COLUMN

2021.08.25 ｜ Writer：NTT東日本アベ

ウェビナーでのQ&Aを公開します（オンプレミスのADサーバーをAWSに移行するときの課題と注意点）

2021年7月20日に以下のウェビナーを開催いたしました。

********************************

タイトル：オンプレミスのADサーバーをAWSに移行するときの課題と注意点

プログラム：

Introduction
オンプレミスActive Directoryサーバーの課題点と移行計画
AWSでActive Directoryを利用する構成と移行方法
AWS移行後のActive Directoryの運用
まとめ

********************************

今回もオンラインで開催をいたしました。
当日も多くの方にご参加いただき、厚く御礼申し上げます。

本コラムでは、ウェビナー参加者のみなさまからお寄せいただいたご質問および回答を公開させていただきます。今後のオンプレミスのADサーバーをAWSへ移行する際のご参考になれば幸いです。

セミナーアーカイブ

ウェビナーに参加出来なかった方にも視聴できるようにアーカイブを準備いたしました。
DX化の一助となれば幸いです。

【AWS Active Directoryの特長について】
【データ同期について】
【ドメインコントローラについて】
【その他】
おわりに

【AWS Active Directoryの特長について】

Q1AWSのActive Directory(AD)では、各拠点にある端末のドメイン参加は可能でしょうか？

Answer

Simple Active Directory(Simple AD)の場合のドメイン参加は不可となっております。
AWS Managed Microsoft ADの場合では、新しいドメインを作る際に可能となっています。

Q2AWS上のADでもRADIUS認証は可能でしょうか？

Answer

RADIUSサーバーに関してはAmazon EC2での構築が可能です。
RADIUS認証可能なADですが、AWS Managed Microsoft ADはRADIUSクライアントが付属しているため認証可能となっています。
また、Amazon EC2上にADサーバーを構築する場合はAD Connectorの多要素認証を有効にすることで認証可能となっています。

Q3ADサーバーをAWSのみで運用する場合にクライアントPCからインターネットへの接続不能となった場合、どのような不具合が発生しますか？また、不具合にならない部分などはありますか？

Answer

インターネットに接続不能な場合は、既存のネットワークのWANの不調と同じようにドメインに参加できなくなりますので、ローカルユーザでしかログイン出来なくなります。
不具合にならない部分としては、インターネットに接続不能でもクライアントPCに不具合が無いければ、クライアントPCのローカルユーザであればそのまま使うことができます。

Q4AWS Managed Microsoft ADと既存オンプレAD とでシングルドメイン運用できないのですか？

Answer

AWS Managed Microsoft ADは既存のドメインへの参加不可であるため、シングルドメインでの運用は実施できません。シングルドメイン運用する場合は、Amazon EC2にADサーバーを構築することが最適な形となります。

【データ同期について】

Q1Amazon EC2でWindows Server 2019を立ち上げたのですが、オンプレミスのWindows Server 2012とデータ同期（Active Directory データベースの同期）を行う際の注意点を教えてください

Answer

Windows Server 2012とWindows Server 2019など異なるバージョン間での同期で気を付けるべき点は、Windows Server 2012の機能レベルがWindows Server 2019で対応しているかになります (※)。
また、現在利用しているオンプレミスのWindows Server 2012が元々はWindows Server 2003からアップデートしたものである場合は機能レベルがかなり低いものになり、移行先のWindows Server 2019では対応していない機能レベルが出てきます(※)。
こうした場合は、一旦オンプレミスのWindows Serverの機能レベルを上げてから対応するようにします。

(※)機能レベル：過去のバージョンと互換性を保つことを目的とした概念で、これをActive Directory全体で統一することにより、Server OSの種類にかかわらず相互運用が可能になります。
例えば、新しいサーバーOSでは新しい機能レベルがサポートされていますが、古いサーバーOSのドメインコントローラ（NTドメインのBDCも含む）が存在する場合は、そのドメインコントローラに合わせた機能レベルを選択する必要があります。
尚、一度機能レベルを上げると元には戻せません。そのため慎重に計画／運用する必要があります。

参考：Windows Serverの機能レベル

Q2移行期間を長く取って、オンプレミスとクラウドのADの両方を並行運用したい場合、どのような連携をオンプレとクラウド間で設定すべきでしょうか

Answer

そのままオンプレADをAmazon EC2上に移行されるパターンを想定しますと、オンプレADとAmazon EC2上のADの一方をドメインコントローラへ昇格し、他方を降格する際に、ドメインを１つにしてデータ同期をすればと良いと思います。
また、使われていない時間帯にマスタの運営をオンプレミスとクラウドで切り替える設定する必要があると思います。

【ドメインコントローラについて】

Q1DB不整合を起こすため、ドメインコントローラ全体のスナップショットは取らないようにとあるのですが、これはEC2のスナップショットのことでしょうか？

Answer

質問の通り、EC2のスナップショットの話になります。ちょっとした工夫点としては、ユーザデータが入っているボリュームとOSやActive DirectoryのボリュームをEBSで分けるようにすれば良いかと思います。

Q2オンプレミスではドメインコントローラは複数台推奨ですが、AWSでも複数台構成が推奨でしょうか？

Answer

同じくAWSでも複数台構成が推奨となっています。
AWSでは更にドメインコントローラを異なるアベイラリティ・ゾーン（AZ）に分けて設置することを推奨しています。これを行うことで複数のデータセンタで冗長しているのと同じような効果が得られます。

【その他】

Q1移行までの所要時間を教えてください。

Answer

クライアントの設定変更を含まない場合では、単純にマスタ昇格や同期であれば、早いものでは数時間で完了します。移行台数が多い場合は、数日かかります。
これに「データを新しく入れて切り替える」という事ですと、新規の構築という事になりますので、数週間単位というリードタイムになります。

Q2移行について、データエクスポート・データインポート方式とした場合、SID(セキュリティ識別)は既存ADから変更されてしまうでしょうか？

Answer

質問の通り、変更されてしまいます。

Q3オンプレのクライアントPCとAmazon EC2上のサーバーの両方を同一ドメインで管理し、 WSUS(ローカルに設置する企業向けMicrosoft Updateサービス)を利用する場合は、Amazon EC2上にADを構築する方法しかないでしょうか？

Answer

ご質問の通り、Amazon EC2上にADサーバーを構築する方法が最適のようです。

おわりに

本コラムでは、ウェビナー参加者からいただいたご質問と、その回答を紹介させていただきました。みなさまが抱えるオンプレミスのADサーバーをAWSに移行する際の課題や疑問の払拭の一助になればと思います。
今後も随時ウェビナーを開催していきますので当社クラウドソリューションサイトを引き続きご確認ください。また、もっと具体的に質問したい、個別にご相談したい、といった場合は、オンラインでの個別相談会も開催しております。お気軽にお問合せください。