How to use ADMT on Windows Server 2022.

1. .NETラボ 2023 01月勉強会
小鮒 通成

2. 自己紹介です
 都内Sierに勤務し、Windows認証基盤のコンサル・
設計・構築・トラブルシュートなどをやっています。
 Technetフォーラムで、ときどき回答しています。
 商業誌でWindows記事の寄稿を行うことがあります。
 MSMVP Enterprise Mobility→Securityを受賞してい
ます(MVP受賞回数20回+α)。
 秋葉原によく現れます。最近はCore i9-12900F&光る
PC組みました…。

3. ADMTとは
 オンプレミスActive Directoryドメイン間で、以下の
アカウントを移行
 ユーザーアカウント
 グループアカウント(ドメインローカル・グローバ
ル・ユニバーサル)
 コンピューターアカウント
 サービスアカウント
 マネージドサービスアカウント
(グループマネージドサービスアカウントは不可)

4. ADMTとは (Cont.)
 ワークステーション・メンバーサーバーのドメイン
移行とセキュリティ変換
 ファイルフォルダーのACL
 ユーザープロファイル(ローミングプロファイル含む)
 レジストリ
 共有アクセス許可
 ローカルグループのメンバーシップ
 ユーザー権利の割り当て

5. なぜADMTが必要なのか
 複数ドメインの統合
 複数ドメイン(主にフォレスト間)のアカウントやコン
ピューターを単一ドメインに集約したい
 ドメイン間の移行
 特定ユーザーを別ドメイン(主にフォレスト内)に移動
したい
 フォレスト階層構造の変更
 フォレストルートドメインの構成は変更できないため、
新しい構造のフォレスト環境を再構成して、個別にア
カウントを移行したい

6. ADMTの実態とサポート方針
現在公開中のADMTはWindows Server 2012
R2/Windows 8.1に対応している。32bitアプリケー
ションなので32bitOS(Windows Server
2000/Windows Server 2003/Windows Server 2008)で
も対応可能。
MSのサポート方針はWindows Server 2008
R2/Windows 7までの対応。Premireサポート等で
Windows Server 2016などの質問も受け付けるが、ベ
ストエフォートレベル。
過去Windows Server 2012 R2対応版公開時に混乱が生
じ、正式なリリースとなっていないためと考えられ
る。

7. ADMTサポート方針参考情報
技術的に利用可能な環境について
 Download Active Directory Migration Tool (ADMT) Guide:
Migrating and Restructuring Active Directory Domains from
Official Microsoft Download Centerの「英語版」資料内に記載あ
り。
マイクロソフトのサポート方針と実態
 Support policy and known issues for ADMT - Windows Server |
Microsoft Learn
 Windows 10/Windows Server 2016 の環境における ADMT を使用する
場合の対応状況について (microsoft.com)
ADMT v3.2公開における混乱の経緯
 山市良のえぬなんとかわーるど: ADMT v3.2 のダウンロード URL
変更（Microsoft Connect 閉鎖の影響か？）
(yamanxworld.blogspot.com)

8. ADMTでのsIDHistory機能
 sIDHistoryとは
 アカウントを別ドメインにコピー・移動する際に登録され
る、以前のSID情報を保持するActive Directory属性。複数
行の登録が可能。
 システム属性のため、管理者やアプリケーションでの登
録・編集は不可(セキュリティ上必要要件)。例外的にリ
セット(削除)のみ可能。
 sIDHistoryを持つアカウントは、元所属ドメイン環境内
ではメンバーシップにおいて「移行前」のアカウントと
同じ認識になる。NTFSアクセス許可などで、新旧両方の
環境にアクセスできるため、ユーザーに不便をかけず、
段階的移行が可能。

9. sIDHistoryでのセキュリティ
 移行後、なりすましが発生しないように対策を行う
 信頼関係があるドメイン間で、SIDフィルタリング機
能を有効にする。「自ドメインでないSID」で参照さ
れた場合、フィルター処理で受け付けなくなる。
netdomコマンドのquarantineオプションを有効にする
ことで可能。
 ssIDHistoryを各オブジェクトから、取り除いてしまう
とよい。アカウント自身に何かが強化されることはな
いが、sIDHistory属性の存在から、「移行」環境であ
ることを、攻撃者に推測されない利点がある。

10. ADMT3つの実行形態
 GUIによる実行
 MMCスナップイン形式で、GUIツールがインストール
される。一般的な方法だが、大量のアカウントを同時
に扱うことは多少苦手。
 CUIによる実行
 admt.exeコマンドとして、C:WindowsADMTで利用
可能。大量のアカウントをバッチ処理するのに適する。
 スクリプトによる実行
 サンプルスクリプトtemplatescript.vbsをカスタマイズ
して実行する。より複雑な動作も実行可能。

