Active Directory ドメインサービス (ADDS) の導入

# はじめに
私が投稿した（投稿予定も含む） Qiita 記事では、AD DS を扱う場面が出てきます。
そのため、この記事では AD DS のインストール手順を Step by Step で紹介しておきたいと思います。

以下の３章立てとなっています。
１章：ドメインコントローラー の構築
２章：サーバーやクライアントのドメイン参加
３章：コンピューターオブジェクトの確認

:::note warn
Azure VM 上に AD DS を導入するための手順は、別途 記事にしてあります。
:::

https://qiita.com/carol0226/items/084fbbb3f31b646025f4

<2024.6.30 追記>
なかなか良い公開情報があったので、追記しておきます。2022 もサポートに含まれてます。

https://learn.microsoft.com/ja-jp/windows-server/identity/ad-ds/deploy/ad-ds-deployment?wt.mc_id=mvp_407731

# 1. ドメインコントローラーの構築

## 1-1. AD DS の 役割 サービスの導入
ADサーバ 上に Active Directory 役割サービスの導入を行います。

0. 「サーバーマネージャー」で、「管理」を開き、「役割と機能の追加」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/01f8d355-3856-c760-2219-05dfd4d87429.png)
　<br>
0. 以下の画面では、「次へ」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/42ae08c8-4a48-24e5-46b6-05fd0b6efdfa.png)
　<br>
0. 「役割ベースまたは機能ベースのインストール」を選択して、「次へ」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/76f6872e-457a-0cf5-2ce3-71b4253d1f72.png)
　<br>
0. 以下の画面では、「次へ」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/eb1faa54-f30b-b023-435d-607809fc4e8a.png)
　<br>
0. 以下の画面では、「Active Directory ドメインサービス」にチェックを入れます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/fd3d2b4b-52e6-2e9c-3edd-d0d7cc1fdfe6.png)
　<br>
0. すると、以下のウィンドウが表示されるため、「機能の追加」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/ef8641c8-f974-8031-2e42-d3be9b0d32b1.png)
　<br>
0. 下図の画面に戻るので、「次へ」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/cbe34cfb-731a-e886-c04f-e8e288dfd84c.png)
　<br>
0. 下図では、特に設定は変更せず、「次へ」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/db2a762e-7076-d444-f693-3752a113d287.png)
　<br>
0. 下図では、そのまま「次へ」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/bac7e400-4702-933b-22ef-db0642144d0e.png)
　<br>
0. 下図では、「必要に応じて対象サーバーを自動的に再起動する」にチェックを入れます。<br>その時に、ウィンドウが表示されるので、「はい」をクリックします。<br>その後、この画面に戻ってくるので、「インストール」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/6f01e846-0b6c-4144-6585-a5cfc03186dd.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/4d3cdcd6-fdc2-fb69-466f-6d6b926b2f0d.png)
　<br>
0. インストールの進捗状況（緑枠）が 100% になったら完了です。<br>そのあと、「このサーバーをドメインコントローラーに昇格する（赤枠）」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/dd90f160-8320-b3b0-ea72-e6455c815a7c.png)
なお、ここで 間違えて ウィザードを閉じてしまった場合は、以下の手順で代替可能です。<br>サーバーマネージャーに、以下のような 旗に「！」が出ているアイコンをクリックすると、同じ選択肢が現れます。<br>
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/f7f4aa59-fad5-2bc2-2d41-dd8e8e568d6e.png)

