同一グループ2社のActive DirectoryのアップグレードとExchange Server 2013からのメール移行

課題の背景

本事例の課題は、同一グループ2社の旧式のユーザーアカウントシステムとメールシステムを、切り替え中もユーザーが業務システムへログインし、メールを送受信できる状態を保ちながら入れ替えることです。2社のメールはExchange Server 2013で稼働し、従来のActive Directoryサーバーを使用しています。各社の業務システムは、このActive Directoryのユーザーアカウントでログインします。

Active Directoryは組織内のほぼすべてのシステムへの入口であり、メールは社内および取引先との主要なコミュニケーション手段です。これら両システムを手順なしに切り替えると、ユーザーが同じ日に業務システムへログインできなくなったり、メールを送受信できなくなったりするおそれがあります。

当社はこの案件を2025年に元請けからの発注書に基づく請負業者として受託しました。このページの詳細は見積書と発注書の作業範囲に基づくものであり、実際に実施した項目は納品書類と照合して確認する必要があります。

要件と制約

主な要件は、切り替え中も既存システムを引き続き利用できることであり、作業範囲ではどの部分を顧客が自ら担当するかを明確に区分しています。作業範囲の項目は次のとおりです。

• 新しいActive Directoryサーバーは既存ドメインに参加させ、Active Directoryに連携する業務システムを引き続き利用できるようにする必要があります。
• 2社はメールの移行先が異なりますが、アドレス帳ではもう一方の会社の連絡先を引き続き検索できる必要があります。
• Microsoft 365とWindows Serverのライセンスは顧客が調達します。
• 顧客は、システムとネットワークの情報、各回で移行するユーザーの一覧を提供し、移行中のHelpdeskを含むユーザーとのコミュニケーションを担当します。
• Hybridの設定前に、FirewallとProxyでMicrosoft 365が使用するIP範囲とURLへの通信を許可する必要があります。
• MFA（多要素認証）の適用は、VPN経由のログインや社内の業務システムに影響する可能性があります。
• 作業範囲には、ユーザー端末内のアーカイブメールファイル（PST）の移行、クライアント端末のOSアップグレード、日常のHelpdesk業務は含まれません。

作業計画でメール移行の前にActive Directoryをアップグレードする理由

作業計画でActive Directoryを先にアップグレードするのは、ExchangeとMicrosoft 365のどちらも同じActive Directoryのユーザーアカウントを使用するためです。ユーザーアカウントにクラウドへ同期できない値があったり、既存サーバーの準備が整っていなかったりすると、問題はメールボックスの移行にまで及びます。そのため作業範囲は、Active DirectoryのヘルスチェックとIdFix（ユーザーアカウント内のクラウドへ同期できない値を見つけるツール）によるアカウントデータの確認から始まります。

ユーザーアカウントの準備が整うと、Microsoft Entra ID Connect（Active Directoryのユーザーアカウントをクラウドへ同期するツール）でアカウントをMicrosoft 365へ同期し、続いてExchange Hybridを設定してオンプレミスのExchangeとExchange Onlineを連携させます。この方法により、メールボックスを複数回に分けて移行でき、移行済みのユーザーと未移行のユーザーは引き続き互いにメールを送受信できます。

移行先が異なる2社については、作業範囲に2社のActive Directory間でアドレス帳を同期するスクリプトが含まれています。これにより、一方の会社のExchange Online上のユーザーと、もう一方の会社のExchange Server 2019上のユーザーは引き続き互いの連絡先を検索できます。

作業範囲に基づく納品物

発注書に基づく範囲では、2社に同じ内容の納品物を定めており、異なるのはメールの移行先です。項目は次のとおりです。

• 既存ドメインに参加し、旧サーバーに代わってFSMOロール（ドメインを制御する主要な役割）を担う、Windows Server 2022以降の新しいActive Directoryサーバー
• 会社のドメインを紐付けたMicrosoft 365 tenant（会社のMicrosoft 365環境）と、パスワードポリシー、パスワードの書き戻し（Password Writeback）、MFA
• ユーザーアカウントをクラウドへ同期するMicrosoft Entra ID Connect
• Exchange Hybrid、メール送受信経路（Mail Flow）、2社間のアドレス帳同期スクリプト
• メールボックスの移行: 一方の会社はExchange Onlineへ、もう一方の会社はDAG（メールボックスデータベースのコピーを複数台で保持するサーバーグループ）3ノード構成のExchange Server 2019へ
• システム管理者とIT Supportチーム向けの実践型研修、およびシステムドキュメント

