYSVOL이 FRS가 아닌 DFSR을 사용하는지 확인

이 한 가지 점검 항목이 다른 어떤 항목보다 많은 마이그레이션을 가로막습니다. 파일 복제 서비스(FRS)는 더 이상 사용되지 않으며 최신 Windows Server 릴리스에서 제거되었습니다. 도메인이 여전히 FRS로 SYSVOL을 복제하고 있다면, 새 DC는 정책 및 스크립트 파일을 올바르게 복제할 수 없습니다.

dfsrmig /getglobalstate

응답에 "Eliminated" 상태가 표시되어야 합니다. "Start" 또는 "Prepared"가 표시된다면 계속하기 전에 FRS에서 DFSR로의 마이그레이션을 완전히 마치세요. 이것이 중요한 이유는 그룹 정책 개체가 SYSVOL에 저장되기 때문입니다. SYSVOL 복제가 손상되면 사용자 인증은 되지만 정책 적용은 조용히 실패하는 DC가 만들어지며, 이 문제는 몇 주가 지나서야 드러나는 경우가 많습니다.

상태 점검 실행

dcdiag /v
repadmin /replsummary
repadmin /showrepl

승격하기 전에 모든 오류와 경고를 해결하세요. 기존 복제 오류가 있는 상태에서 마이그레이션하면 그 오류가 새 DC로 그대로 이어집니다.

백업 수행

wbadmin start systemstatebackup -backupTarget:E: -quiet

시스템 상태 백업에는 Active Directory, SYSVOL, 레지스트리가 포함됩니다. 마이그레이션이 완전히 검증되고 기존 DC가 깨끗하게 강등될 때까지 백업을 보관하세요.

새 서버를 도메인 컨트롤러로 승격하려면 어떻게 합니까?

Windows Server 2025를 설치하고, 고정 IP 주소를 지정한 다음, 기본 DNS를 기존 도메인 컨트롤러로 지정하고, 구성원 서버로 도메인에 가입시킵니다. 그런 다음 Active Directory 도메인 서비스 역할을 추가하고 승격 마법사를 실행하여 기존 도메인에 DC를 추가하는 옵션을 선택합니다.

1. OS를 설치하고 패치를 적용합니다. 역할을 추가하기 전에 사용 가능한 모든 업데이트를 적용하세요.
2. 고정 IP를 설정합니다. 도메인 컨트롤러는 자신의 주소에 DHCP를 사용해서는 안 됩니다.
3. 기본 DNS를 기존 DC로 설정합니다. 새 서버가 도메인을 찾으려면 도메인 이름을 확인할 수 있어야 합니다. 승격 후에 이 설정을 변경합니다.
4. 일반 구성원 서버로 도메인에 가입하고 다시 시작합니다.
5. AD DS 역할 추가: 서버 관리자 → 관리 → 역할 및 기능 추가 → Active Directory 도메인 서비스. 기존 DC가 DNS를 호스팅한다면 DNS 서버 역할도 추가하세요.
6. 승격: 서버 관리자에서 알림 플래그를 클릭 → "이 서버를 도메인 컨트롤러로 승격".
7. 기존 도메인에 도메인 컨트롤러 추가를 선택하고 Domain Admins 권한이 있는 자격 증명을 입력합니다(포리스트의 첫 번째 2025 DC인 경우 Schema Admins 및 Enterprise Admins 권한도 필요).
8. 글로벌 카탈로그(GC)와 DNS 서버를 선택하고, DSRM 암호를 설정한 다음, 사용 가능한 모든 DC에서 복제하도록 선택합니다.
9. 필수 구성 요소 검사를 검토하고 설치를 클릭합니다. 서버가 자동으로 다시 시작됩니다.

Windows Server 2016, 2019, 2022 중 어느 버전에서 마이그레이션하든 동일한 승격 순서가 적용됩니다. 기능 수준 필수 조건만 다릅니다.

