Windows Server CoreにActive Directoryドメインコントローラーをインストールする方法（PowerShell・WAC対応）

Windows Server Coreは、必要なリソースが少なく、コード量や更新プログラムも抑えられるため安定性とセキュリティに優れており、Active Directoryドメインコントローラーの役割をホストするのに最適なプラットフォームです。本記事では、PowerShellを使用して、新規フォレストまたは既存のActive Directoryフォレストに対し、Windows Server Core 2019上へドメインコントローラーをインストールする手順を詳しく解説します。

目次

• PowerShellでActive Directoryドメインコントローラーをインストールする方法
• Server Core上のドメインコントローラーの正常性確認
• Windows Admin Center（WAC）を使ったADドメインコントローラーのインストール

PowerShellでActive Directoryドメインコントローラーをインストールする方法

まず、新しいホスト（物理サーバーまたは仮想マシン）にWindows Server Coreをインストールし、基本設定を行います。具体的には、ホスト名、ネットワーク設定（静的IPアドレス、サブネットマスク、ゲートウェイ、DNS）、日付/時刻、タイムゾーンなどを構成します。

Rename-Computer -NewName hb-dc03
Get-NetAdapter
$ip = "192.168.13.11"
$gw="192.168.13.1"
$dns = "192.168.13.10"
New-NetIPAddress -InterfaceAlias Ethernet -IPAddress $ip -AddressFamily IPv4 -PrefixLength 24 –DefaultGateway $gw
Set-DnsClientServerAddress -InterfaceAlias Ethernet -ServerAddresses $dns

これらの初期設定コマンドの詳細については、「Windows Server Coreインストールの基本構成コマンド」の記事を参照してください。

次に、Active Directoryドメインサービス（ADDS）の役割をインストールします。PowerShellコンソールで以下のコマンドを実行してください。

Install-WindowsFeature AD-Domain-Services –IncludeManagementTools -Verbose

AD-Domain-Services役割が正しくインストールされたことを確認します。

Get-WindowsFeature -Name *AD*

ADDS役割のインストール後は、ADDSDeploymentモジュールのコマンドレットを使用して、新しいドメインやフォレスト、あるいは追加のドメインコントローラーを展開できます。

Get-Command -Module ADDSDeployment

展開のシナリオは主に3つあります。

• 新しいActive Directoryフォレストの作成：
  Install-ADDSForest -DomainName woshub.com -ForestMode Win2016 -DomainMode Win2016 -DomainNetbiosName WOSHUB -InstallDns:$true
• Install-ADDSDomainコマンドレット：既存のActive Directoryフォレスト内に新しいドメインを作成します。
• Install-ADDSDomainControllerコマンドレット：既存のActive Directoryドメインに新しい（追加の）ドメインコントローラーを追加します。

RODC（読み取り専用ドメインコントローラー）を展開したい場合は、Add-ADDSReadOnlyDomainControllerAccountコマンドレットを使用してください。

実際の運用では、3番目のシナリオ——既存のActive Directoryドメインへの追加ドメインコントローラーの導入——が最も一般的です。

新しいドメインコントローラーを昇格する前に、必ずActive Directoryドメインが正常に動作していることを確認してください。各DCでDcdiag /vを実行してエラーがないか入念にチェックし、ADレプリケーションの状態も確認しましょう（repadmin /showreplおよびrepadmin /replsum）。また、最新のADドメインコントローラーのバックアップが取得済みであることも忘れずに確認してください。

Default-First-Site-Nameサイトに新しい追加DCを登録するシンプルなケースでは、次のコマンドを実行します。

Install-ADDSDomainController -DomainName woshub.com -InstallDns -Credential (get-credential WOSHUB\Administrator) -DatabasePath "D:\ADDS\DB" -LogPath "D:\ADDS\Log" -SysvolPath "D:\ADDS\SYSVOL"

この例では、ADデータベース、ログ、SYSVOLを別ディスクに保存するよう指定しています。デフォルトでは、それぞれ%SYSTEMROOT%\NTDSと%SYSTEMROOT%\SYSVOLに配置されます。