## 1-2. ドメインコントローラーへの昇格
前章の役割サービスを導入しただけは、ドメインコントローラーとして動作はしていません。<br>本章の手順で、単なるサーバーを ドメインコントローラーへ昇格させることで ADサーバ となります。

0. 前章の最後の画面で「このサーバーをドメインコントローラーに昇格する（赤枠）」を実行すると、下図のように「Active Directory ドメインサービス構成ウィザード」が表示されます。<br>ここでは、「新しいフォレストを追加する」を選択し、ルートドメイン名 を入力します。<br>※ルートドメイン名は、任意の文字列で構いません。命名に迷ったら 本記事のものを真似て貰っても構いません。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/d3cf067f-67b0-4ebc-2a1b-8ca0a8da23e8.png)
　<br>
0. 以下の画面では、ディレクトリサービス復元モード(DSRM) のパスワードを指定する必要があります。<br>これは、Active Directory が破損してしまった場合に、バックアップから戻す際に利用するものなので、構築の検証をするだけなら それほど意識することはありません。<br>ここでは、8文字以上で 大文字・小文字・数字・記号 から３種類が含まれていればOKです。<br>設定が終わったら、「次へ」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/080c5655-da8a-ceed-b309-24738093d8f8.png)
　<br>
0. 以下の画面では、そのまま「次へ」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/81a195cc-afe7-4e9c-97ea-1044d277d39a.png)
　<br>
0. 以下の画面では、NETBIOSドメイン名が自動的に表示されます。（ルートドメイン名から自動生成）
確認後に、「次へ」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/34877468-3d5c-5e18-b126-104651dcd309.png)
　<br>
0. 以下の画面では、そのまま「次へ」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/f0adf5bb-12fa-db0c-5362-f8102c15a9ce.png)
　<br>
0. 以下の画面は、設定した内容の最終確認です。確認後に「次へ」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/b32df3f3-a0ad-f59a-4e53-b36bc90e0859.png)
　<br>
0. 以下の画面では、「すべての前提条件のチェックに合格しました（緑枠）」と表示されていればOKです。<br>「結果の表示」欄に、黄色の！マークが出ていても、問題はありません。<br>「インストール」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/532ffcf2-72e6-536d-da58-a63765910d09.png)
インストールが進むと、サーバーが自動的に再起動されます。<br>再起動中に、ドメインコントローラーの初期構成が行われているため、時間がかかります。<br>再起動されてから、再度 サインイン が可能になるまで、5分程度 待ちましょう。

## 1-3. ドメインコントローラー昇格後の初期値確認
ドメインコントローラーを構成すると、昇格前との差異が見受けられます。<br>主なポイントを、以下で説明します。

- サーバーマネージャーの「ツール」メニュー配下に、Active Directory や DNS などのメニューが追加されます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a745bb64-57d3-b866-8d88-aa5274eb7b56.png)
　<br>
- DNS メニューを選択して起動すると、以下のように DNSマネージャー が起動されます。
サーバー名を右クリックして、「プロパティ」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/b6a33956-631a-0263-f046-7903dc6eed94.png)
その後、「DNSフォワーダー」タブを開くと、ここに 昇格前に使われていた DNSサーバー のIPアドレス が設定されている事が判ります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/a7e73bc7-9d76-49de-7d3e-71a7e541c6fa.png)
　<br>
- コマンド画面を開いて、ipconfig /all を実行します。
プライマリDNSサフィックス・DNSサフィックス検索一覧 は、指定した ルートドメイン名 になっています。
DNSサーバーは、「::1」と「127.0.0.1」になっています。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/2ca1f4ff-37d4-5bd4-fbcb-233340e03980.png)

この構成によって、ADサーバ 内に DNSサーバー が動作するようになりました。<br>OS上のプログラムは、ADサーバ 内 (127.0.0.1) の DNSサーバー を参照し、この DNSサーバー が フォワーダーに設定されている、上位の DNSサーバー を参照する構成になっている事が判ります。

# 2. サーバーやクライアントのドメイン参加
ここまで準備が整うと、サーバーや クライアント から ドメインコントローラーに対して、ドメイン参加 を実行する事が可能になっています。

## 2-1. ドメイン参加の実施
※この手順は、Windows 10 の画面で作成しています。

0. スタートボタン を 押して、「設定」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/63624a06-4bc3-c9bd-fe1c-b44d978e5e02.png)
　<br>
0. 「Windows の設定」画面では、「アカウント」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/343c54f4-a813-8339-4d2f-d06814f3c190.png)
　<br>
0. 「職場または学校にアクセスする」を選択して、「＋接続」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/5618b9d8-d7f3-66ed-a407-aaaba2e0d34f.png)
　<br>
0. 下記の図では「このデバイスをローカルの Active Directory ドメインに参加させる」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/141c23e1-8ad8-beae-9ec9-ecc96f0fb368.png)
　<br>
0. 「ドメインに参加」の画面で、ルートドメイン名 を入力して、「次へ」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/0e6ca3cf-2647-b525-5796-3da47ea2553d.png)
　<br>
0. 下記の 認証ウィンドウ が開くため、ADサーバ の 管理者アカウント を入力し、「OK」をクリックします。<br>
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/49276ece-b783-7c8b-fe29-a19871949ab3.png)
　<br>
0. 下記の図では、そのまま「次へ」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/2b670096-b74a-a616-16ab-2565530ed228.png)
　<br>
0. 下記の図では、「今すぐ再起動する」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/4bc694c9-2482-0263-e0d6-aafa8fa8bea8.png)