다음 단계로 넘어가기 전에 복제 확인

복제가 완료될 때까지 시간을 둔 다음, 새 DC가 정상이며 디렉터리 사본을 보유하고 있는지 확인하세요.

dcdiag /v
repadmin /showrepl
Get-ADDomainController -Filter * | Select-Object Name, Site, IsGlobalCatalog

복제가 정상으로 보고되기 전에는 FSMO 역할을 전송하지 마세요. 복제가 끝나지 않은 DC로 역할을 전송하는 것은 마이그레이션 중 디렉터리를 실제로 손상시킬 수 있는 몇 안 되는 경우 중 하나입니다.

FSMO 역할을 새 도메인 컨트롤러로 전송하려면 어떻게 합니까?

새 DC에서 다섯 개의 역할 번호를 모두 넣은 단일 명령으로 Move-ADDirectoryServerOperationMasterRole을 실행합니다. 5가지 FSMO(Flexible Single Master Operations) 역할 — 스키마 마스터, 도메인 명명 마스터, RID 마스터, PDC 에뮬레이터, 인프라 마스터 — 는 각각 한 번에 하나의 DC만 보유할 수 있습니다.

현재 역할 보유자 확인

netdom query fsmo

또는 PowerShell을 사용합니다.

Get-ADForest | Select-Object SchemaMaster, DomainNamingMaster
Get-ADDomain | Select-Object PDCEmulator, RIDMaster, InfrastructureMaster

하나의 명령으로 다섯 가지 역할 모두 전송

새 도메인 컨트롤러에서 관리자 권한으로 PowerShell을 열고 다음을 실행합니다.

Move-ADDirectoryServerOperationMasterRole -Identity "NewDCName" -OperationMasterRole 0,1,2,3,4

NewDCName을 새 서버의 호스트 이름으로 바꾸세요. 번호는 다음과 같이 대응됩니다: 0 = PDC 에뮬레이터, 1 = RID 마스터, 2 = 인프라 마스터, 3 = 스키마 마스터, 4 = 도메인 명명 마스터. 각 확인 메시지에 응답하거나, -Confirm:$false를 추가하여 모두 수락하세요.

전송 확인

netdom query fsmo
Get-ADDomainController -Filter * | Select-Object Name, OperationMasterRoles

이제 다섯 가지 역할 모두 새 서버로 표시되어야 합니다.

GUI를 이용하는 방법

콘솔을 선호한다면, 역할이 세 군데에 나뉘어 있다는 점에 유의하세요. 바로 이 때문에 PowerShell이 더 빠릅니다.

• RID, PDC, 인프라: Active Directory 사용자 및 컴퓨터 → 도메인을 마우스 오른쪽 버튼으로 클릭 → 작업 마스터
• 도메인 명명 마스터: Active Directory 도메인 및 트러스트 → 루트를 마우스 오른쪽 버튼으로 클릭 → 작업 마스터
• 스키마 마스터: 먼저 regsvr32 schmmgmt.dll로 스냅인을 등록한 다음, Active Directory 스키마 → 마우스 오른쪽 버튼 클릭 → 작업 마스터

GUI에서는 대상 DC에 로그온되어 있어야 합니다. 콘솔은 목록에서 선택한 서버가 아니라 현재 연결된 서버로 역할을 전송합니다.

전송과 강제 점유 — 중요한 차이

전송은 온라인 상태인 두 DC 간의 정상적인 인계로, 계획된 마이그레이션에서 사용하는 방법입니다. 강제 점유(seize)는 현재 보유자가 영구적으로 오프라인이 되어 복구할 수 없을 때 역할을 강제로 할당하는 것입니다. 역할을 강제 점유한 후에는 이전 보유자를 절대 네트워크에 다시 연결해서는 안 됩니다. 두 DC가 같은 역할을 주장하면 디렉터리 불일치가 발생하기 때문입니다. 실제 장애 상황에서만 강제 점유를 사용하세요.

역할을 옮긴 후에는 무엇을 업데이트해야 합니까?

새 DC의 DNS를 자기 자신을 가리키도록 업데이트하고, DHCP에서 배포하는 DNS 서버를 변경하며, DC 주소가 하드코딩된 장치나 애플리케이션이 있는지 확인하세요. 클라이언트는 DNS가 알려 주는 DC로 계속 인증하므로, 실제로 전환을 완료하는 것은 Active Directory가 아니라 DNS입니다.

