ManageEngine x Forrester | Workforce Identity Platforms Landscape Report

Active Directoryの基礎

FSMO ロールを取得する方法

FSMOロールを1つまたは複数、あるドメインコントローラー(DC)から別のDCに移動する操作は容易です。ただし、すべてのDCが適切に機能しており、オンラインであることが前提です。FSMOロールについては、で詳しく学べます。

現在FSMOロールを実行しているDCがクラッシュしたり、長期間シャットダウンした場合はどうなるでしょうか?サーバーがオフラインになっているため、FSMOロールの移譲は行えません。

このような場合、FSMOロールを強制的に移譲する必要があり、このプロセスは「Seize(シーズ)」と呼ばれます。

問題への最後の解決策は、機能しなくなったDCからFSMOロールを引き継ぐことです。これは、そのDCを完全に再インストールせずに機能的に復旧させることができないことを意味します。

たとえ復旧できたとしても(クラッシュ後の例)、その役割を引き継いでいる場合、問題を悪化させないように、そのDCをネットワークに再参加させるべきではありません。

FSMOロールをいつシーズすべきか?

FSMOロールホルダーが障害を経験し、そのロールが移動される前にサービスから除外された場合、健全で適切なDCにすべてのロールをシーズする必要があります。

FSMOロールは、以下のシナリオでシーズできます:

  • 現在のロールホルダーが操作に影響を与える運用上の問題を抱えているため、ポジションを移動できない場合。
  • コマンド「dcpromo /forceremoval」を使用して、FSMOロールを所有するDCを強制的に降格させます。

特定のロールの最初のオペレーティングシステムが不在であるか、再インストールされた場合。

上記のコマンドを実行すると、管理者がそれらを再割り当てするまで、FSMOロールは無効な状態になることに注意してください。

GUIを使用してFSMOロールをシーズする方?

Active Directoryユーザーとコンピュータ(ADUC)コンソールを使用して、DCコンピュータアカウントを削除することで、GUIを使用してロールを引き継ぐことができます。これを行うには:

  • まず、FSMOロールを受け取りたいDCにADUCを接続します。ADUCでActive Directoryユーザーとコンピュータノードを右クリックして、ドメインコントローラの変更にアクセスします
  • 接続したいDCを探して接続します
  • ドメインコントローラOUをクリックします
  • FSMOロールをシーズしたいDCを右クリックして削除をクリックします
  • 最初の2つのプロンプトで「はい」をクリックします
  • 最後に、そのDCが以前にFSMOロールを持っていたため、ロールが別のDCに移動されることを通知するポップアップが表示されます。あなたのADUCコンソールはこのDCに接続されます。「OK」を選択すると、ロールは新しいDCにシーズされ、移動されると同時に、オフラインのDCのコンピュータアカウントが終了します。

PowerShellを使用してFSMOロールをシーズする方法?

  • Windows PowerShellを開いて、Identityパラメータに新しいDCの名前とForceパラメータを指定してMove-ADDirectoryServerOperationMasterRoleを実行します
  • 例として、RIDマスターロールをシーズしてNewDC3 DCに割り当てる場合、
  • 以下のコマンドを実行します: Move-ADDirectoryServerOperationMasterRole -Identity “NewDC3” -Role RidMaster -Force

Ntdsutilユーティリティを使用してFSMOロールをシーズする方法?

  • 森の中のDCにログインするか、AD RSATツールがインストールされているメンバーPCにログインします。
  • スタート > 実行を選択し、開くボックスにntdustilと入力して[OK]をクリックします
  • Rolesと入力し、Enterを押します
  • Connectionsを入力し、Enterをクリックします
  • 次に、connect to server <servername> と入力し、Enterをクリックします。ここでの <servername> はFSMOロールを割り当てたいDCの名前です
  • サーバー接続プロンプトが表示されたら、qと入力し、Enterをクリックします
  • 今度は、シーズしたい役割について、 seize <role> と入力し、Enterをクリックします。たとえば、RIDMasterロールをシーズしたい場合は、その役割を入力します。
  • PDCエミュレータロールにはseize pdc、ドメイン命名マスターにはseize naming masterという構文が適用される数少ない例外があります

FSMOロールをシーズするためのベストプラクティス

  • 以前のジョブホルダーがドメインに戻らない場合にのみ、すべてのロールをシーズすることが推奨されます。
  • FSMOロールを割り当てるDCにログインするのが最善です。
  • 標準の移動手順を使用して、礼儀正しく移動できる場合は、運用マスターロールをシーズしないでください。

要約:FSMOロールの移動は毎日行うものではありませんが、新しいDCを昇格させたり、既存のDCを降格させたり、サーバーの稼働を停止させたりする際には、それらについて知っておく必要があります。

Related posts
Active Directoryの基礎トップ記事

アクティブディレクトリフォレスト機能レベルを上げる方法

Active Directoryの基礎

Windowsサーバーの稼働時間を素早くかつ簡単にチェックする方法

Active Directoryの基礎最近の投稿

ドメインコントローラーのIPアドレスを変更する方法

Active Directoryの基礎

ADアカウントのロックアウト問題を解決する方法

×

There are over 8,500 people who are getting towards perfection in Active Directory, IT Management & Cyber security through our insights from Identitude.

Wanna be a part of our bimonthly curation of IAM knowledge?

  • -Select-
  • By clicking 'Become an insider', you agree to processing of personal data according to the Privacy Policy.