さらに、新しいドメインコントローラーを配置するActive Directoryサイトを明示的に指定することも可能です。下記の例では、DCをグローバルカタログとして設定し、ConvertTo-SecureStringコマンドを使ってDSRM（ディレクトリサービス復元モード）のパスワードも同時に指定しています。

Install-ADDSDomainController -DomainName woshub.com -InstallDns:$true -NoGlobalCatalog:$false -SiteName 'Hamburg' -NoRebootOnCompletion:$true -Force:$true -SafeModeAdministratorPassword (ConvertTo-SecureString 'R0DCP@ssw0rd' -AsPlainText -Force) -Credential (get-credential WOSHUB\Administrator) –verbose

コマンドの出力内容をよく確認し、問題がなければホストを再起動します。

Restart-Computer

Server Core上のドメインコントローラーの正常性確認

ドメインコントローラーのインストール完了後は、基本的なチェックを実施し、新しいDCがドメインに正常に追加され、レプリケーションに参加していることを確認しましょう。

Windows Server Core上のドメインコントローラーは、別のサーバーから標準のGUIスナップイン（dsa.msc、gpmc.msc、dnsmgmt.msc、dssite.msc、adsiedit.msc、domain.msc）を使って管理できるほか、RSAT（Rsat.ActiveDirectory.DS-LDS.Tool）がインストールされたWindows 10クライアントからも操作できます。

任意のコンピューターでADUC（dsa.msc）コンソールを開き、新しいDCが「Domain Controllers」OUに表示されていることを確認してください。

Windows Server Coreの再起動後は、ドメイン管理者アカウントでホストにログオンする必要があります。

Get-ADDomainControllerコマンドレットを使えば、ドメインコントローラーが正しいADサイトに配置されているかを確認できます。

Get-ADDomainController -Discover

Active Directory関連のサービスが実行中であることも確認しておきましょう。

Get-Service adws,kdc,netlogon,dns

組み込みの隠し管理共有に加えて、SYSVOLとNETLOGONフォルダーが共有されている必要があります。

Get-SMBShare

イベントビューアーにADDSのイベントが記録されているかも確認します。

Get-Eventlog "Directory Service" | Select-Object entrytype, source, eventid, message
Get-Eventlog "Active Directory Web Services" | Select-Object entrytype, source, eventid, message

続いて、dcdiagコマンドでテストを実行し（すべての項目がPassedになっている必要があります）、以下のコマンドでDC間のレプリケーション状態をチェックします。

repadmin /replsummary

または

Get-ADReplicationFailure -Target DC03

ドメインおよびフォレスト内のFSMO役割がどのDCに配置されているかも確認してください。必要に応じて、FSMO役割を新しいDCへ移行します。

Netdom /query FSMO

また、Active Directoryの総合的な正常性を診断できるヘルスチェックスクリプトを活用するのも有効です。

Windows Admin Center（WAC）を使ったADドメインコントローラーのインストール

Windows Server Coreへのドメインコントローラー導入は、Windows Admin Center（WAC）のWebインターフェースからも実行できます。手順は以下の通りです。

1. Windows Server CoreホストをWindows Admin Centerのインターフェースに追加します。
2. ADDS役割をインストールするには、「Roles and Features」セクションを開き、利用可能な役割一覧から「Active Directory Domain Services」を選択して「Install」をクリックします。
3. 役割と管理ツールのインストールを確認します。
4. Windows Server Coreをドメインコントローラーへ昇格するには、WACのPowerShell Webコンソールを開き、前述のコマンドレットを使ってDCを構成します。
5. DCのインストールが完了したら、Server Coreを再起動し、ドメインアカウントを使ってWACに再接続します。
6. WebインターフェースからActive Directoryを直接管理したい場合は、専用のWAC拡張機能をインストールします（現在はPreview版として提供されています）。インストールすると、Windows Admin Centerに新しいセクションが追加され、ADツリーの閲覧や管理がブラウザ上で行えるようになります。