Active Directory Domain Services での操作マスター ロールの転送または強制

この記事では、操作マスター ロール (旧称フレキシブル シングル マスター操作 (FSMO) ロール) を転送または押収するタイミングと方法について説明します。

元の KB 番号: 255504

詳細情報

Active Directory Domain Services (AD DS) フォレスト内には、1 つのドメイン コントローラー (DC) だけで実行する必要がある特定のタスクがあります。 これらの一意の操作を実行するために割り当てられた DC は、操作マスター ロール所有者と呼ばれます。 次の表に、操作マスター ロールと Active Directory での配置を示します。

操作マスター ロール所有者とロールを配置するための推奨事項の詳細については、「 Active Directory ドメイン コントローラーでの FSMO の配置と最適化」を参照してください。

ロール所有者として機能していた DC の実行が開始されると (たとえば、障害やシャットダウン後)、ロール所有者としての動作はすぐには再開されません。 DC は、名前付けコンテキストの入力方向のレプリケーションを受信するまで待機します (たとえば、スキーマ マスターの役割所有者は、スキーマ パーティションの入力方向のレプリケーションを受信するまで待機します)。

DC が Active Directory レプリケーションの一部として渡す情報には、現在の操作マスター ロール所有者の ID が含まれます。 新しく開始された DC は、受信レプリケーション情報を受け取ると、それが引き続きロール所有者であるかどうかを確認します。 役割所有者の場合は、一般的な操作を再開します。 別の DC が役割所有者として機能していることをレプリケートされた情報が示している場合、新しく開始された DC は役割の所有権を放棄します。 この動作により、ドメインまたはフォレストに操作マスター ロール所有者が重複する可能性が低くなります。

役割を転送または強制移行するタイミングを決定する

通常の状況では、5 つすべての役割をフォレストの「現在実行されている」ドメイン コントローラーに割り当てる必要があります。 Active Directory フォレストを作成すると、Active Directory インストール ウィザード (Dcpromo.exe) によって、フォレスト ルート ドメインに作成される最初の DC に 5 つの操作マスター ロールがすべて割り当てられます。 子ドメインまたはツリー ドメインを作成すると、作成メカニズムによって、ドメイン内の最初の DC に 3 つのドメイン全体のロールが割り当てられます。

DC は、次のいずれかの方法を使用して再割り当てされるまで、操作マスター ロールを所有し続けます。

• 管理者が GUI 管理ツールを使用して役割を再割り当てした場合。
• 管理者が ntdsutil /roles コマンドを使用して役割を再割り当てした場合。
• 管理者が Active Directory インストール ウィザードを使用して、役割を保持しているドメイン コントローラーを正常に降格した場合。 このウィザードにより、ローカルで保持されている役割がすべて、フォレスト内の既存のドメイン コントローラーに再割り当てされます。
• 管理者は、 または dcpromo /forceremoval コマンドを使用して、ロール保持 DC をUninstall-ADDSDomainController -ForceRemoval降格します。
• DC はシャットダウンして再起動します。 DC が再起動すると、別の DC が役割所有者であることを示す入力方向のレプリケーション情報が受信されます。 この場合、新しく開始された DC によって役割が放棄されます (前述のように)。

操作マスターロール所有者が障害を経験した場合、またはロールが転送される前にサービスを終了した場合は、すべてのロールを適切で正常な DC に押収して転送する必要があります。

次のシナリオでは、操作マスターロールを転送することをお勧めします。

• 現在のロール所有者は操作可能であり、新しい操作マスター所有者がネットワーク上でアクセスできます。
• 現在、Active Directory フォレスト内の特定の DC に割り当てる操作マスター ロールを所有している DC を適切に降格しています。
• 現在操作マスター ロールを所有している DC は、スケジュールされたメンテナンスのためにオフラインになり、特定の操作マスター ロールをライブ DC に割り当てる必要があります。 操作マスター所有者に影響を与える操作を実行するには、ロールを転送する必要がある場合があります。 これは、PDC エミュレーターの役割に特に当てはまります。 これは、RID マスター、ドメイン名前付けマスター、およびスキーマ マスターの役割には、あまり重要な問題ではありません。

