Windows Server 2016 の AD 移行、正しい順序で失敗を防げるよ！

こんにちは、しぃちゃんだよ！今日は Active Directory のドメインコントローラーを新しい Windows Server に移行するときの注意点をまとめた記事を見つけたから紹介するね。地味に見えるけど、知らずに進めると認証トラブルにつながる大事なポイントがぎっしり詰まってるんだよ！

なにが発表されたの？

これは JP Windows Support のブログで公開された記事で、書いているのは Microsoft の Windows Commercial Support Directory Services チーム。Windows Server 2016 のドメインコントローラーを Windows Server 2022 または 2025 へ移行する際の考慮事項を、手順とセキュリティ更新の両面からまとめているの。Windows Server 2016 は 2027 年 1 月 12 日にサポート終了を迎えるから、それまでに移行を終わらせる必要があるんだって。

なぜ重要なの？

ドメインコントローラーの移行って、ただ OS を新しくするだけじゃなくて、認証まわりのセキュリティ対策がずっと積み重なってきた歴史も一緒に引き継ぐ必要があるの。長年パッチを当ててきた環境ほど、移行先の新しい OS で最初から有効になっているセキュリティ機能と、移行元がまだ対応していない脆弱性対応の間にギャップが生まれやすいんだって。このギャップに気づかずに新しいドメインコントローラーを追加しちゃうと、認証エラーや複製トラブルの原因になるから、事前に知っておく価値が大きい話なの。

これで何が変わるの？

記事では、既存のドメインコントローラーを直接アップグレードする「インプレース アップグレード」と、新しい OS をクリーンインストールしてから昇格・降格していく「ローリング アップグレード」の 2 方式を比較していて、新旧を並行稼働できて切り戻しもしやすいローリング アップグレードが推奨されているよ。

そして一番のポイントが、移行先の OS を追加する前に、同じ脆弱性対応の更新プログラムを移行元の Windows Server 2016 側にも先に適用しておくこと。この順番を守ることで、新旧ドメインコントローラー間でセキュリティ設定の差異が起きるのを防げるんだって。

深く潜ってみよう

具体的にどんな脆弱性対応をそろえる必要があるのか、記事では表でまとめられているよ。

• CVE-2020-1472(Netlogon): 2021 年 2 月から強制モードへ
• CVE-2021-42287(Kerberos PAC): 2022 年 10 月から強制モードへ
• CVE-2022-37966 / 37967 / 38023(Kerberos 暗号化・PAC 署名・Netlogon RPC): 2022 年 11 月以降、順次
• KB5014754(証明書認証): 2025 年 2 月から段階的に強制
• CVE-2024-26248 / 29056(PAC 検証): 2025 年 1 月から段階的に
• CVE-2025-26647(Kerberos 証明書認証): 2025 年 7 月から段階的に
• CVE-2026-20833(Kerberos RC4): 2026 年 4 月から段階的に強制

これらを、監査モードでイベントログを確認しながら 1 つずつ段階的に強制モードへ進めていく手順が、Windows Server 2016 が長期間未更新だった場合の具体例つきで紹介されているの。

Windows Server 2025 に移行する場合は、さらに気をつけたい点がいくつかあるよ。

• KRBTGT アカウントに AES キーがないと、RC4 の TGT を発行しない新しいドメインコントローラーで認証が失敗する
• 新規展開では LDAP 署名が既定で必須になる
• NTLMv1 が完全に削除されるため、事前に依存システムの洗い出しが必要
• 2026 年 4 月以降は Kerberos サービスチケットの既定の暗号化方式が AES に変わる

あと地味に見落としがちなのが SYSVOL の複製方式。Windows Server 2019 以降は古い FRS 方式をサポートしていないから、dfsrmig /getglobalstate で DFSR への移行が完了しているかを事前に確認する必要があるんだって。

機能レベルについても要注意で、Windows Server 2022 はフォレスト機能レベル 2008 以上、Windows Server 2025 はドメイン・フォレストともに機能レベル 2016 以上が必要。どちらも自動では上がらないから、手動での引き上げが必須だよ。

まとめ

• Windows Server 2016 は 2027 年 1 月 12 日にサポート終了、移行はローリング アップグレードが推奨
• 移行先を追加する前に、移行元にも同じ脆弱性対応の更新プログラムを先に適用するのが鉄則
• CVE-2020-1472 から CVE-2026-20833 まで、段階的に強制モードへ移行してきたセキュリティ対策をそろえる必要あり
• Windows Server 2025 では KRBTGT の AES キー、LDAP 署名必須化、NTLMv1 廃止、SYSVOL の DFSR 移行なども事前確認が必要
• 社内で Active Directory のドメインコントローラーを運用している IT 管理者さんに、特に役立つ内容だよ