1. 새 DC에서: 기본 DNS 서버를 자신의 IP 주소로 설정하고, 다른 DC가 있다면 보조 DNS를 그 DC로 지정합니다.
2. DHCP에서: 범위 옵션 006(DNS 서버)을 새 DC가 포함되도록 업데이트합니다. 이 변경으로 대부분의 클라이언트가 이동합니다.
3. 기존 서버에서 이어진 DNS 전달자 및 조건부 전달자를 확인합니다.
4. 고정 참조를 점검합니다: 방화벽, NAS 장치, 프린터, 하이퍼바이저, VPN 어플라이언스, 업무용 서버에는 DHCP 변경으로 해결되지 않는 하드코딩된 DC IP가 있는 경우가 많습니다.
5. 기존 DC가 DHCP를 보유하고 있었다면 강등 전에 범위를 새 서버로 마이그레이션합니다.

클라이언트에서 테스트하세요: gpupdate /force를 실행하고, 테스트 사용자의 암호를 변경하고, 이름 확인이 정상적으로 작동하는지 확인합니다. 그런 다음 nltest /dsgetdc:yourdomain.local을 실행하여 클라이언트가 어떤 DC를 사용하는지 확인합니다.

기존 도메인 컨트롤러를 안전하게 강등하려면 어떻게 합니까?

서버 관리자에서 Active Directory 도메인 서비스 역할을 제거하면 강등 마법사가 실행되며, 이를 통해 기존 서버를 강등합니다. 기존 DC의 전원을 그냥 끄거나 컴퓨터 개체를 삭제하지 마세요. 그렇게 하면 디렉터리에 분리된 메타데이터가 남아 나중에 수동으로 정리해야 합니다.

1. 기존 DC가 더 이상 FSMO 역할을 보유하지 않는지 확인합니다(netdom query fsmo).
2. 먼저 새 DC를 며칠 동안 운영하여, 기존 서버로 되돌아갈 수 있는 동안 간과했던 종속성이 드러나도록 합니다.
3. 기존 DC에서: 서버 관리자 → 관리 → 역할 및 기능 제거 → Active Directory 도메인 서비스 선택 해제.
4. 강등 마법사가 실행됩니다. 서버가 실제로 도메인에 연결할 수 없는 경우가 아니라면 "이 도메인 컨트롤러를 강제로 제거"를 선택하지 마세요.
5. 로컬 Administrator 암호를 설정하고 마법사를 완료합니다. 서버가 구성원 서버로 다시 시작됩니다.
6. 강등이 끝나면 도메인에서 제거하거나 완전히 폐기합니다.

남은 항목 정리

강등 후 Active Directory 사이트 및 서비스(사이트 확장 → Servers)에서 기존 서버가 사라졌는지 확인하고, 오래된 DNS 레코드 — 호스트(A), 이름 서버(NS), _msdcs 아래의 서비스(SRV) 레코드 — 를 제거하세요. 오래된 NS 레코드는 그 외에는 깔끔했던 마이그레이션 이후 간헐적으로 로그온이 느려지는 흔한 원인입니다. 클라이언트가 더 이상 존재하지 않는 DC에 주기적으로 연결을 시도하기 때문입니다.

기능 수준은 언제 올려야 합니까?

환경의 모든 도메인 컨트롤러가 Windows Server 2025를 실행하고 기존 DC가 강등된 후에만 도메인 및 포리스트 기능 수준을 올리세요. Windows Server 2025 기능 수준을 적용하면 더 큰 32K 데이터베이스 페이지 크기 같은 기능을 사용할 수 있지만, 이 변경은 되돌릴 수 없습니다.

Set-ADDomainMode -Identity "yourdomain.local" -DomainMode Windows2025Domain
Set-ADForestMode -Identity "yourdomain.local" -ForestMode Windows2025Forest

이 명령을 실행하기 전에 레거시 DC가 남아 있지 않은지 확인하고, 먼저 새 시스템 상태 백업을 수행하세요. 앞으로 이전 버전의 DC — 예를 들어 지사 사이트의 2019 서버 — 를 추가할 계획이 있다면 기능 수준 상향을 보류하세요. 기능 수준을 올리면 해당 서버를 승격할 수 없게 됩니다.