次のシナリオでは、操作マスターロールを押収することをお勧めします。

• 現在のロール所有者は、操作マスター依存の操作が正常に完了できず、ロールを転送できない操作エラーが発生しています。

• または dcpromo /forceremoval コマンドをUninstall-ADDSDomainController -ForceRemoval使用して、操作マスター ロールを所有する DC を強制的に降格します。

  重要

  コマンドは force-demote 、管理者によって再割り当てされるまで、操作マスター ロールを無効な状態のままにすることができます。

• もともと特定の役割を所有していたコンピュータのオペレーティング システムが存在しないか、再インストールされた場合。

新しい役割所有者を特定する

新しい役割所有者の最適な候補は、次の条件を満たす DC です。

• これは、前の役割所有者と同じドメインに存在します。
• 役割パーティションの最新のレプリケートされた書き込み可能なコピーがあります。

たとえば、スキーマ マスター役割を転送する必要があるとします。 スキーマ マスター ロールは、フォレストのスキーマ パーティション (CN=スキーマ、CN=Configuration、DC=<フォレスト ルート ドメイン>) の一部です。 新しい役割所有者の最適な候補は、フォレスト ルート ドメインと、現在の役割所有者と同じ Active Directory サイトに存在する DC です。

詳細については、以下を参照してください。

• AD フォレストの回復 - 操作マスターの役割の強制移行
• 操作マスター役割の配置を計画する

操作マスターロールを押収または転送する

Windows PowerShell または Ntdsutil を使用して、ロールを押収または転送できます。 これらのタスクに PowerShell を使用する方法の詳細と例については、「 Move-ADDirectoryServerOperationMasterRole」を参照してください。

Ntdsutil ユーティリティを使用して操作マスター ロールを押収または転送するには、次の手順に従います。

1. AD RSAT ツールがインストールされているメンバー コンピューター、または操作マスターの役割が転送されているフォレストにある DC にサインインします。

   注:

   • 操作マスター ロールを割り当てる DC にログオンすることをお勧めします。
   • サインインしているユーザーは、スキーマ マスターまたはドメインの名前付けマスターロールを転送するエンタープライズ管理者グループのメンバーであるか、PDC エミュレーター、RID マスター、インフラストラクチャ マスターの役割が転送されているドメインのドメイン管理者グループのメンバーである必要があります。

2. [スタート] >ボタンをクリックし、[ファイル名を指定して実行] をクリックします。次に、[開く] ボックスに「ntdsutil」と入力し、[OK] をクリックします。

3. 「roles」と入力し、Enter キーを押します。

   注:

   注: Ntdsutil ユーティリティのプロンプトで、使用できるコマンドの一覧を表示するには、「?」と入力して Enter キーを押します。

4. 「connections」と入力し、Enter キーを押します。

5. 「サーバー <サーバー名>に接続する」と入力し、Enter キーを押します。

   注:

   このコマンドでは、 <servername> は、操作マスター ロールを割り当てる DC の名前です。

6. server connections プロンプトで「q」と入力し、Enter キーを押します。

7. 以下のいずれかを実行します。

   • ロールを転送するには、「 転送 <ロール>」と入力し、Enter キーを押します。

     注:

     このコマンドでは、 <ロール> は転送するロールです。

   • ロールを押し込むには、「役割を押さえる<>」と入力し、Enter キーを押します。

     注:

     このコマンドでは、 <ロール> は押収するロールです。

   たとえば、RID マスターの役割を強制移行するには、「seize rid master」と入力します。 例外は、構文が「seize pdc」である PDC エミュレーターのロールと、構文が「seize naming master」であるドメインの名前付けマスターの場合です。

   転送または押収できるロールの一覧を表示するには、fsmo メンテナンス プロンプトで「?」と入力し、Enter キーを押すか、この記事の冒頭にあるロールの一覧を参照してください。

