今回は、Active Directory（AD）環境において重要な役割を果たすFSMO（Flexible Single Master Operation）について、初心者から中級者の方向けに詳しく解説します。ADサーバーの冗長化の仕組みから、FSMOの5つの操作マスターの役割、実践的な管理方法まで、インフラエンジニアとして知っておくべき知識を体系的にお伝えします。

Active Directoryとサーバー冗長化の基礎知識

Active Directoryとは

Active Directory（AD）は、Microsoftが開発したディレクトリサービスで、企業ネットワークにおけるユーザー認証、アクセス制御、リソース管理を一元的に行うシステムです。Windows環境の企業インフラにおいて、なくてはならない基盤技術として広く使用されています。

なぜADサーバーの冗長化が必要なのか

企業のIT基盤において、ADサーバーの単一障害点（Single Point of Failure）は致命的な問題となります。ADサーバーが停止すると、以下のような深刻な影響が発生します：

• ユーザーがログインできない
• ファイルサーバーやアプリケーションサーバーへのアクセスが不可能
• グループポリシーの適用ができない
• メール送受信やその他の業務システムが機能停止

これらのリスクを回避するため、ADでは複数のドメインコントローラー（DC）を配置した冗長化構成が標準的な設計となっています。

FSMOとは？操作マスターの概念を理解する

FSMOの基本概念

FSMO（Flexible Single Master Operation）は、「操作マスター」とも呼ばれ、Active Directoryフォレスト内で特定の操作を1つのドメインコントローラーのみが実行できるように制限する仕組みです。

通常、ADの多くの操作は複数のDC間で分散処理されますが、データの整合性を保つために、一部の重要な操作については単一のDCのみが責任を持つ必要があります。これがFSMOの役割です。

身近な例で理解するFSMOの必要性

例えば、企業の経理部門を考えてみましょう。日常的な伝票処理や帳簿記録は複数の担当者が分担して行えますが、以下のような重要な作業は特定の責任者1人だけが行う必要があります：

• 会計年度の締め処理：複数人が同時に行うと矛盾が生じる
• 新しい勘定科目の追加：統一性を保つため1人の判断が必要
• 月次決算の確定：最終的な責任者を明確にする必要がある

Active Directoryでも同様に、ユーザー情報の参照や通常の認証処理は複数のDCで分散処理できますが、「新しいドメインの追加」や「ADスキーマの変更」といった重要な操作は、データの整合性を保つために特定の1台のDCのみが実行する必要があります。

この「特定の重要な作業を担当する責任者」がFSMOの各役割に相当し、5つの異なる専門分野（役割）に分かれて、AD環境全体の安定性と整合性を保っているのです。

5つのFSMO役割の分類

FSMOには以下の5つの役割があり、フォレストレベルとドメインレベルに分類されます：

フォレストレベル（フォレスト全体で1つずつ）

• スキーママスター
• ドメイン名前付けマスター

ドメインレベル（各ドメインで1つずつ）

• PDCエミュレーター
• RIDマスター
• インフラストラクチャマスター

重要な3つのFSMO役割を詳しく解説

1. スキーママスター（Schema Master）

役割と重要性

スキーママスターは、Active Directoryのスキーマ（データ構造の定義）を管理する最も重要なFSMO役割の一つです。スキーマとは、ADに格納できるオブジェクトの種類や属性を定義するテンプレートのようなものです。

主な機能

• 新しいオブジェクトクラスの追加・変更
• 属性の定義変更
• Exchange ServerやSharePoint等のアプリケーション導入時のスキーマ拡張
• ADの基本構造の維持・管理

運用上の注意点

スキーママスターでの変更は不可逆的で、フォレスト全体に影響を与えるため、細心の注意が必要です。通常の運用では変更頻度は低いですが、新しいMicrosoft製品の導入時には必ず関わってくる重要な役割です。

2. ドメイン名前付けマスター（Domain Naming Master）

役割と重要性

ドメイン名前付けマスターは、Active Directoryフォレスト内でのドメインの追加・削除を制御します。企業の組織変更や買収・合併時に重要な役割を果たします。

