DNS _msdcs ゾーンのモダナイゼーション

すべての DNS ゾーンを一覧表示し、 を探します_msdcs。

Get-DnsServerZone | Where-Object { $_.ZoneName -like "*_msdcs*" }

最新の設計 (アクションは不要) — プライマリゾーンとして_msdcs.<forest-name>表示されます。

ZoneName                          ZoneType   IsAutoCreated  IsDsIntegrated  IsReverseLookupZone  IsSigned
--------                          --------   -------------  --------------  -------------------  --------
_msdcs.premier.local              Primary    False          True            False                False

レガシー設計 (変換が必要) — ゾーンリストには表示_msdcs.<forest-name>されません。代わりに、 はフォレストゾーンの委任サブドメインとしてのみ_msdcs存在します。これを確認するには、委任 NS レコードを確認します。

Get-DnsServerResourceRecord -ZoneName "<forest-name>" -Name "_msdcs" -RRType NS

NS レコードが返された場合、環境は従来の委任サブドメイン設計を使用します。

追加の検証 — ゾーンタイプを確認します。

# This will succeed on modern design
Get-DnsServerZone -Name "_msdcs.<forest-name>"

# If you get an error like "Zone _msdcs.<forest-name> was not found", you have the legacy design

スタンドアロン_msdcsゾーンを作成する

既存のセルフマネージド型ドメインコントローラーの場合:

dnscmd localhost /ZoneAdd "_msdcs.<forest-name>" /DsPrimary /dp /forest

これにより、フォレスト全体のレプリケーションスコープを持つ専用の AD 統合ゾーン_msdcs.<forest-name>として が作成されます。フォレスト内のすべての DCs は、ForestDnsZones パーティションを介してコピーを受け取ります。

AD レプリケーションが伝達されるまで待ちます。

repadmin /syncall /AeD

ゾーンが存在することを確認します (複数の DCsで実行）。

Get-DnsServerZone -Name "_msdcs.<forest-name>"

親ゾーンから古い委任を削除する

古い_msdcsサブドメインノードとそのレコードは、親ゾーンにまだ存在します。これらを削除して、DNS クエリが新しいスタンドアロンゾーンからのみ処理されるようにする必要があります。

# Remove the _msdcs subtree (NS delegation + all child records) from the parent zone
dnscmd localhost /NodeDelete <forest-name> _msdcs /tree /f

すべての DCsを強制する

古いサブドメインが削除され、新しいスタンドアロンゾーンが設定されると、すべての DCsロケーターレコードを新しいゾーンに再登録する必要があります。

オンプレミスのすべてのドメインコントローラーで以下を実行します。

# Flush DNS cache
ipconfig /flushdns

# Restart Netlogon — this triggers re-registration of all SRV, CNAME, and A records
net stop netlogon
net start netlogon

# Force host record registration
ipconfig /registerdns

検証

レプリケーションまで 5～10 分待ってから、以下を確認します。

新しいスタンドアロンゾーンに入力されたレコードを確認します。

Get-DnsServerResourceRecord -ZoneName "_msdcs.<forest-name>" -RRType SRV

すべてのオンプレミス DCs の _ldap._tcp.dc_kerberos._tcp.dc、_ldap._tcp.gc、、およびサイト固有のレコードが表示されます。

DNS 解決がend-to-endで機能することを確認します。

Resolve-DnsName "_ldap._tcp.dc._msdcs.<forest-name>" -Type SRV
Resolve-DnsName "_kerberos._tcp.dc._msdcs.<forest-name>" -Type SRV

すべてのオンプレミス DCsが結果に表示されます。

古い委任が親ゾーンから削除されていることを確認します。

Get-DnsServerResourceRecord -ZoneName "<forest-name>" -Name "_msdcs" -RRType NS -ErrorAction SilentlyContinue

これにより何も返されません。

DNS _msdcs ゾーンのモダナイズの詳細については、Microsoft Core Infrastructure and Security Blog ウェブサイトの「How to Split and Migrate Child Domain DNS Records to a Dedicated DNS Zone」を参照してください。