adprep /rodcprep って実行する必要ありますか？

Windows プラットフォームサポートの進藤です。

Windows Server 2003 のドメイン環境で運用されているお客様より、ドメインコントローラーの OS バージョンアップに関するお問い合わせを多くいただきます。

Windows Server 2008 以降では読み取り専用ドメインコントローラー (RODC) が利用可能ですが、 RODC を利用する予定が無い場合に、 adprep /rodcprep を実行するべきか迷うことはないでしょうか？

結論から言いますと RODC を利用しない場合には adprep /rodcprep は不要です。

読み取り専用ドメインコントローラー (RODC) は Windows Server 2008 で新たに追加されたドメインコントローラーのオプションで、Active Directory データベースを読み取り専用で保持します。

RODC は物理的なセキュリティ対策が弱く IT 管理者がいないブランチオフィスの環境にドメインコントローラーを展開する場合などを想定して設計されています。

この RODC を利用する予定が無い場合には、ドメインコントローラーを Windows Server 2008 以降にバージョンアップする際、ドメイン移行作業の中で adprep /rodcprep を実行する必要はありません。

この点については下記の技術情報にも記載があります。

Adprep.exe の実行

--------

(抜粋) adprep /rodcprep このコマンドは省略可能です。読み取り専用ドメインコントローラー (RODC) をインストールする場合に限り実行します。

--------

移行作業が完了した後に RODC を追加することになった場合でも、後から adprep /rodcprep を実行することも可能です。

その際は、RODC のドメインコントローラーを構築する前に adprep /rodcprep を実行します。

以上のとおり、RODC を使用しない限りは、 adprep /rodcprep を実施しなくても問題ないのですが、ドメインコントローラーの健全性確認のために使用する dcdiag では、コマンドを実行しておかないとエラーが表示されてしまうので、これについて補足します。

Dcdiag のエラーメッセージについて

adprep /rodcprep を実行していない場合には、ドメインコントローラーの診断ツールである dcdiag コマンドで確認を行った際に、下記のような警告メッセージが出力されます。

---------------------------

　テストを開始しています: NCSecDesc

　　エラー: NT AUTHORITY\ENTERPRISE DOMAIN CONTROLLERS には

　　　Replicating Directory Changes In Filtered Set

　　　名前付けコンテキストへのアクセス権がありません:

　　　　DC=DomainDnsZones,DC=CONTOSO,DC=COM

　　エラー: NT AUTHORITY\ENTERPRISE DOMAIN CONTROLLERS には

　　　Replicating Directory Changes In Filtered Set

　　　名前付けコンテキストへのアクセス権がありません:

　　　　DC=ForestDnsZones,DC=CONTOSO,DC=COM

　　......................... "ホスト名"はテスト NCSecDesc に失敗しました

---------------------------

このテストでは、読み取り専用ドメインコントローラー (RODC) へ複製することを許可するための権限が名前付けコンテキストに対して設定されているかどうかを確認しており、"ENTERPRISE DOMAIN CONTROLLERS" グループにはその権限がなかったことを示しています。

このエラーは、adprep /rodcprep コマンドを実行していない環境において dcdiag を実行した際に出力されるもので、RODC を追加する予定がない場合は、この出力は無視できます。

dcdiag の出力結果に上記のエラーを出したくない場合には、adprep /rodcprep コマンドを実行する必要があります。

既に Windows Server 2003 から Windows Server 2008 以降のドメインコントローラーへ移行が完了している場合でも、adprep /rodcprep コマンドを実行してももちろん問題はありません。

上記の dcdiag でエラーが出力される現象は下記の技術情報にて公開しております。

Dcdiag fails for NCSecDesc test on Windows 2008 Domain Controllers

「コミュニティにおけるマイクロソフト社員による発言やコメントは、マイクロソフトの正式な見解またはコメントではありません。」

Additional resources