【Active Directory】ドメイン機能レベル一覧と追加機能まとめ

Active Directory では、フォレスト/ドメインのバージョンを統一するための機能レベルという機能があります。フォレスト/ドメインの機能レベルをあげることで Active Directory の新しい機能を利用したり、古い OS で実行されているドメインコントローラーの追加を制限するといったことができるようになります。

今回は、その機能レベルの各機能と機能レベルごとに含めることが可能なドメインコントローラーの OS について整理しました。

機能レベル毎の追加機能

機能レベルの昇格によって利用できる機能としては、削除されたオブジェクトに対する復元ができる機能（Active Directory ごみ箱機能）があったりしますが、他にも追加される機能としてはいくつかあります。

機能レベルを確認する方法については、別の記事で手順解説をしていますので、そちらをご参照ください。

【Active Directory】フォレストドメイン機能レベルを確認する［コマンド解説］

Active Directory のフォレストドメイン機能レベルをコマンドで確認する方法をご紹介します。 機能レベルは、Active Directory ドメインと信頼関係の管理画面からでも確認することはできますが、コマンドプロンプトや W...

bizlog.tech

フォレスト機能レベル一覧

フォレスト機能レベル毎のサポートされる機能は以下となります。

ドメイン機能レベル一覧

ドメイン機能レベル毎のサポートされる機能は以下となります。

各機能レベルは一つ前のバージョンでサポートされる機能はすべてサポートされます。

機能レベル毎の対応 OS バージョン

Active Directory では、機能レベル毎にフォレスト/ドメイン内に存在することができるドメインコントローラーの OS バージョンが決まっており、 Active Directory 環境は、その要件を満たす OS バージョンのドメインコントローラーで構成する必要があります。

各機能レベル毎に存在できるドメインコントローラーの OS バージョンについてまとめました。

フォレスト機能レベルの対応バージョン一覧

フォレスト機能レベル毎に存在できる OS バージョンは以下となります。

ドメイン機能レベルの対応バージョン一覧

ドメイン機能レベル毎に存在できる OS バージョンは以下となります。

※Windows Server 2019 のドメインコントローラーを追加する最小要件は、Windows Server 2008 機能レベル以上かつ、同期方式は DFSR となっています。

フォレストとドメインの機能レベルの関係性

フォレストとドメインの機能レベルは、フォレストの機能レベルをベースとして考えて、ドメインの機能レベルを決定するというような考え方になります。

基本的には、採用可能な最上位の機能レベルを設定することが推奨されており、特に要件がなければフォレストとドメインの機能レベルを最上位のものにしておくことが良しとされています。（フォレスト機能レベルを最上位とする考え方）

というのも、ドメインの機能レベルはフォレストの機能レベルより高いレベルでのみ設定が可能となっており、反対にフォレストよりも低いレベルには設定することはできないという決まりがあるためです。

整理すると以下のようになります。

そのため、仮にフォレストの機能レベルが Windows Server 2012 R2 の場合は、ドメインの機能レベルは Windows Server 2012 R2 ～ Windows Server 2016 までの範囲で設定が可能という事になります。

機能レベルを上げるタイミング

Active Directory のシステムを継続して利用していく場合、ドメインコントローラーの OS のサポート期間が切れる前に OS 入れ替えが発生しますが、古いドメインコントローラーの廃止により機能レベルを上げられる条件が揃うので、低い機能レベルを維持しなければならない要件がない限りこちらのタイミングが多いのではないかと思います。

また、機能レベルを上げる際は、低い機能レベルを維持しなければならない要件がないか（例えば連携システムが特定の機能レベルしかサポートされていないなど）フォレスト/ドメインの利用環境や連携システムに合わせて決定するよう注意が必要です。

機能レベルのロールバック（機能レベルの降格）

機能レベルは一度上げたら下げられない（下げない）という考え方が一般的であり、下げる場合の手段としてはバックアップからのリストアなどインパクトとしては大きい部類の作業が必要となるため、後戻りを発生させないためにも事前の調査と検討が重要となります。

※Active Directory としては下位の機能レベルに下げる手段が存在しているため、機能レベルを上げたり下げたりといったことは技術的には可能ですが、スキーマや内部情報などの部分に関わるトラブルが多く報告されているようですのでリスクが高い手段になるかと思われます。

追記

機能レベルのロールバックについて、リストアではなく PowerShell コマンドで行った検証記事がありますので、興味があれば参考にしていただければと思います。

【Active Directory】フォレストドメインの機能レベルを下げる

以前別の記事で AD フォレストドメインの機能レベルについて、機能レベルを下げることはリスクがあるとの見方がある旨の内容を書いていましたが、Windows Server の検証をやっている時に機能レベルを下げたい状況があったので、実際にやっ...

bizlog.tech