狠狠撸

.NETラボ 2023 01月勉強会
小鮒通成

自己紹介です
? 都内Sierに勤務し、Windows認証基盤のコンサル?
設計?構築?トラブルシュートなどをやっています。
? Technetフォーラムで、ときどき回答しています。
? 商業誌でWindows記事の寄稿を行うことがあります。
? MSMVP Enterprise Mobility→Securityを受賞してい
ます(MVP受賞回数20回+α)。
? 秋葉原によく現れます。最近はCore i9-12900F&光る
PC組みました…。

ADMTとは
? オンプレミスActive Directoryドメイン間で、以下の
アカウントを移行
? ユーザーアカウント
? グループアカウント(ドメインローカル?グローバ
ル?ユニバーサル)
? コンピューターアカウント
? サービスアカウント
? マネージドサービスアカウント
(グループマネージドサービスアカウントは不可)

ADMTとは (Cont.)
? ワークステーション?メンバーサーバーのドメイン
移行とセキュリティ変換
? ファイルフォルダーのACL
? ユーザープロファイル(ローミングプロファイル含む)
? レジストリ
? 共有アクセス許可
? ローカルグループのメンバーシップ
? ユーザー権利の割り当て

なぜADMTが必要なのか
? 複数ドメインの統合
? 複数ドメイン(主にフォレスト間)のアカウントやコン
ピューターを単一ドメインに集約したい
? ドメイン間の移行
? 特定ユーザーを別ドメイン(主にフォレスト内)に移動
したい
? フォレスト階層構造の変更
? フォレストルートドメインの構成は変更できないため、
新しい構造のフォレスト環境を再構成して、個別にア
カウントを移行したい

ADMTの実態とサポート方針
?現在公開中のADMTはWindows Server 2012
R2/Windows 8.1に対応している。32bitアプリケー
ションなので32bitOS(Windows Server
2000/Windows Server 2003/Windows Server 2008)で
も対応可能。
?MSのサポート方針はWindows Server 2008
R2/Windows 7までの対応。Premireサポート等で
Windows Server 2016などの質問も受け付けるが、ベ
ストエフォートレベル。
?過去Windows Server 2012 R2対応版公開時に混乱が生
じ、正式なリリースとなっていないためと考えられ
る。

ADMTサポート方針参考情報
?技術的に利用可能な環境について
? Download Active Directory Migration Tool (ADMT) Guide:
Migrating and Restructuring Active Directory Domains from
Official Microsoft Download Centerの「英語版」資料内に記載あ
り。
?マイクロソフトのサポート方針と実態
? Support policy and known issues for ADMT - Windows Server |
Microsoft Learn
? Windows 10/Windows Server 2016 の環境における ADMT を使用する
場合の対応状況について (microsoft.com)
?ADMT v3.2公開における混乱の経緯
? 山市良のえぬなんとかわーるど: ADMT v3.2 のダウンロード URL
変更（Microsoft Connect 閉鎖の影響か？）
(yamanxworld.blogspot.com)

ADMTでのsIDHistory機能
? sIDHistoryとは
? アカウントを別ドメインにコピー?移動する際に登録され
る、以前のSID情報を保持するActive Directory属性。複数
行の登録が可能。
? システム属性のため、管理者やアプリケーションでの登
録?編集は不可(セキュリティ上必要要件)。例外的にリ
セット(削除)のみ可能。
? sIDHistoryを持つアカウントは、元所属ドメイン環境内
ではメンバーシップにおいて「移行前」のアカウントと
同じ認識になる。NTFSアクセス許可などで、新旧両方の
環境にアクセスできるため、ユーザーに不便をかけず、
段階的移行が可能。

sIDHistoryでのセキュリティ
? 移行後、なりすましが発生しないように対策を行う
? 信頼関係があるドメイン間で、SIDフィルタリング機
能を有効にする。「自ドメインでないSID」で参照さ
れた場合、フィルター処理で受け付けなくなる。
netdomコマンドのquarantineオプションを有効にする
ことで可能。
? ssIDHistoryを各オブジェクトから、取り除いてしまう
とよい。アカウント自身に何かが強化されることはな
いが、sIDHistory属性の存在から、「移行」環境であ
ることを、攻撃者に推測されない利点がある。

ADMT3つの実行形態
? GUIによる実行
? MMCスナップイン形式で、GUIツールがインストール
される。一般的な方法だが、大量のアカウントを同時
に扱うことは多少苦手。
? CUIによる実行
? admt.exeコマンドとして、C:WindowsADMTで利用
可能。大量のアカウントをバッチ処理するのに適する。
? スクリプトによる実行
? サンプルスクリプトtemplatescript.vbsをカスタマイズ
して実行する。より複雑な動作も実行可能。