11. ADMTのコンポーネント
 ADMTアプリケーション(admtsetup32.exe)
 ADMT本体セットアッププログラム
 パスワードエクスポートサーバー(pwdmig.msi)
 移行元ユーザーのパスワードエクスポートを行う
Windowsサービスプログラム。32bit用と64bit用があ
る。通称PES。
 SQL Server 2019 Express版(SQL2019-SSEI-Expr.exe)
 ADMTのバックエンドデータベース。非サポート構成
だが、動作する。(なおWIDは動作しない)

12. ADMT各種ダウンロード
 ADMTアプリケーション
 Download Active Directory Migration Tool version 3.2
(has known problems and limited support) from Official
Microsoft Download Center
 パスワードエクスポートサーバー
 Download Password Export Server version 3.1 (x86) from
Official Microsoft Download Center/Download
Password Export Server version 3.1 (x64) from Official
Microsoft Download Center
 SQL Server 2019 Express版
 https://go.microsoft.com/fwlink/?linkid=866658

13. ADMTインストール環境
 移行元ドメインコントローラー
 Windows Server 2019 (DFL:windows server 2016)
 移行元クライアント
 Windows 8.1 Pro
 Windows 10 Pro 22H2
 Windows 11 Pro 22H2
 移行先ドメインコントローラー
 Windows Server 2022 (DFL:windows server 2016)
 双方向の信頼関係

14. ADMTインストール時の注意
 ADMTアプリケーション
 移行先「ドメインコントローラー」に直接インストー
ルすること。メンバーサーバーはうまく動作しない。
 パスワードエクスポートサーバー
 移行元「PDCエミュレーター」役割のドメインコント
ローラーにインストールすること。移行先ドメインに
PES用サービスアカウントを作っておくとラク。
 SQL Server 2019 Express版
 インストール時「SQL Server管理者」アカウントは
ADMTで使用するアカウントを設定すること。利用時
にバックエンドに繋がらなくなる。

15. ADMTインストールの流れ
 移行グループの作成
 移行先Domain Admins、移行元Administratorsがメンバー
となるグループを、移行先ドメインに作成。
 sIDHistoryの移行設定
 移行元「< NetBIOS名>$$$」ドメインローカルグループを作
成
 監査ポリシーの設定
 SQL Server 2019 Express
 インストールの注意事項を参照のこと。
 ADMTアプリケーション
 インストールの注意事項を参照のこと。
 PES用秘密鍵を作成するadmt.exe コマンドを実行。

16. ADMTインストールの流れ(Cont.)
 パスワードエクスポートサーバー
 インストールの注意事項を参照のこと。
 昇格済み管理者アカウントでインストールする。
 利用するサービスアカウントを移行先に作っておくと
よい。システムアカウントで動作させたいなら、移行
先で以下コマンドを実行。
NET LOCALGROUP "PRE-WINDOWS 2000 COMPATIBLE ACCESS" EVERYONE /ADD
NET LOCALGROUP "PRE-WINDOWS 2000 COMPATIBLE ACCESS" "ANONYMOUS LOGON" /ADD
 以下のレジストリ値を有効にし、サービスを起動することで利用
可能。
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetLsa!AllowPasswordExport

17. ADMTインストールの流れ(Cont.)
 移行元クライアントの設定
 ローカルAdministratorsに、移行先の移行グループを
追加する。
 Windows Defender Firewallを無効化する。

18. ADMTインストールの流れ(Option)
 移行キャンセル用アカウントが必要な場合
 移行元Domain Admins、移行先Administratorsがメン
バーとなるアカウントを、移行元ドメインに作成。
 上記アカウントが、SQL Server 2019のsysadminとなる
よう、ログインを追加。
Sqlservr.exe -m -s SQLEXPRESS
(別のcmdシェルで実行)
sqlcmd -s .SQLEXPRESS
CREATE LOGIN [<移行元ドメイン><アカウント名>] From WINDOWS
go
SP_ADDSRVROLEMEMBER '<移行元ドメイン><アカウント名>' , 'SYSADMIN'
go

19. ADMT移行の流れ
 グループアカウントの移行
 グループ同士(入れ子)のメンバー
シップ
 ユーザーアカウントの移行
 グループとのメンバーシップ
 パスワードを含む
 コンピューターの移行
 ドメイン間の再参加
 ユーザープロファイル/ユーザー権
利
 セキュリティの変換移行
 フォルダー・ファイルのア
クセス許可のACL
 ローカルグループのメン
バーシップ
 プリンターのACL
 レジストリのACL
 共有アクセス許可のACL
 ユーザープロファイル/ユー
ザー権利

20. ADMTセキュリティ変換時の状態
 追加(Add)
 NTFSアクセス許可について、移行先アカウントやグ
ループのSIDを追加
 削除(Remove)
 NTFSアクセス許可について、移行元アカウントやグ
ループのSIDを削除。この状態が移行完了。
 置換(Replace)
 NTFSアクセス許可について、移行元アカウントやグ
ループのSIDを移行先のそれに置き換え。追加と削除
を一動作で行う。