자주 발생하는 마이그레이션 문제와 해결 방법

자주 묻는 질문

중단 없이 도메인 컨트롤러를 마이그레이션할 수 있습니까?

예. 두 서버가 모두 온라인 상태인 동안 새 DC가 기존 DC에서 Active Directory를 복제하므로, 도메인은 이 과정 내내 사용자 인증을 계속합니다. 짧은 중단은 각 서버를 다시 시작할 때뿐이며, 그동안에는 다른 DC가 역할을 대신합니다. DC가 하나뿐인 환경에서는 강등 단계를 위해 유지 관리 시간을 계획하세요.

여전히 adprep를 수동으로 실행해야 합니까?

아니요. 승격을 수행하는 계정이 Schema Admins, Enterprise Admins, Domain Admins에 속해 있다면, 서버 관리자를 통해 첫 번째 Windows Server 2025 도메인 컨트롤러를 승격할 때 포리스트 및 도메인 스키마가 자동으로 준비됩니다. 스키마 준비를 별도의 통제된 단계로 실행하려는 관리자를 위해 수동 adprep도 계속 제공됩니다.

도메인 컨트롤러 마이그레이션에는 시간이 얼마나 걸립니까?

DC가 한두 대인 단일 도메인 환경에서는 기술적인 작업에 보통 2~4시간이 걸리며, 대부분은 복제와 재부팅을 기다리는 시간입니다. 실제 일정은 이보다 깁니다. 새 DC 승격과 기존 DC 강등 사이에 며칠의 여유를 두어, 롤백이 쉬운 동안 간과한 종속성이 드러나도록 하세요.

서로 다른 Windows Server 버전을 동시에 도메인 컨트롤러로 운영할 수 있습니까?

예. 바로 이 점이 마이그레이션을 안전하게 만들어 줍니다. 기능 수준이 지원한다면 Windows Server 2025 DC는 2016, 2019, 2022 DC와 함께 운영될 수 있습니다. 다만 혼합 버전은 과도기적 상태를 위한 것이지 영구적인 구성이 아닙니다. 도메인이 가장 오래된 기능 수준의 기능으로 제한되기 때문입니다.

FSMO 역할을 전송하기 전에 기존 도메인 컨트롤러에 장애가 발생하면 어떻게 됩니까?

이 경우 역할을 전송하는 대신 -Force 매개 변수와 함께 Move-ADDirectoryServerOperationMasterRole을 사용하여 새 DC로 역할을 강제 점유해야 합니다. 이후 장애가 발생한 서버는 절대 네트워크에 다시 가입해서는 안 되며, 해당 메타데이터는 ntdsutil로 정리해야 합니다. 그렇기 때문에 시작 전 검증된 시스템 상태 백업은 선택 사항이 아닙니다.

도메인 컨트롤러에는 어떤 Windows Server 에디션이 필요합니까?

대부분의 환경에서 Active Directory 도메인 서비스에는 Standard 에디션으로 충분합니다. Datacenter 에디션은 같은 호스트에서 무제한 가상 머신 라이선스가 필요한 경우에만 그 차이만큼의 가치가 있습니다. 두 에디션의 AD DS 기능은 동일합니다.

새 서버의 라이선스 준비

모든 도메인 컨트롤러에는 자체 Windows Server 라이선스와 함께, 연결하는 사용자나 장치를 위한 클라이언트 액세스 라이선스(CAL)가 필요합니다. LicenceHouse는 즉시 이메일 발송으로 정품 키를 제공합니다.

• Windows Server 2025 Standard — 새 도메인 컨트롤러에 가장 일반적인 선택
• Windows Server 2025 Datacenter — 무제한 가상화 권한이 필요한 경우
• Windows Server 2022 Standard — 2022 버전으로 표준화하는 경우
• Windows Server CAL — 사용자 및 장치 클라이언트 액세스 라이선스
• 모든 Windows Server 라이선스 보기

관련 가이드: Windows 11 Pro 다운로드 및 정품 인증 가이드 | 모든 다운로드 및 정품 인증 가이드