ADMTのコンポーネント
? ADMTアプリケーション(admtsetup32.exe)
? ADMT本体セットアッププログラム
? パスワードエクスポートサーバー(pwdmig.msi)
? 移行元ユーザーのパスワードエクスポートを行う
Windowsサービスプログラム。32bit用と64bit用があ
る。通称PES。
? SQL Server 2019 Express版(SQL2019-SSEI-Expr.exe)
? ADMTのバックエンドデータベース。非サポート構成
だが、動作する。(なおWIDは動作しない)

ADMT各種ダウンロード
? ADMTアプリケーション
? Download Active Directory Migration Tool version 3.2
(has known problems and limited support) from Official
Microsoft Download Center
? パスワードエクスポートサーバー
? Download Password Export Server version 3.1 (x86) from
Official Microsoft Download Center/Download
Password Export Server version 3.1 (x64) from Official
Microsoft Download Center
? SQL Server 2019 Express版
? https://go.microsoft.com/fwlink/?linkid=866658

ADMTインストール環境
? 移行元ドメインコントローラー
? Windows Server 2019 (DFL:windows server 2016)
? 移行元クライアント
? Windows 8.1 Pro
? Windows 10 Pro 22H2
? Windows 11 Pro 22H2
? 移行先ドメインコントローラー
? Windows Server 2022 (DFL:windows server 2016)
? 双方向の信頼関係

ADMTインストール時の注意
? 移行先「ドメインコントローラー」に直接インストー
ルすること。メンバーサーバーはうまく動作しない。
? 移行元「PDCエミュレーター」役割のドメインコント
ローラーにインストールすること。移行先ドメインに
PES用サービスアカウントを作っておくとラク。
? SQL Server 2019 Express版
? インストール時「SQL Server管理者」アカウントは
ADMTで使用するアカウントを設定すること。利用時
にバックエンドに繋がらなくなる。

ADMTインストールの流れ
? 移行グループの作成
? 移行先Domain Admins、移行元Administratorsがメンバー
となるグループを、移行先ドメインに作成。
? sIDHistoryの移行設定
? 移行元「< NetBIOS名>$$$」ドメインローカルグループを作
成
? 監査ポリシーの設定
? SQL Server 2019 Express
? インストールの注意事項を参照のこと。
? PES用秘密鍵を作成するadmt.exe コマンドを実行。

ADMTインストールの流れ(Cont.)
? 昇格済み管理者アカウントでインストールする。
? 利用するサービスアカウントを移行先に作っておくと
よい。システムアカウントで動作させたいなら、移行
先で以下コマンドを実行。
NET LOCALGROUP "PRE-WINDOWS 2000 COMPATIBLE ACCESS" EVERYONE /ADD
NET LOCALGROUP "PRE-WINDOWS 2000 COMPATIBLE ACCESS" "ANONYMOUS LOGON" /ADD
? 以下のレジストリ値を有効にし、サービスを起動することで利用
可能。
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetLsa!AllowPasswordExport

ADMTインストールの流れ(Cont.)
? 移行元クライアントの設定
? ローカルAdministratorsに、移行先の移行グループを
追加する。
? Windows Defender Firewallを無効化する。

ADMTインストールの流れ(Option)
? 移行キャンセル用アカウントが必要な場合
? 移行元Domain Admins、移行先Administratorsがメン
バーとなるアカウントを、移行元ドメインに作成。
? 上記アカウントが、SQL Server 2019のsysadminとなる
よう、ログインを追加。
Sqlservr.exe -m -s SQLEXPRESS
(別のcmdシェルで実行)
sqlcmd -s .SQLEXPRESS
CREATE LOGIN [<移行元ドメイン><アカウント名>] From WINDOWS
go
SP_ADDSRVROLEMEMBER '<移行元ドメイン><アカウント名>' , 'SYSADMIN'
go

ADMT移行の流れ
? グループアカウントの移行
? グループ同士(入れ子)のメンバー
シップ
? ユーザーアカウントの移行
? グループとのメンバーシップ
? パスワードを含む
? コンピューターの移行
? ドメイン間の再参加
? ユーザープロファイル/ユーザー権
利
? セキュリティの変換移行
? フォルダー?ファイルのア
クセス許可のACL
? ローカルグループのメン
バーシップ
? プリンターのACL
? レジストリのACL
? 共有アクセス許可のACL
? ユーザープロファイル/ユー
ザー権利

ADMTセキュリティ変換時の状態
? 追加(Add)
? NTFSアクセス許可について、移行先アカウントやグ
ループのSIDを追加
? 削除(Remove)
? NTFSアクセス許可について、移行元アカウントやグ
ループのSIDを削除。この状態が移行完了。
? 置換(Replace)
? NTFSアクセス許可について、移行元アカウントやグ
ループのSIDを移行先のそれに置き換え。追加と削除
を一動作で行う。

ADMTグループの移行
? 基本的には、デフォルト設定を踏襲すれば、問題ない。主要な内容は以下
の通り。
? 移行元?移行先ドメインの指定
? グループアカウントの指定
? 移行先OUの指定
? メンバーシップ等移行内容の指定/sIDHistoryでの移行の指定
? 移行するLDAP属性の指定(オプション)
? 重複オブジェクト上書きの指定 (オプション)

