ファイルサーバのドメイン移行方法について

質問

いつもお世話になっています。

私の会社では、いくつかドメインが分かれていたのですが、
この度、統合することになりました。

その中で困っているのが、AD兼ファイルサーバ(bbb.jp)です。
AD内にはユーザやセキュリティグループがたくさんあり、
それでファイルサーバのアクセス権を設定しています。

AD兼ファイルサーバ(bbb.jp)をaaa.jpのドメインに移行する場合、
手順や使用するコマンドなど教えていただけますでしょうか？

AD兼ファイルサーバ(bbb.jp)から、ユーザとセキュリティグループを
ldifdeコマンドでエクスポートして、aaa.jpのADサーバにインポートする。
AD兼ファイルサーバのドメインをbbb.jp→aaa.jpに変更する。
とすると、ファイルサーバの所有者などがSID消えておかしくなりますよね・・・？

また、ADとファイルサーバはひとつのサーバに同居させておくことは
別に問題ないのでしょうか？分けるべきですか？

回答No.1

maesen · ベストアンサー

やりたいことはActive Directoryの統合ということですよね。

つまり、bbb.jpドメイン上のユーザー、グループおよびコンピュータ等のリソースオブジェクトをaaa.jpに移行して最終的にaaa.jpのみにしたいということでよろしいでしょうか。

Active Directoryドメインの移行には、「Active Directory 移行ツール (ADMT) 」を使用します。
手順等はググったりすればいろいろ情報がありますので確認して下さい。
もちろんSIDなども整合性が取れるように移行してくれます。
（ADMTを使用するのは多少手間が掛かると思いますが）

ただ、現在ファイルサーバがドメインコントローラ兼ファイルサーバになっているようです。
ドメインコントローラ(以下、DC）をADMTで別ドメインに移行することは出来ないと思いますので（未確認です）、
DCとファイルサーバを分離する必要があると思います。

分離はことさら書くことも無いかもしれませんが、大まかな手順は
・別サーバでDCを追加する
・FSMOを移行する
・ファイルサーバのDCを降格し、ただのメンバサーバにする
こんな感じでしょうか。

＞AD兼ファイルサーバ(bbb.jp)から、ユーザとセキュリティグループを
＞ldifdeコマンドでエクスポートして、aaa.jpのADサーバにインポートする。
＞AD兼ファイルサーバのドメインをbbb.jp→aaa.jpに変更する。
＞とすると、ファイルサーバの所有者などがSID消えておかしくなりますよね・・・？

これは質問者さんが感じているように問題でまくりになると思います。
最終的にはお望みの形に持っていくことは可能だと思いますが、長い道のりになりそうです。

＞また、ADとファイルサーバはひとつのサーバに同居させておくことは
＞別に問題ないのでしょうか？分けるべきですか？

あるべき姿としては分けるほうが良いと思います。
理由としては、
・サーバ故障時の対応がDCとファイルサーバでは異なるため
・同居した場合、Active Directoryの権限とファイルサーバの管理権限を分離しにくいため
（ファイルサーバ機能の管理のためにドメインadministratorなどの高い権限を使用しがちになる）

実際にはコストの問題もあるので、小規模の環境では同居やむなしの場合もあるでしょう。

お礼

ご丁寧にありがとうございます。

「Active Directory 移行ツール (ADMT) 」ですね。
調べてみて、実際に自分でも環境を作ってテストしてみたところ、うまくいきました！
ありがとうございます。

ADサーバとファイルサーバは、
できるかぎりわける方向でいきたいと思います。

いつも私の拙い質問に丁寧にご回答いただきありがとうございます。
本当に感謝してもしきれないくらいです。