Active Directoryドメイン名を変更する方法【rendomコマンドによる手順を完全解説】

Active Directoryドメイン名の変更について

この記事では、Active Directory（AD）のドメイン名を test.com から resource.loc へ適切に変更する具体的な手順を紹介します。

まず前提として、Active Directoryドメインの名前変更は必ずしも推奨される手法ではない点に留意してください。大規模で複雑なADインフラストラクチャの場合は、ドメイン名を変更するよりも、ユーザー、コンピューター、サーバーを新しいドメインへ移行する方が安全です。一方、テスト環境やプリプロダクション環境、DMZなどの小規模でシンプルなAD環境であれば、本記事の手順に従うことで比較的容易にドメイン名を変更できます。

作業前の前提条件

作業を開始する前に、以下の項目を必ず確認してください。

• ドメインコントローラーの最新バックアップが取得済みであること
• ドメイン内でレプリケーションが正常に動作しており、ドメインコントローラーやDNSに重大なエラーが存在しないこと
• ドメイン内にExchangeが展開されていないこと（Exchange Server 2003を除き、Exchangeが存在するドメインは名前変更できません）
• Windows Server 2003以降であること（本例ではADドメインおよびフォレストの機能レベルはWindows Server 2016です）

ステップ1：新しいドメイン用のDNSゾーンを作成する

まず、既存のドメインコントローラー上に新しいドメイン用のDNSゾーンを作成します。dnsmgmt.msc スナップインを開き、resource.loc という名前の新しいプライマリ前方参照ゾーン（Forward Lookup Zone）を作成し、旧ドメイン test.com のすべてのDNSサーバーにレプリケートされるように設定します。

PowerShellを使用して新しいDNSゾーンを作成することも可能です。

Add-DnsServerPrimaryZone -Name resource.loc -ReplicationScope "Domain" –PassThru

新しいDNSゾーンがすべてのドメインコントローラー（DC）にレプリケートされるまで待機します。

ステップ2：現在のフォレスト構成をエクスポートする

rendom /list コマンドを実行すると、現在のADフォレスト構成を含む Domainlist.xml ファイルが生成されます。

Get-Content .\Domainlist.xml

<Forest>
<Domain>
<!-- PartitionType:Application -->
<Guid>6944a1cc-d79a-4bdb-9d1b-411fd417bbbc</Guid>
<DNSname>DomainDnsZones.test.com</DNSname>
<NetBiosName></NetBiosName>
<DcName></DcName>
</Domain>
<Domain>
<!-- PartitionType:Application -->
<Guid>bb10d409-4897-4974-9781-77dd94f17d47</Guid>
<DNSname>ForestDnsZones.test.com</DNSname>
<NetBiosName></NetBiosName>
<DcName></DcName>
</Domain>
<Domain>
<!-- ForestRoot -->
<Guid>b91bcb80-7cbc-49b7-8704-11d41b77d891</Guid>
<DNSname>test.com</DNSname>
<NetBiosName>TEST</NetBiosName>
<DcName></DcName>
</Domain>
</Forest>

ステップ3：Domainlist.xmlを編集してドメイン名を置換する

生成された Domainlist.xml を開き、古いドメイン名をすべて新しいドメイン名に置き換えます。

Notepad .\Domainlist.xml

ファイルを保存したら、次のコマンドを実行します。

rendom /showforest

このコマンドにより、実行予定の構成変更内容が表示されます。

ステップ4：新しい構成をドメイン命名マスターへアップロードする

次のコマンドを実行すると、新しいADパーティション構成を記述した Domainlist.xml が、Domain Naming Master FSMO役割を持つドメインコントローラーへアップロードされます。

rendom /upload

FSMO役割の所有者は以下のコマンドで確認できます。

netdom query fsmo

この後、フォレスト構成はロックされ、変更を行うことはできなくなります。

ステップ5：ドメインコントローラーの準備状況を確認する

rendom /prepare コマンドは、フォレスト内のすべてのDCの可用性と、名前変更の準備が整っているかどうかをチェックします。

コマンドがエラーを返していないことを必ず確認してください。

Waiting for DCs to reply.
mun-dc02.test.com was prepared successfully
mun-dc00.test.com was prepared successfully
The operation completed successfully.

ステップ6：ドメイン名の変更を実行する

次のコマンドでドメイン名の変更を実行します。実行中はドメインコントローラーが一時的に利用不能となり、新しい設定を適用するために自動的に再起動されます。

rendom /execute

Waiting for DCs to reply.
The script was executed successfully on mun-dc02.test.com
The script was executed successfully on mun-dc00.test.com
2 servers contacted, 0 servers returned Errors
The operation completed successfully.

ドメインのプロパティに新しいドメイン名が表示されていることを確認してください。なお、コンピューターの完全なコンピューター名（FQDN）はまだ変更されていない点に注意が必要です。

DCへのログオン時は、newdomain\username の形式でアカウント名を指定する必要があります。Windows Server Coreのドメインコントローラーでは、ESCキーを数回押すことで別のユーザー名を指定できます。

ステップ7：GPOの参照情報を更新する

以下のコマンドを実行して、グループポリシー（GPO）のバインディングを更新します。

gpfixup /olddns:test.com /newdns:resource.loc

Group Policy fix up utility Version 1.1 (Microsoft)
Start fixing group policy (GroupPolicyContainer) objects:
Start fixing site group policy links:
Start fixing non-site group policy links:
gpfixup tool executed with success.

続いて、NetBIOSドメイン名を更新します。

gpfixup /oldnb:TEST /newnb:RESOURCE

ステップ8：各ドメインコントローラーのコンピューター名を変更する

各ドメインコントローラーに対して手動で新しい名前を追加し、プライマリとして設定します。

netdom computername %COMPUTERNAME%.test.com /add:%COMPUTERNAME%.resource.loc
netdom computername %COMPUTERNAME%.test.com /makeprimary:%COMPUTERNAME%.resource.loc

その後、DCを再起動します。

Shutdown –f –r –t 0

手動での名前変更が必要なのはドメインコントローラーのみです。それ以外のクライアントPCやサーバーは、2回再起動するだけで自動的に新しいドメインへ切り替わります。

ステップ9：旧ドメインの参照情報を削除してフォレスト構成を解除する

以下のコマンドを実行すると、ADから旧ドメインへのリンク情報が削除されます。

rendom /clean

続いて、ドメイン構成のロックを解除します。

rendom /end

ステップ10：変更結果の確認

ADUC（dsa.msc）コンソールを開き、新しいドメイン名に接続されていること、またすべてのOU構造、ユーザー、コンピューターオブジェクトがそのまま維持されていることを確認してください。

なお、証明機関（CA）やフェールオーバークラスターなど、一部のサービスについては新しいドメインに対応させるための追加設定作業が必要となる場合がありますのでご注意ください。

最後に、ドメイン名の変更完了後は、ドメインコントローラー上でADレプリケーションの状態とエラーの有無を必ずチェックしましょう。