フォールトトレラントな Microsoft Active Directory 環境のデプロイ

このチュートリアルは、Microsoft Active Directory、SQL Server、Internet Information Services（IIS）を使用して高可用性の Windows アーキテクチャを Google Cloud にデプロイする方法を説明するシリーズの第 1 部です。このチュートリアルでは、新しい Virtual Private Cloud（VPC）ネットワークと複数のサブネットを使用して、Active Directory と Windows ドメインコントローラの冗長ペアを設定します。

このシリーズは次のチュートリアルで構成されています。

フォールトトレラントな Microsoft Active Directory 環境のデプロイ（このドキュメント）
マルチサブネット SQL Server のデプロイ
負荷分散された IIS ウェブサーバーのデプロイ

各チュートリアルは、前のチュートリアルで作成したインフラストラクチャに基づいています。

このチュートリアルでは、他のアーキテクチャで使用する Active Directory の構成方法についても説明します。このガイドでは、リモートの Active Directory 環境を新しい Google Cloud ベースの Active Directory 環境に複製する方法については説明しませんが、Cloud VPN と追加の Active Directory 構成を使用して複製を行うことができます。

アーキテクチャ

Google Cloud でのフォールトトレラントな Active Directory アーキテクチャ。

目標

2 つのゾーンにまたがる 2 つのサブネットがあるカスタムモードの VPC ネットワークを作成する。
Windows Server 仮想インスタンスを作成し、Active Directory ドメインサービスを有効にする。
Active Directory を使用して新しいドメインを構成する。
新しい Windows Server インスタンスを新しいドメインに参加させる。
仮想マシンへのトラフィックを許可するようにファイアウォールルールを構成する。
構成をテストする。

費用

このチュートリアルでは、Google Cloud の課金対象となる以下のコンポーネントを使用します。

料金計算ツールの見積もりでは、この環境の費用は 1 日あたり約 $4 です。

始める前に

Google Cloud Console の [プロジェクトセレクタ] ページで、Google Cloud プロジェクトを選択または作成します。

注: この手順で作成するリソースをそのまま保持する予定でない場合、既存のプロジェクトを選択するのではなく、新しいプロジェクトを作成してください。チュートリアルの終了後にそのプロジェクトを削除すれば、プロジェクトに関連するすべてのリソースを削除できます。

プロジェクトセレクタに移動
Google Cloud プロジェクトで課金が有効になっていることを確認します。
Compute Engine API を有効にします。
API を有効にする

共通変数の初期化

インフラストラクチャの要素がデプロイされる場所を制御する環境変数をいくつか定義する必要があります。

Cloud Shell に移動します。

Cloud Shell を開く
Cloud Shell で次の環境変数を作成して、チュートリアルの以降の部分で必要となる値を設定します。

下のコマンドは、リージョンを us-east-1 に設定します。別のリージョンを使用できますが、同じリージョンを以降のチュートリアルでも使用するので、設定したリージョンを覚えておいてください。
```
export region=us-east1
export zone_1=${region}-b
export zone_2=${region}-c
export vpc_name=webappnet
export project_id=your-project-id
```
your-project-id は、使用している Google Cloud プロジェクトの ID に置き換えます。
次のコマンドを実行して、デフォルトのリージョンとプロジェクト ID を設定します。これにより、以降の各コマンドでこれらの値を指定する必要がなくなります。
```
gcloud config set compute/region ${region}
gcloud config set project ${project_id}
```

ネットワークインフラストラクチャの作成

インフラストラクチャ変数を定義したら、Active Directory が使用するネットワークとサブネットを作成します。

Cloud Shell で、次のコマンドを実行して VPC ネットワークを作成します。
```
gcloud compute networks create ${vpc_name}  \
    --description "VPC network to deploy Active Directory" \
    --subnet-mode custom
```
これらのファイアウォールルールは後の手順で作成するため、次のような警告が表示されますが、無視してかまいません。
```
Instances on this network will not be reachable until firewall rules
are created.
```

2 つのサブネットを VPC ネットワークに追加します。

gcloud compute networks subnets create private-ad-zone-1 \
    --network ${vpc_name} \
    --range 10.1.0.0/24

gcloud compute networks subnets create private-ad-zone-2 \
    --network ${vpc_name} \
    --range 10.2.0.0/24

