ドメインコントローラー（DC）が1台しかないActive Directoryに、2台目を足す。サーバーマネージャーから役割を入れ、「既存のドメインにドメインコントローラーを追加する」を選び、ウィザードを最後まで進めれば、再起動の後に新しいサーバーはドメインコントローラーとして一覧に並びます。ログインもできます。

ところが、その直後に診断コマンドを流すと、SYSVOLの複製、名前解決、時刻同期のエラーが並びます。ウィザードが成功して見えても、ドメインの中ではまだ準備が終わっていません。 そしてここで「エラーが出ているが、とりあえず3台目も足しておこう」と進むのが、いちばん危ない進め方です。

この記事は、無料動画「企業でよくあるWindows／M365環境 Part 7：2台目のDC」と「ドメインコントローラー構築時の落とし穴」、メンバー限定のFSMO・診断コマンド・自動構築の回を素材に、2台目を足すときの判断をまとめたものです。手順の公式の説明は2026年10月23日時点のMicrosoft Learnで確認しました。先に結論を書きます。

  1. 追加する前に、今の1台が健全かを確かめる。 壊れている状態をそのまま2台目へ複製しない
  2. 昇格のあいだ、新しいDCのDNSは既存のDCを向ける。 自分自身を向けるのは、複製が回ってから
  3. 昇格直後のエラーはまず待つ。待っても消えないものだけ直す。 全部消えるまで次のDCを足さない
  4. FSMOの役割と、外部との時刻同期は1台目に残る。 2台目を足しても自動では動かない

追加する前に、今の1台が健全かを確かめる

2台目のDCは、既存のDCからディレクトリの中身を受け取って生まれます。既存のDCで複製やDNSの問題が起きていれば、その問題ごと引き継ぎます。だから最初にやるのは、新しいサーバーの準備ではなく、今のDCの点検です。

dcdiag /v
repadmin /showrepl

dcdiag は最後の「合格しました」だけを見て終わらせず、途中のテストを上から読みます。結果の読み方はdcdiagでエラーが出るときの見方で詳しく扱っています。1台だけの今は複製相手がいないので、repadmin に並ぶものはほとんどありません。2台目を足した後に、同じコマンドの結果がどう変わるかを比べるため、今の出力を残しておくと後で役に立ちます。

あわせて、新しいサーバー側のネットワーク設定も確かめます。固定のIPアドレスを持ち、DNSサーバーとして既存のDCを参照し、ドメインに参加できていること。ここが崩れていると、昇格の途中で既存のDCを見つけられません。

昇格ウィザードで迷う5つの画面

無料動画の1分46秒からは、昇格ウィザードの最初の画面です。選ぶのは「既存のドメインにドメインコントローラーを追加する」。新しいフォレストやドメインを作る選択肢と並んでいるので、1台目を作ったときの記憶で別のものを選ばないようにします。操作に使う資格情報は、既存のドメインにDCを追加する場合、Domain Adminsグループのメンバーです（公式手順にも書かれています）。

2分27秒からの画面では、DNSサーバーとグローバルカタログにするかを選び、ディレクトリサービス復元モード（DSRM）のパスワードを入れます。DSRMのパスワードはDCごとに別に持つもので、1台目のものが自動で引き継がれるわけではありません。DCが起動できなくなったときに使うパスワードなので、どのDCのものかが分かる形で保管します。

3分5秒からはサイトの選択です。動画ではサイトの意味を説明したうえで、既定の Default-First-Site-Name 1つのまま進めています。拠点が1つなら、それで困ることはありません。拠点ごとにサブネットとサイトを分けている環境では、ここで新しいDCを正しいサイトに置くと、クライアントが近いDCを使い、拠点間の複製を制御できるようになります。

7分25秒からは、最初の複製をどのDCから受け取るかの選択です。既存のDCが1台なら、どれを選んでも結果は同じです。DCが複数あり、サイトが分かれている環境では、近くの健全なDCを選ぶ意味が出てきます。

最後のデータベースの置き場所の画面までの流れは、公式手順「Windows Server 2012 のレプリカ ドメイン コントローラーを既存のドメインにインストールする (レベル 200)」にも画面ごとに書かれています。題名は2012ですが、ウィザードの構成と同じことを行うPowerShellの Install-ADDSDomainController も含めて、追加の考え方を確かめられます。