8. fsmo maintenance プロンプトで「q」と入力し、Enter キーを押して ntdsutil プロンプトにアクセスします。 「q」と入力し、Enter キーを押して Ntdsutil ユーティリティを終了します。

以前のロール所有者を修復または削除する場合の考慮事項

可能な場合は、ロールを押収する代わりにロールを転送できる場合は、前のロール所有者を修正します。 前のロール所有者を修正できない場合、またはロールを押収した場合は、ドメインから前のロール所有者を削除します。

• 修復されたコンピューターを DC としてフォレストに返すには:

  1. 以下のいずれかを実行します。

     • 以前のロール所有者のハード ディスクをフォーマットし、コンピューターに Windows を再インストールします。
     • 以前のロール所有者をメンバー サーバーに強制的に降格します。

  2. フォレスト内の別の DC で、Ntdsutil を使用して、以前のロール所有者のメタデータを削除します。 詳細については、「 Ntdsutil を使用してサーバー メタデータをクリーンアップするには」を参照してください。

  3. メタデータをクリーンアップした後、コンピューターを DC に再昇格し、そのコンピューターにロールを戻すことができます。

• 役割を押収した後でフォレストからコンピューターを削除するには:

  1. ドメインからコンピューターを削除します。
  2. フォレスト内の別の DC で、Ntdsutil を使用して、以前のロール所有者のメタデータを削除します。 詳細については、「 Ntdsutil を使用してサーバー メタデータをクリーンアップするには」を参照してください。

レプリケーション アイランドを再統合する場合の考慮事項

ドメインまたはフォレストの一部がドメインまたはフォレストの残りの部分と長時間通信できない場合、ドメインまたはフォレストの分離されたセクションはレプリケーション アイランドと呼ばれます。 ある島の DC は、他の島の DC とレプリケートできません。 複数のレプリケーション サイクルで、レプリケーション アイランドが同期しなくなっている。各島に独自のオペレーション マスター ロール所有者が存在する場合、島間の通信を復元するときに問題が発生する可能性があります。

次の表は、フォレストまたはドメインにそのロールのロール所有者が複数ある場合に問題が発生する可能性がある操作マスター ロールを示しています。

この問題は、PDC エミュレーター マスターまたはインフラストラクチャ マスターには影響しません。 これらのロール所有者は、運用データを保持しません。 さらに、インフラストラクチャ マスターは頻繁に変更を加えません。 そのため、複数のアイランドにこれらのロール所有者が存在する場合は、長期的な問題を引き起こすことなく、アイランドを再統合できます。

スキーマ マスター、ドメインの名前付けマスター、RID マスターは、オブジェクトを作成し、Active Directory に変更を保持できます。 これらのロール所有者のいずれかを持つ各アイランドには、レプリケーションを復元するまでに、スキーマ オブジェクト、ドメイン、または RID プールが重複して競合する可能性があります。 アイランドを再統合する前に、保持するロール所有者を決定します。 この記事で説明されている修復、削除、クリーンアップの手順に従って、重複するスキーマ マスター、ドメイン名前付けマスター、RID マスターをすべて削除します。

関連情報

詳細については、以下を参照してください。

• Windows での Active Directory FSMO ロール
• Active Directory ドメイン コントローラーでの FSMO の配置と最適化
• 柔軟なシングル マスター操作の転送と取り込みプロセス
• 方法: Ntdsutil を使用して、Windows Server で重複するセキュリティ識別子を検索してクリーンアップする
• ファントム、墓石、インフラストラクチャ マスター
• DNS イベント ID 4013 のトラブルシューティング: DNS サーバーが AD 統合 DNS ゾーンを読み込めない
• DNS インフラストラクチャ マスターに接続できない場合、DCPROMO の降格が失敗する
• FSMO ロール
• 初期復旧を実行する
• AD フォレストの回復 - 操作マスターの役割の強制移行
• Ntdsutil を使用してサーバー メタデータをクリーンアップする
• 操作マスター役割の配置を計画する
• Move-ADDirectoryServerOperationMasterRole