サブネット間のトラフィックを許可する内部ファイアウォールルールを作成します。
```
gcloud compute firewall-rules create allow-internal-ports-private-ad \
    --network ${vpc_name} \
    --allow tcp:1-65535,udp:1-65535,icmp \
    --source-ranges  10.1.0.0/24,10.2.0.0/24
```
注: 本番環境では、システムが使用していない非アクティブポートをすべて保護することをおすすめします。また、踏み台インスタンスを使用してマシンへのアクセスを保護することもベストプラクティスです。

あらゆる場所からポート 3389 経由での RDP 接続を許可するファイアウォールルールを作成します。

gcloud compute firewall-rules create allow-rdp \
    --network ${vpc_name} \
    --allow tcp:3389 \
    --source-ranges 0.0.0.0/0

1 番目のドメインコントローラの作成

次に、以下のプロパティでドメインコントローラを作成します。

名前: ad-dc1
IP アドレス: 10.1.0.100

最初のドメインコントローラとして使用する Windows Server 2016 の Compute Engine インスタンスを作成します。

gcloud compute instances create ad-dc1 --machine-type n1-standard-2 \
    --boot-disk-type pd-ssd \
    --boot-disk-size 50GB \
    --image-family windows-2016 --image-project windows-cloud \
    --network ${vpc_name} \
    --zone ${zone_1} --subnet private-ad-zone-1 \
    --private-network-ip=10.1.0.100

1 分ほど待ってから、Windows インスタンス ad-dc1 のパスワードを作成します。
```
gcloud compute reset-windows-password ad-dc1 --zone ${zone_1} --quiet
```
ユーザー名は Google アカウントのユーザー名です。今後の使用のためにユーザー名とパスワードを記録しておきます。

注: インスタンスでリクエストの受け入れの準備ができていない場合は、次のエラーメッセージが表示されます。その場合、数分後にコマンドを再試行してください。

ERROR: (gcloud.compute.reset-windows-password) The instance may not be ready for use. This can occur if the instance was recently created or if the instance is not running Windows. Please wait a few minutes and try again.
RDP を使用して、前のステップで作成した認証情報でドメインコントローラインスタンスに接続します。
Administrator として PowerShell ターミナルを開きます（[スタート] をクリックし、「PowerShell」と入力して Shift+Ctrl+Enter キーを押します）。
Administrator アカウントの Windows 認証情報を設定します。
```
net user Administrator *
```
注: PowerShell ターミナルにコマンドを貼り付けるには、Alt+Space+P キーを押します。
パスワードを作成するよう求められます。強力なパスワードを使用し、今後使用するためにパスワードを安全な場所に保管してください。

Administrator アカウントは、Active Director フォレストの作成後にドメイン管理者アカウントになります。
アカウントを有効にします。
```
net user Administrator /active:yes
```
Active Directory ドメインサービス（管理ツールを含む）をインストールします。
```
Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools
```

以下の変数を設定します。

$DomainName = "example-gcp.com"
$DomainMode = "7"
$ForestMode = "7"
$DatabasePath = "C:\Windows\NTDS"
$SysvolPath = "C:\Windows\SYSVOL"
$LogPath = "C:\Logs"

新しい Active Directory フォレスト構成を Windows Server 2016 モードでインストールします。

Install-ADDSForest -CreateDnsDelegation:$false `
    -DatabasePath $DatabasePath `
    -LogPath $LogPath `
    -SysvolPath $SysvolPath `
    -DomainName $DomainName `
    -DomainMode $DomainMode `
    -ForestMode $ForestMode `
    -InstallDNS:$true `
    -NoRebootOnCompletion:$true `
    -Force:$true

プロンプトが表示されたら、セーフモード Administrator パスワードを入力します。パスワードは、将来使用できるように安全な場所に保管してください。

次の警告を無視して作業を続けます。それぞれの警告が 2 回（前提条件の確認中とインストールプロセスの実行中に）表示されます。

WARNING: Windows Server 2016 domain controllers have a default for the
security setting named Allow cryptography algorithms compatible with
Windows NT 4.0 that prevents weaker cryptography algorithms when
establishing security channel sessions.

For more information about this setting, see Knowledge Base article 942564
(http://go.microsoft.com/fwlink/?LinkId=104751).

WARNING: This computer has at least one physical network adapter that does
not have static IP address(es) assigned to its IP Properties. If both IPv4
and IPv6 are enabled for a network adapter, both IPv4 and IPv6 static IP
addresses should be assigned to both IPv4 and IPv6 Properties of the
physical network adapter. Such static IP address(es) assignment should be
done to all the physical network adapters for reliable Domain Name
System (DNS) operation.