新しいDCのDNSは、最初は既存のDCを向ける

ADは、ほかのDCの居場所をDNSのSRVレコードから探します（仕組みはActive DirectoryはDNSの中でドメインコントローラーを探しているで説明しています）。新しいDCがDNSサーバーにもなる場合、「自分のDNSを使えばよい」と考えて昇格の直後に参照先を自分自身へ変えたくなります。

公式の「ドメイン ネーム システム (DNS) クライアント設定の推奨事項」は、ここをはっきり書いています。昇格のあいだ、追加のDCは、そのドメインの名前空間をホストしている別のDCを指すように構成する。そしてADの受信と送信の両方の複製が機能し、最新の状態になるまで、DCが自分のDNSサービスを使うように構成しない。そうしないと、DNSの「アイランド」が起きる可能性がある、と。

生まれたばかりのDCのDNSゾーンは、まだ複製で中身を受け取っている途中です。そこへ自分自身を問い合わせ先にすると、不完全な台帳を自分で引いて、ほかのDCを見つけられなくなります。

複製が回った後の最終形について、同じ公式ページは2つの方法を挙げています。各DCが自分のDNSを優先する方法と、一元化したDNSサーバーをすべてのDCの優先先にする方法です。両者を組み合わせ、優先と代替に自分と別のDCを入れる方法も書かれています。

無料動画「ドメインコントローラー構築時の落とし穴」の33分11秒からは、DCが複数ある環境で優先DNSを自分自身にしておくと、DCの起動時にほかのDCを探す問い合わせが、まだ立ち上がっていない自分のDNSに向かってしまう、という理由を説明しています。そのため動画では34分37秒から、優先DNSは自分以外にしておくことを勧め、メンテナンスでDCを止める順番と参照先の組み合わせ次第で複製が行き渡らなくなる、という注意を続けています。公式が並べた選択肢のどれを取るにしても、参照先はDCを再起動する順番とセットで決めるものだ、と分かる場面です。

ISPなど社外のDNSをDCの参照先に入れないことも、公式ページに書かれています。社外の名前を引きたいなら、DNSマネージャーのフォワーダーに入れます。

昇格直後のエラーは「まず待つ」、ただし待っても消えないものは直す

無料動画の11分48秒からは、昇格の直後にあえて dcdiag を流す場面です。12分41秒からにSYSVOLの複製とDFSRのイベントに関するエラーが、15分53秒からに名前解決と時刻同期のエラーが出ます。それでも16分51秒からのとおり、出力の最後には合格の行があります。そして17分19秒からの repadmin では、ディレクトリの複製に成功が並びます。

一見ばらばらですが、昇格した直後のDCでは、複製の接続を作り、SYSVOLを受け取り、DNSに自分を登録する処理が順番に進んでいる途中です。昇格直後のエラーは、それだけで失敗を意味しません。 一方で、放っておけば消えるものと、手を入れないと消えないものが混ざっています。

そこで動画が勧めているのが、19分22秒からの「まず待つ」です。21分4秒からでは、目安として1日ほど置き、それでも残ったエラーに対処する、という進め方を話しています。動画の時刻同期のエラーは、外部の時刻源をまだ設定していなかったことが原因で、待っても消えない種類の例です。

そして19分52秒からが、この回でいちばん強く言っていることです。4台に増やす計画があっても、エラーが残っている状態で3台目、4台目を続けて足さない。1台足したら、エラーが全部消えたことを確かめてから次へ進む。 著者自身が何度も失敗してきた、と動画の中で話しています。

待った後の確認は、両方のDCで行います。

repadmin /showrepl
repadmin /replsummary
dcdiag /v

repadmin /showrepl は、そのDCが受け取る側の複製を、相手とパーティションごとに並べます。両方のDCで実行すれば、受信と送信の両方向を見たことになります。メンバー限定の「診断コマンド16選」の5分48秒からでは、この表示の読み方を、相手・パーティション・時刻の並びで説明しています。自分の出力と見比べるには画面で追うのが速い部分です。未参加の場合はリンク先にメンバーシップの案内が出ます。