主な機能

• 新しいドメインの作成許可
• 既存ドメインの削除制御
• フォレスト内のドメイン構造の整合性維持
• クロスリファレンス（ドメイン間参照）の管理

運用上の注意点

ドメインの追加・削除は企業のIT戦略に直結する重要な変更です。特に子ドメインの追加や削除は、DNSやネットワーク設計にも大きな影響を与えるため、慎重な計画が必要です。

3. PDCエミュレーター（PDC Emulator）

役割と重要性

PDCエミュレーターは、日常的な運用で最も頻繁に利用されるFSMO役割です。Windows NT時代のプライマリドメインコントローラー（PDC）の機能を継承し、多くの重要なサービスを提供します。

主な機能

パスワード認証の優先処理

• ユーザーのパスワード変更を最優先で処理
• 認証失敗時の最終確認機関として機能
• アカウントロックアウトの管理

時刻同期サービス

• ドメイン内の全コンピューターの基準時刻を提供
• Kerberos認証に必要な時刻同期の維持

グループポリシー管理

• グループポリシーの編集・更新を最優先で処理
• ポリシーの整合性確保

運用上の注意点

PDCエミュレーターは最も負荷の高いFSMO役割のため、高性能なサーバーに配置することが推奨されます。また、障害時の影響も大きいため、迅速な役割移行の準備が重要です。

その他のFSMO役割の概要

RIDマスター（RID Master）

セキュリティ識別子（SID）の一部となる相対識別子（RID）の範囲を各DCに割り当てます。オブジェクト作成時の一意性を保証する重要な役割ですが、日常的な管理作業は少ない役割です。

インフラストラクチャマスター（Infrastructure Master）

他ドメインのオブジェクトへの参照（ファントム参照）を更新し、ドメイン間でのオブジェクト移動や削除時の整合性を維持します。マルチドメイン環境で重要な役割を果たします。

実践：FSMOの確認と管理方法

PowerShellでのFSMO確認コマンド

# 全てのFSMO役割を確認
Get-ADForest | Select-Object SchemaMaster, DomainNamingMaster
Get-ADDomain | Select-Object PDCEmulator, RIDMaster, InfrastructureMaster

# より詳細な情報を取得
netdom query fsmo

GUI による確認方法

Active Directory ドメインと信頼関係

• スタートメニュー → 管理ツール → Active Directory ドメインと信頼関係
• ドメイン名を右クリック → 操作マスター

Active Directory スキーマ

• mmc.exe を起動しActive Directory スキーマスナップインを追加
• Active Directory スキーマを右クリック → 操作マスター

FSMO役割の移行方法

計画的な役割移行（推奨方法）：

# PDCエミュレーターの移行例
Move-ADDirectoryServerOperationMasterRole -Identity "新しいDC名" -OperationMasterRole PDCEmulator

緊急時の強制移行：

# 元のDCが完全に復旧不可能な場合のみ使用
Move-ADDirectoryServerOperationMasterRole -Identity "新しいDC名" -OperationMasterRole PDCEmulator -Force

まとめ：FSMOを理解してAD環境を安定運用する

Active DirectoryのFSMO（操作マスター）は、企業のIT基盤の安定性に直結する重要な仕組みです。特にスキーママスター、ドメイン名前付けマスター、PDCエミュレーターの3つの役割は、それぞれ異なる重要性を持ち、適切な理解と管理が必要です。

日常的な運用では、定期的なFSMO役割の確認と、障害時の迅速な役割移行の準備が重要です。また、サーバーの更新やメンテナンス時には、計画的なFSMO役割の移行を行うことで、サービスの継続性を確保できます。

インフラエンジニアとして、これらの知識を身につけることで、より安定したActive Directory環境の構築・運用が可能になります。ぜひ、テスト環境でのFSMO操作の練習や、定期的な確認作業を通じて、実践的なスキルを身につけてください。