WARNING: A delegation for this DNS server cannot be created because the
authoritative parent zone cannot be found or it does not run Windows DNS
server. If you are integrating with an existing DNS infrastructure, you
should manually create a delegation to this DNS server in the parent zone
to ensure reliable name resolution from outside the domain "example-gcp.com".
Otherwise, no action is required.

仮想マシンを再起動します。
```
Restart-Computer
```
RDP を使用し、Active Directory フォレストのインストール時に定義した Administrator の認証情報を使ってドメインコントローラ ad-dc1 に接続します。EXAMPLE-GCP\Administrator のように、ドメイン名をプレフィックスとして追加します。

注: Chrome RDP クライアントを使用している場合、証明書について次の警告が表示されることがあります。指示に従って接続してください。

WARNING Someone could be trying to intercept your communication. To connect anyway select Chrome RDP Options, select the Certificates tab, select the <Your IP address>:3389 certificate listing and press the Delete Certificate button.
Administrator として PowerShell ターミナルを開きます。

以下の変数を設定します。

$DNSPrimary = "10.2.0.100"
$DNSSecondary = "127.0.0.1"
$LocalStaticIp = "10.1.0.100"
$DefaultGateway = "10.1.0.1"

IP アドレスとデフォルトゲートウェイを設定します。
```
netsh interface ip set address name=Ethernet static `
    $LocalStaticIp 255.255.255.0 $DefaultGateway 1
```
注: RDP の接続が数秒間失われるか、再接続が必要になることがあります。
プライマリ DNS サーバーを構成します。
```
netsh interface ip set dns Ethernet static $DNSPrimary
```
DNS サーバー ad-dc2 は、2 番目のドメインコントローラのデプロイ後に使用可能になるため、次のエラーメッセージは無視します。
```
The configured DNS server is incorrect or does not exist.
```
注: Active Directory フォレストのインストール後に DNS サーバーを構成します。フォレストをインストールすると、インストール後の値がドメインコントローラ ac-dc1 と ad-dc2 の IP アドレスで上書きされます。このチュートリアルの後半で ac-dc2 ドメインコントローラを設定します。
セカンダリ DNS サーバーを構成します。
```
netsh interface ip add dns Ethernet $DNSSecondary index=2
```
このドメインコントローラ（ad-dc1）の DNS サーバーエントリが、リストの 2 番目に位置する必要があります。これは、Active Directory ともう一方のコントローラの間の接続が頻繁に失われることを防止するためです。2 番目のドメインコントローラ ad-dc2 をプライマリ DNS サーバーとして使用します。次のセクションで ad-dc2 ドメインコントローラを作成します。このパターンに従わないと、[サーバーマネージャー] > [Active Directory ドメインサービス] の下に次のエラーが表示されます。
```
The DFS Replication service failed to update configuration in Active
Directory Domain Services. The service will retry this operation
periodically.
```
両方のサーバーの構成がすべて完了する前に、ad-dc1 サーバーでエラーが表示されることがあります。これらのエラーは無視します。

2 番目のドメインコントローラの作成

次に、別のゾーンに 2 つ目のドメインコントローラを作成して、フォールトトレランスを提供します。2 番目のドメインコントローラのプロパティは次のとおりです。

名前: ad-dc2
IP アドレス: 10.2.0.100

Cloud Shell ウィンドウの有効期限が切れたら、新しい Cloud Shell インスタンスを開き、以前に設定した変数を再設定します。これを行うには、次のスクリプトを編集して、前に使用したプロジェクト ID とリージョンを指定します。
```
region=us-east1
zone_2=${region}-c
zone_1=${region}-b
vpc_name=webappnet
project_id=your-project-id

gcloud config set compute/region ${region}
gcloud config set project ${project_id}
```
your-project-id は、使用している Cloud プロジェクトの ID に置き換えます。
スクリプトを Cloud Shell ウィンドウにコピーして実行します。

Cloud Shell を使用して、2 番目のドメインコントローラインスタンスを作成します。

gcloud compute instances create ad-dc2 --machine-type n1-standard-2 \
    --boot-disk-size 50GB \
    --boot-disk-type pd-ssd \
    --image-family windows-2016 --image-project windows-cloud \
    --can-ip-forward \
    --network ${vpc_name} \
    --zone ${zone_2} \
    --subnet private-ad-zone-2 \
    --private-network-ip=10.2.0.100