21. ADMTグループの移行
 基本的には、デフォルト設定を踏襲すれば、問題ない。主要な内容は以下
の通り。
 移行元・移行先ドメインの指定
 グループアカウントの指定
 移行先OUの指定
 メンバーシップ等移行内容の指定/sIDHistoryでの移行の指定
 移行するLDAP属性の指定(オプション)
 重複オブジェクト上書きの指定 (オプション)

22. ADMTユーザーの移行
 基本的にはグループの移行と同じだが、以下の内容が追加されている。
 パスワードの移行(引き継がず自動生成も可能)
 ユーザーオブジェクトの設定(移行元ユーザーの無効化など)

23. ADMTユーザー移行の結果
 グループ・ユーザーの移行結果は、以下の通り。
 アカウント情報やメンバーシップが移行された。
 パスワードも移行された。
(「ユーザーは次回ログオン時にパスワード変更が必要」がONにな
る)
 sIDHistoryも移行された。

24. ADMTコンピューターの移行
 グループ・ユーザーの移行とは、以下の点が異なる。
 セキュリティ変換の移行設定(ユーザープロファイルとユーザー権利を「追
加」)
 コンピューターの再起動時間の設定(ドメイン再参加を行うため)

25. ADMTコンピューターの移行(Cont.)
 実際の移行は、2段階で行われる。
 移行先への、コンピューターオブジェクトの作成
 コンピューターの移行(ドメイン再参加)とセキュリティ変換の移行

26. ADMTコンピューター移行の結果
 コンピューターの移行結果は、以下の通り。
 コンピューターが移行された。
 ユーザープロファイル/レジストリのACLが追加された。
 DPAPI情報が移行できたり、できなかったりした。(非サポート
のため)

27. ADMTコンピューター移行のエラー
 コンピューターの移行時に発生したエラー
 仕様上やむを得ない。(Windowsストアアプリを想定していない)
 問題があっても再作成・修正されるので、実用上の問題はない。
 動かないアプリがあれば、個別に修正する。

28. ADMTエラー対応参考情報
 Microsoftサポートブログ
 Windows 10/Windows Server 2016 の環境における
ADMT を使用する場合の対応状況について
(microsoft.com)
 Microsoft Learn
 Windows App cannot start after ADMT 3.2 security
translation runs - Windows Server | Microsoft Learn

29. ADMTセキュリティの変換
 セキュリティの変換は、まず移行先アクセス許可を追加。異なる点は以下
の通り。
 セキュリティ変換する項目の選択(ユーザープロファイル・ユーザー権利以
外)
 セキュリティ変換する状態の選択(追加を選択)

30. ADMTセキュリティの変換(2)
 セキュリティの変換は、次に移行先アクセス許可を削除。異なる点は以下
の通り。
 セキュリティ変換する項目の選択(ユーザープロファイル以外)
 セキュリティ変換する状態の選択(削除を選択)

31. ADMTセキュリティ変換の結果
 セキュリティ変換の移行結果は、以下の通り。
 フォルダーファイルのACLが移行された。
 共有アクセス許可のACLが移行された。

32. ADMTセキュリティの変換(3)
 セキュリティの変換は、最後に移行元アクセス許可を置換。異なる点は以
下の通り。
 セキュリティ変換する項目の選択
 セキュリティ変換する状態の選択(置換を選択)

33. ADMTセキュリティ変換の結果
 ユーザープロファイルの移行結果は、以下の通り。
 ユーザープロファイル/レジストリのACLが置換された。
 DPAPI情報が移行できたり、できなかったりした。
(消えてしまったケースあり)

34. ADMT移行のキャンセル(Option)
 グループ・ユーザーの移行キャンセル
 移行先アカウントを「削除するだけ」でよい(移行元アカウントは残っているため)
 コンピューターの移行キャンセル
 「移行先から移行元」へのコンピューター移行が必要。セキュリティ変換は不可のた
め、完全なキャンセルはできない。

35. まとめ
 ADMTをWindows Server 2022+SQL Server 2019 Expressで
動作させることは、技術的には可能である。
 しかしベンダーサポートが限定されているため、完全な
対応は不可能。企業内の基幹システムでの利用は、難易
度が高いため、お奨めできない。
 今後はオンプレミスでのActive Directory統合ではなく、
クラウド移行時にクラウド側での統合が主流の可能性が
ある。Azure Active Directory Cloud Syncを使用すると、
簡単に実現できる。
 ADMT自体は、非常に使い勝手がよく、高度な機能を備
えているので、End of Servicesになるのは、もったいな
く思う。

36. 参考情報
 sIDHistoryセキュリティ情報
 Windows 2000 SIDHistory Escalation Attack - software database |
Vulners
 マイクロソフト セキュリティ情報 MS02-001 - 警告 | Microsoft
Learn
 Unsecure SID History attributes assessment - Microsoft Defender
for Identity | Microsoft Learn
 次世代ドメイン統合ツール(クラウドベース)
 Azure AD Connect クラウド同期とは - Microsoft Entra | Microsoft
Learn