Active DirectoryのFSMO完全ガイド：冗長化と操作マスターの仕組みを徹底解説

今回は、Active Directory（AD）環境において重要な役割を果たすFSMO（Flexible Single Master Operation）について、初心者から中級者の方向けに詳しく解説します。ADサーバーの冗長化の仕組みから、FSMOの5つの操作マスターの役割、実践的な管理方法まで、インフラエンジニアとして知っておくべき知識を体系的にお伝えします。

Active Directoryとサーバー冗長化の基礎知識

Active Directoryとは

Active Directory（AD）は、Microsoftが開発したディレクトリサービスで、企業ネットワークにおけるユーザー認証、アクセス制御、リソース管理を一元的に行うシステムです。Windows環境の企業インフラにおいて、なくてはならない基盤技術として広く使用されています。

なぜADサーバーの冗長化が必要なのか

企業のIT基盤において、ADサーバーの単一障害点（Single Point of Failure）は致命的な問題となります。ADサーバーが停止すると、以下のような深刻な影響が発生します：

• ユーザーがログインできない
• ファイルサーバーやアプリケーションサーバーへのアクセスが不可能
• グループポリシーの適用ができない
• メール送受信やその他の業務システムが機能停止

これらのリスクを回避するため、ADでは複数のドメインコントローラー（DC）を配置した冗長化構成が標準的な設計となっています。

FSMOとは？操作マスターの概念を理解する

FSMOの基本概念

FSMO（Flexible Single Master Operation）は、「操作マスター」とも呼ばれ、Active Directoryフォレスト内で特定の操作を1つのドメインコントローラーのみが実行できるように制限する仕組みです。

通常、ADの多くの操作は複数のDC間で分散処理されますが、データの整合性を保つために、一部の重要な操作については単一のDCのみが責任を持つ必要があります。これがFSMOの役割です。

身近な例で理解するFSMOの必要性

例えば、企業の経理部門を考えてみましょう。日常的な伝票処理や帳簿記録は複数の担当者が分担して行えますが、以下のような重要な作業は特定の責任者1人だけが行う必要があります：

• 会計年度の締め処理：複数人が同時に行うと矛盾が生じる
• 新しい勘定科目の追加：統一性を保つため1人の判断が必要
• 月次決算の確定：最終的な責任者を明確にする必要がある

Active Directoryでも同様に、ユーザー情報の参照や通常の認証処理は複数のDCで分散処理できますが、「新しいドメインの追加」や「ADスキーマの変更」といった重要な操作は、データの整合性を保つために特定の1台のDCのみが実行する必要があります。

この「特定の重要な作業を担当する責任者」がFSMOの各役割に相当し、5つの異なる専門分野（役割）に分かれて、AD環境全体の安定性と整合性を保っているのです。

5つのFSMO役割の分類

FSMOには以下の5つの役割があり、フォレストレベルとドメインレベルに分類されます：

フォレストレベル（フォレスト全体で1つずつ）

• スキーママスター
• ドメイン名前付けマスター

ドメインレベル（各ドメインで1つずつ）

• PDCエミュレーター
• RIDマスター
• インフラストラクチャマスター

重要な3つのFSMO役割を詳しく解説

1. スキーママスター（Schema Master）

役割と重要性

スキーママスターは、Active Directoryのスキーマ（データ構造の定義）を管理する最も重要なFSMO役割の一つです。スキーマとは、ADに格納できるオブジェクトの種類や属性を定義するテンプレートのようなものです。

主な機能

• 新しいオブジェクトクラスの追加・変更
• 属性の定義変更
• Exchange ServerやSharePoint等のアプリケーション導入時のスキーマ拡張
• ADの基本構造の維持・管理

運用上の注意点

スキーママスターでの変更は不可逆的で、フォレスト全体に影響を与えるため、細心の注意が必要です。通常の運用では変更頻度は低いですが、新しいMicrosoft製品の導入時には必ず関わってくる重要な役割です。