1 分ほど待ってから、Windows インスタンス ad-dc2 のパスワードを作成します。
```
gcloud compute reset-windows-password ad-dc2 --zone ${zone_2} --quiet
```
ユーザー名は Google アカウントのユーザー名です。今後の使用のためにユーザー名とパスワードを記録しておきます。
RDP を使用して、前のステップで作成した認証情報でドメインコントローラインスタンスに接続します。
Administrator として PowerShell ターミナルを開きます。
Active Directory ドメインサービス（管理ツールを含む）をインストールします。
```
Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools
```

以下の変数を設定します。

$DomainName = "example-gcp.com"
$DomainPrefix = "EXAMPLE-GCP"
$DNSPrimary = "10.1.0.100"
$DNSSecondary = "127.0.0.1"
$LocalStaticIp = "10.2.0.100"
$DefaultGateway = "10.2.0.1"
$DatabasePath = "C:\Windows\NTDS"
$SysvolPath = "C:\Windows\SYSVOL"
$LogPath = "C:\Logs"

プライマリ DNS サーバーを構成します。

netsh interface ip set dns Ethernet static $DNSPrimary

2 番目のサーバーが自身のセカンダリ DNS サーバーとして機能するように構成します。
```
netsh interface ip add dns Ethernet $DNSSecondary index=2
```
ad-dc2 DNS サーバーは、ad-dc2 がドメインコントローラとしてドメインに参加した後で初めて使用できるようになります。サーバーがまだ参加していないため、次のメッセージが表示されますが、これは無視できます。
```
The configured DNS server is incorrect or does not exist.
```
IP アドレスとデフォルトゲートウェイを設定します。
```
netsh interface ip set address name=Ethernet static `
    $LocalStaticIp 255.255.255.0 $DefaultGateway 1
```
注: RDP の接続が数秒間失われるか、再接続が必要になることがあります。

次の PowerShell スクリプトを実行します。このスクリプトは、1 番目のドメインコントローラが動作可能になったことを通知します。Domain controller is reachable メッセージが表示されるまで待ちます。

$DomainIsReady=$False
For ($i=0; $i -le 30; $i++) {
    nltest /dsgetdc:$DomainName
    if($LASTEXITCODE -ne 0) {
        Write-Host "Domain not ready, wait 1 more minute, then retry"
        Start-Sleep -s 60
    }
    else {
        $DomainIsReady=$True
        Write-Host "Domain controller is reachable"
        break
    }
}
if($DomainIsReady -eq $False) {
    Write-Host "Domain not ready. Check if it was deployed ok"
}

仮想マシンを 2 番目のドメインコントローラとしてフォレストに追加します。

Install-ADDSDomainController `
    -Credential (Get-Credential "$DomainPrefix\Administrator") `
    -CreateDnsDelegation:$false `
    -DatabasePath $DatabasePath `
    -DomainName $DomainName `
    -InstallDns:$true `
    -LogPath $LogPath `
    -SysvolPath $SysvolPath `
    -NoGlobalCatalog:$false `
    -SiteName 'Default-First-Site-Name' `
    -NoRebootOnCompletion:$true `
    -Force:$true

Administrator アカウントのパスワードを指定するように求められたら、Active Directory フォレストのインストール時に定義した Administrator の認証情報を使用します。EXAMPLE-GCP\Administrator のようにドメイン名をプレフィックスとして追加します。
セーフモード Administrator アカウントのパスワードを指定するように求められたら、1 番目のドメインコントローラに使用したものと同じパスワードを使用します。

次の警告を無視します。それぞれの警告が 2 回（前提条件の確認中とインストールプロセスの実行中に）表示されます。

WARNING: Windows Server 2016 domain controllers have a default for the
security setting named "Allow cryptography algorithms compatible with
Windows NT 4.0" that prevents weaker cryptography algorithms when
establishing security channel sessions.

For more information about this setting, see Knowledge Base article
942564 (http://go.microsoft.com/fwlink/?LinkId=104751).

WARNING: A delegation for this DNS server cannot be created because the
authoritative parent zone cannot be found or it does not run Windows DNS
server. If you are integrating with an existing DNS infrastructure, you
should manually create a delegation to this DNS server in the parent zone
to ensure reliable name resolution from outside the domain
"example-gcp.com". Otherwise, no action is required.