作業手順と複数回に分けた移行

作業範囲に基づく手順は、ユーザーアカウントシステムからメールシステムへと進み、メールボックスの移行は複数回に分け、まずパイロットから始めます。2社とも同じ順序を用います。

1. 1

   既存システムのヘルスチェック

   Active DirectoryのヘルスチェックとIdFixによるユーザーアカウントデータの確認を行ってクラウドへ同期できない値を見つけ、ユーザーデータ、連絡先、アドレス帳、配布グループ（Distribution Group）を準備します。

2. 2

   Microsoft 365の準備

   上記の納品項目に沿ってMicrosoft 365 tenantを設定し、Microsoft Entra ID Connectをインストールします。

3. 3

   Active Directoryのアップグレード

   開始前にActive Directory全体をバックアップし、新しいサーバーを既存ドメインに追加してFSMOロールを新サーバーへ移行したうえで、旧サーバーを廃止します。

4. 4

   Exchange Hybridの設定

   オンプレミスのExchangeとMicrosoft 365をHybridで接続し、メール送受信経路を設定して、2社のActive Directory間のアドレス帳同期スクリプトを導入します。

5. 5

   メールボックスを複数回に分けて移行

   まずパイロットのメールボックスを移行し、その後、回を分けた計画（Migration Batch）に沿って全体を各社の移行先へ移行します。Exchange Server 2019側には別途、負荷分散サーバーを設けます。

6. 6

   テスト、廃止、引き継ぎ

   顧客のアプリケーションチームと共同で、Active Directoryに連携するシステムが引き続き利用できることをテストし、メールの送受信をテストし、Exchange Server 2013を廃止し、システム管理者とIT Supportチームへの研修を行い、システムドキュメントを引き渡します。

確認できた成果

本事例で確認できる結果は財務書類に基づくものであり、技術的な測定値ではありません。Inspektionには2社の発注書に基づく作業について2026年の請求・入金の書類があります。

参照できる検収報告書や技術報告書はまだないため、このページでは移行したアカウント数やその他の結果の数値を示さず、導入、研修、ドキュメントの項目を発注書に基づく範囲として示しています。

私たちが学んだこと

この作業範囲から、ユーザーアカウントシステムとメールシステムの移行作業について3つの原則が得られます。

• メールを移行する前にユーザーアカウントを正しく修正します。クラウドとオンプレミスのメールは同じActive Directoryのアカウントを使用するため、ヘルスチェックとアカウントデータの確認は同期の前に完了させる必要があり、メールボックスの移行中に修正するものではありません。
• アドレス帳とメール経路を最初から計画に組み込んでおけば、グループ会社はそれぞれ異なるメールの移行先を選択できます。本件では、アドレス帳同期スクリプトは見積書の段階から作業範囲に含まれていました。
• 旧システムの廃止は、業務システムの所有者とのテストが完了した後に限ります。作業の順序は、パイロット、複数回に分けた移行、アプリケーションチームとの共同テスト、その後のExchange Server 2013の廃止です。

お客様の組織でこのアプローチをどのように活用できるか

貴組織がまだExchange Server 2013や旧バージョンのActive Directoryサーバーを使用している場合、この事例と同じ作業順序を適用できます。すなわち、ユーザーアカウントを確認し、Active Directoryをアップグレードし、Hybridを設定してから、メールボックスをバッチごとに移行します。調整が必要なのは、メールの移行先と、貴組織のActive Directoryに連携している業務システムです。

• 作業開始前に、Microsoft 365とWindows Serverのライセンスが揃っていることを確認します
• Active Directoryのアカウントを使用する業務システムと各システムの担当者の一覧を作成し、旧サーバーの廃止前にテストできるようにします
• Microsoft 365向けのFirewallとProxyの開放、および各バッチのユーザーへの連絡計画を準備します