同じ「待てば出てくる」は、手作業でなくても起きます。メンバー限定の「AnsibleでActive Directory環境を完全自動構築」の8分31秒からでは、自動で作った2台のDCが「Active Directoryサイトとサービス」に並んだ直後で、複製の接続はまだ出ていません。9分56秒からの dcdiag でもイベントのエラーが残っています。自動化しても、昇格の後に待って確かめる工程は消えない、ということが画面で分かります。

FSMOの役割と時刻同期は、1台目に残ったまま

2台のDCは、どちらでもユーザーを作り、パスワードを変えられます。ただし、1台だけが担当する5つの役割（FSMO、操作マスター）があります。公式の「AD DC での柔軟なシングル マスター操作 (FSMO) の配置と最適化」によると、新しいフォレストに最初のドメインを作ったとき、ウィザードは5つの役割をそのDCに置きます。そして、DCが数台しかない環境では、この最初の配置が正しいことが多い、としています。

つまり2台目を足しても、役割は1台目に残ったままで、それで問題ありません。メンバー限定の「FSMO」の7分13秒からでは dcdiag /v の出力から役割の持ち主を探し、9分11秒からで5つ全部が最初のDC（DC01）にあることを確かめています。

困るのは、この事実を知らないまま1台目を撤去するときです。OSの入れ替えで古いDCを消す前には、役割をほかのDCへ転送します。同じ動画の11分13秒からは管理ツールから転送する操作を、20分20秒からは持ち主のDCが失われたときに ntdsutil で強制的に移す方法を扱っています。公式ページも、持ち主がオンラインなら転送し、強制は使えないときだけ、と書いています。転送と強制の違いや、役割ごとに止まると何が困るかは、画面で順に追うと覚えやすい部分です。未参加の場合はリンク先にメンバーシップの案内が出ます。

時刻も同じ構造です。公式の「権限のある時刻を構成する」によると、ドメイン内のすべてのDCは、PDCエミュレーターの役割を持つDCを時刻の相手にし、フォレストのルートにあるPDCエミュレーターが組織全体の時刻の基準になります。外部の時刻源と同期させる設定をするのは、このPDCエミュレーターです。

無料動画「ドメインコントローラー構築時の落とし穴」の37分3秒からは、この階層とPDCエミュレーターに外部のNTPを設定するセオリーを、38分27秒からは仮想環境のDCで、ホストとの時刻同期とドメインの階層を同時に使わないほうがよい理由を説明しています。Hyper-VなどでDCを動かしているなら、2台目を足すこの機会に確かめておく価値があります。

2台目を足した後のチェックリスト

確かめること 見るもの 合格の状態
両方向の複製 両方のDCで repadmin /showrepl 相手とパーティションごとに成功し、最後の成功時刻が新しい
DCごとの診断 両方のDCで dcdiag /v 途中のテストに失敗が残っていない（最後の行だけで判断しない）
DNSの参照先 各DCのネットワーク設定 社外のDNSが入っていない。自分を向けるのは複製が回った後
SRVレコード DNSマネージャー、nslookup 新しいDCのレコードが登録されている
FSMOの持ち主 netdom query fsmo または dcdiag /v どのDCが持っているかを記録した
時刻 PDCエミュレーターで w32tm /query /source 意図した外部の時刻源、またはハードウェアを向いている
次のDCを足すか 上のすべて 全部そろってから

まとめ

  • 2台目のDCは既存のDCの中身を受け取って生まれる。追加の前に、今の1台が健全かを確かめる
  • 昇格のあいだ、新しいDCのDNSは既存のDCを向ける。自分自身を向けるのは、両方向の複製が回ってから
  • 昇格直後のエラーはまず待つ。待っても消えないもの（時刻の設定漏れ、名前解決など）は直す。全部消えるまで次のDCを足さない
  • FSMOの5つの役割と、外部との時刻同期は1台目に残る。少数のDCならそれで問題ないが、1台目を撤去するときは両方を移す

2台目のDCを足すのは、障害に備えるためです。ところが、確かめずに足したDCは、障害が起きたときに初めて「実は複製されていなかった」と分かる、いちばん信用できない予備になります。ウィザードの完了ではなく、両方のDCで同じ結果が並んだ時点を、追加の完了と考えてください。