ADMTユーザーの移行
? 基本的にはグループの移行と同じだが、以下の内容が追加されている。
? パスワードの移行(引き継がず自動生成も可能)
? ユーザーオブジェクトの设定(移行元ユーザーの无効化など)

ADMTユーザー移行の結果
? グループ?ユーザーの移行結果は、以下の通り。
? アカウント情報やメンバーシップが移行された。
? パスワードも移行された。
(「ユーザーは次回ログオン時にパスワード変更が必要」がONにな
る)
? sIDHistoryも移行された。

ADMTコンピューターの移行
? グループ?ユーザーの移行とは、以下の点が異なる。
? セキュリティ変換の移行設定(ユーザープロファイルとユーザー権利を「追
加」)
? コンピューターの再起动时间の设定(ドメイン再参加を行うため)

ADMTコンピューターの移行(Cont.)
? 実際の移行は、2段階で行われる。
? 移行先への、コンピューターオブジェクトの作成
? コンピューターの移行(ドメイン再参加)とセキュリティ変换の移行

ADMTコンピューター移行の結果
? コンピューターの移行結果は、以下の通り。
? コンピューターが移行された。
? ユーザープロファイル/レジストリのACLが追加された。
? DPAPI情報が移行できたり、できなかったりした。(非サポート
のため)

ADMTコンピューター移行のエラー
? コンピューターの移行時に発生したエラー
? 仕様上やむを得ない。(Windowsストアアプリを想定していない)
? 問題があっても再作成?修正されるので、実用上の問題はない。
? 動かないアプリがあれば、個別に修正する。

ADMTエラー対応参考情報
? Microsoftサポートブログ
? Windows 10/Windows Server 2016 の環境における
ADMT を使用する場合の対応状況について
(microsoft.com)
? Microsoft Learn
? Windows App cannot start after ADMT 3.2 security
translation runs - Windows Server | Microsoft Learn

ADMTセキュリティの変換
? セキュリティの変換は、まず移行先アクセス許可を追加。異なる点は以下
の通り。
? セキュリティ変換する項目の選択(ユーザープロファイル?ユーザー権利以
外)
? セキュリティ変换する状态の选択(追加を选択)

ADMTセキュリティの変換(2)
? セキュリティの変換は、次に移行先アクセス許可を削除。異なる点は以下
の通り。
? セキュリティ変換する項目の選択(ユーザープロファイル以外)
? セキュリティ変换する状态の选択(削除を选択)

ADMTセキュリティ変換の結果
? セキュリティ変換の移行結果は、以下の通り。
? フォルダーファイルのACLが移行された。
? 共有アクセス许可の础颁尝が移行された。

ADMTセキュリティの変換(3)
? セキュリティの変換は、最後に移行元アクセス許可を置換。異なる点は以
下の通り。
? セキュリティ変換する項目の選択
? セキュリティ変换する状态の选択(置换を选択)

ADMTセキュリティ変換の結果
? ユーザープロファイルの移行結果は、以下の通り。
? ユーザープロファイル/レジストリのACLが置換された。
? DPAPI情報が移行できたり、できなかったりした。
(消えてしまったケースあり)

ADMT移行のキャンセル(Option)
? グループ?ユーザーの移行キャンセル
? 移行先アカウントを「削除するだけ」でよい(移行元アカウントは残っているため)
? コンピューターの移行キャンセル
? 「移行先から移行元」へのコンピューター移行が必要。セキュリティ変換は不可のた
め、完全なキャンセルはできない。

まとめ
? ADMTをWindows Server 2022+SQL Server 2019 Expressで
動作させることは、技術的には可能である。
? しかしベンダーサポートが限定されているため、完全な
対応は不可能。企業内の基幹システムでの利用は、難易
度が高いため、お奨めできない。
? 今後はオンプレミスでのActive Directory統合ではなく、
クラウド移行時にクラウド側での統合が主流の可能性が
ある。Azure Active Directory Cloud Syncを使用すると、
簡単に実現できる。
? ADMT自体は、非常に使い勝手がよく、高度な機能を備
えているので、End of Servicesになるのは、もったいな
く思う。

参考情報
? sIDHistoryセキュリティ情報
? Windows 2000 SIDHistory Escalation Attack - software database |
Vulners
? マイクロソフトセキュリティ情報 MS02-001 - 警告 | Microsoft
Learn
? Unsecure SID History attributes assessment - Microsoft Defender
for Identity | Microsoft Learn
? 次世代ドメイン統合ツール(クラウドベース)
? Azure AD Connect クラウド同期とは - Microsoft Entra | Microsoft
Learn

狠狠撸

How to use ADMT on Windows Server 2022

Recommended

More Related Content

What's hot (20)

Similar to How to use ADMT on Windows Server 2022 (20)

How to use ADMT on Windows Server 2022