以上で、クライアント は ドメインに参加されました。

## 2-2. ドメイン への 初回ログオン
ドメイン への参加が行われると、以後の ログオン方法 が変わり、ドメイン名を指定する必要があります。下記の説明に注意しながら、アカウントを入力して、「OK」をクリックします。<br>・緑枠　＝　ドメイン名（.local は省略可）<br>・区切り文字　＝　￥<br>・水色枠　＝　ユーザーアカウント<br>・橙枠　＝　パスワード
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/c8cc2deb-7ca2-727e-ce02-6a1245ed0fa6.png)

クライアント から RDP を行う際には、以下の手順を参考にして 操作してみてください。

0. リモートデスクトップ接続を起動したあと、以下の画面で「その他」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/9844193e-ce97-8834-1105-19ffa7873a79.png)
　<br>
0. 以下の画面では、「別のアカウントを使用する」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/39cfb948-336b-a36d-8dbf-08dc56fbcc0c.png)
　<br>
0. 下記の説明に注意しながら、アカウントを入力して、「OK」をクリックします。<br>緑枠＝ドメイン名（.local は省略可）<br>区切り文字＝￥<br>水色枠＝ユーザーアカウント<br>橙枠　＝パスワード
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/d2dd003f-0820-0c9c-320e-02797f021df4.png)
　<br>
0. ドメインアカウント での ログオン に成功したら、以下のコマンドで 確認してみましょう。<br>set user コマンド を実行する事で、ログオン している ドメインの名前 が表示されます。<br>※ Set user コマンドは、PowerShell では動作しません。コマンドプロンプトで実行しましょう。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/5daa8f83-d298-979a-6bb4-924f53c746c1.png)

# 3. コンピューターオブジェクトの確認
クライアント が ドメイン参加されると、ADサーバ の管理画面上で確認できるようになります。<br>ADサーバ の サーバーマネージャー を操作して、以下の手順を実行してください。

0. サーバーマネージャー の「ツール」メニューから、「Active Directory ユーザーとコンピューター」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/6d7cd8c4-af7e-3efb-d5ad-cf34da2a652b.png)
　<br>
0. 「Active Directory ユーザーとコンピューター」が開かれたら、ドメイン名 の左側をクリックして展開し、「Computers」のコンテナ を開いてください。右側に ドメイン参加 した コンピューター の名前が表示されるはずです。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/93ae377b-d507-6aff-2782-40a3bacaa744.png)

以上で、Active Directory を構築して、クライアントPC をドメイン参加することができました。お疲れさまでした！

# Next Step
ドメインコントローラーが構築できたら、次は Microsoft Entra Connect（旧：Azure AD Connect）にチャレンジしてみては如何ですか？
「Connect 同期とはどういう事か？」や 前提となる「テナントの取得手順」など、必要な作業に繋がる一連の説明を記載してあります。

https://qiita.com/carol0226/items/487874f07d2fe90f8e0c

# 参考URL

https://atmarkit.itmedia.co.jp/ait/series/38963/

https://learn.microsoft.com/ja-jp/azure/architecture/example-scenario/identity/adds-extend-domain?wt.mc_id=mvp_407731

https://learn.microsoft.com/ja-jp/windows-server/identity/ad-ds/deploy/virtual-dc/adds-on-azure-vm?wt.mc_id=mvp_407731

https://learn.microsoft.com/ja-jp/windows-server/identity/ad-ds/get-started/virtual-dc/active-directory-domain-services-overview?wt.mc_id=mvp_407731

https://jpwinsup.github.io/blog/2023/10/23/ActiveDirectory/Authentication/design-consideration/

https://jpwinsup.github.io/blog/2023/04/24/ActiveDirectory/PromotionAndDemotion/backup-and-restore/