仮想マシンを再起動します。
```
Restart-Computer
```

インストールのテスト

5～10 分待って、両方のドメインコントローラが動作し、情報を複製していることを確認します。
RDP を使用して、1 番目のドメインコントローラのインストール中に定義した管理者の認証情報を使用して、1 番目のドメインコントローラインスタンスに接続します。EXAMPLE-GCP\Administrator のようにドメイン名をプレフィックスとして追加します。
Administrator として PowerShell ターミナルを開きます。
複製が機能していることをテストします。
```
repadmin /replsum
```
注: 詳細については、Active Directory でのレプリケーションとトポロジ管理をご覧ください。
エラーや失敗がない場合は次のような出力が表示されます。

ドメインコントローラが使用できない場合は、次のようなメッセージが表示されます。
```
Beginning data collection for replication summary, this may take awhile:

  ....
Source DSA          largest delta    fails/total %%   error

Destination DSA     largest delta    fails/total %%   error
```
このメッセージが表示された場合は、数分待ってからコマンドを再試行してください。

クリーンアップ

このシリーズの次のチュートリアル（マルチサブネット SQL Server のデプロイ）に進む場合は、このチュートリアルで作成したリソースをそのまま使用してください。ただし、このチュートリアルで作成した Active Directory 環境を使用しない場合は、Google Cloud で作成したリソースをクリーンアップして料金が発生しないようにします。以下のセクションでは、このようなリソースを削除または無効にする方法を説明します。

プロジェクトの削除

課金をなくす最も簡単な方法は、チュートリアル用に作成したプロジェクトを削除することです。

プロジェクトを削除するには:

注意

プロジェクト内のすべてのものが削除されます。このドキュメントのタスクで既存のプロジェクトを使用した場合、それを削除すると、そのプロジェクトで行った他の作業もすべて削除されます。
カスタムプロジェクト ID が失われます。このプロジェクトを作成したときに、将来使用するカスタムプロジェクト ID を作成した可能性があります。そのプロジェクト ID を使用した URL（たとえば、appspot.com）を保持するには、プロジェクト全体ではなくプロジェクト内の選択したリソースだけを削除します。

複数のアーキテクチャ、チュートリアル、クイックスタートを実施する予定がある場合は、プロジェクトを再利用すると、プロジェクトの割り当て上限を超えないようにすることができます。

Google Cloud コンソールで、[リソースの管理] ページに移動します。
[リソースの管理] に移動
プロジェクトリストで、削除するプロジェクトを選択し、[削除] をクリックします。
ダイアログでプロジェクト ID を入力し、[シャットダウン] をクリックしてプロジェクトを削除します。

インスタンスの削除

Compute Engine インスタンスを削除するには:

Google Cloud コンソールで、[VM インスタンス] ページに移動します。
[VM インスタンス] に移動
削除するインスタンスのチェックボックスを選択します。
インスタンスを削除するには、 [その他の操作] をクリックし、[削除] をクリックしてから、指示に沿って操作します。

VPC ネットワークの削除

VPC ネットワーク、サブネット、ファイアウォールルールを削除するには:

Google Cloud コンソールで、[VPC ネットワーク] ページに移動します。

[VPC ネットワーク] ページに移動
作成した VPC ネットワークを選択します。
ページ上部にある [削除] ボタンをクリックします。

次のステップ

このシリーズの次のチュートリアルに進む。
- マルチサブネット SQL Server のデプロイ
- 負荷分散された IIS ウェブサーバーのデプロイ
ハイブリッド環境での Active Directory の使用パターンを学習する。
ID とアクセスを管理するためのベストプラクティスを確認する。
Google Cloud に関するリファレンスアーキテクチャ、図、ベストプラクティスを確認する。Cloud Architecture Center をご覧ください。

フォールト トレラントな Microsoft Active Directory 環境のデプロイ

アーキテクチャ

目標

費用

始める前に

共通変数の初期化

ネットワーク インフラストラクチャの作成

1 番目のドメイン コントローラの作成

2 番目のドメイン コントローラの作成

インストールのテスト

クリーンアップ

プロジェクトの削除

インスタンスの削除

VPC ネットワークの削除

次のステップ

フォールトトレラントな Microsoft Active Directory 環境のデプロイ

ネットワークインフラストラクチャの作成

1 番目のドメインコントローラの作成

2 番目のドメインコントローラの作成