2. ドメイン名前付けマスター（Domain Naming Master）

役割と重要性

ドメイン名前付けマスターは、Active Directoryフォレスト内でのドメインの追加・削除を制御します。企業の組織変更や買収・合併時に重要な役割を果たします。

主な機能

• 新しいドメインの作成許可
• 既存ドメインの削除制御
• フォレスト内のドメイン構造の整合性維持
• クロスリファレンス（ドメイン間参照）の管理

運用上の注意点

ドメインの追加・削除は企業のIT戦略に直結する重要な変更です。特に子ドメインの追加や削除は、DNSやネットワーク設計にも大きな影響を与えるため、慎重な計画が必要です。

3. PDCエミュレーター（PDC Emulator）

役割と重要性

PDCエミュレーターは、日常的な運用で最も頻繁に利用されるFSMO役割です。Windows NT時代のプライマリドメインコントローラー（PDC）の機能を継承し、多くの重要なサービスを提供します。

主な機能

パスワード認証の優先処理

• ユーザーのパスワード変更を最優先で処理
• 認証失敗時の最終確認機関として機能
• アカウントロックアウトの管理

時刻同期サービス

• ドメイン内の全コンピューターの基準時刻を提供
• Kerberos認証に必要な時刻同期の維持

グループポリシー管理

• グループポリシーの編集・更新を最優先で処理
• ポリシーの整合性確保

運用上の注意点

PDCエミュレーターは最も負荷の高いFSMO役割のため、高性能なサーバーに配置することが推奨されます。また、障害時の影響も大きいため、迅速な役割移行の準備が重要です。

その他のFSMO役割の概要

RIDマスター（RID Master）

セキュリティ識別子（SID）の一部となる相対識別子（RID）の範囲を各DCに割り当てます。オブジェクト作成時の一意性を保証する重要な役割ですが、日常的な管理作業は少ない役割です。

インフラストラクチャマスター（Infrastructure Master）

他ドメインのオブジェクトへの参照（ファントム参照）を更新し、ドメイン間でのオブジェクト移動や削除時の整合性を維持します。マルチドメイン環境で重要な役割を果たします。

実践：FSMOの確認と管理方法

PowerShellでのFSMO確認コマンド

# 全てのFSMO役割を確認
Get-ADForest | Select-Object SchemaMaster, DomainNamingMaster
Get-ADDomain | Select-Object PDCEmulator, RIDMaster, InfrastructureMaster

# より詳細な情報を取得
netdom query fsmo

GUI による確認方法

Active Directory ドメインと信頼関係

• スタートメニュー → 管理ツール → Active Directory ドメインと信頼関係
• ドメイン名を右クリック → 操作マスター

Active Directory スキーマ

• mmc.exe を起動しActive Directory スキーマスナップインを追加
• Active Directory スキーマを右クリック → 操作マスター

FSMO役割の移行方法

計画的な役割移行（推奨方法）：

# PDCエミュレーターの移行例
Move-ADDirectoryServerOperationMasterRole -Identity "新しいDC名" -OperationMasterRole PDCEmulator

緊急時の強制移行：

# 元のDCが完全に復旧不可能な場合のみ使用
Move-ADDirectoryServerOperationMasterRole -Identity "新しいDC名" -OperationMasterRole PDCEmulator -Force

まとめ：FSMOを理解してAD環境を安定運用する

Active DirectoryのFSMO（操作マスター）は、企業のIT基盤の安定性に直結する重要な仕組みです。特にスキーママスター、ドメイン名前付けマスター、PDCエミュレーターの3つの役割は、それぞれ異なる重要性を持ち、適切な理解と管理が必要です。

日常的な運用では、定期的なFSMO役割の確認と、障害時の迅速な役割移行の準備が重要です。また、サーバーの更新やメンテナンス時には、計画的なFSMO役割の移行を行うことで、サービスの継続性を確保できます。

インフラエンジニアとして、これらの知識を身につけることで、より安定したActive Directory環境の構築・運用が可能になります。ぜひ、テスト環境でのFSMO操作の練習や、定期的な確認作業を通じて、実践的なスキルを身につけてください。