フォレストとドメインの機能レベルForest and Domain Functional Levels

Windows Server の適用対象:Applies To: Windows Server

Windows 2003 のライフ サイクルの最後に、Windows 2003 のドメイン コントローラー (Dc) 2012 または 2016、Windows Server 2008 に更新する必要があります。With the end of life of Windows 2003, Windows 2003 domain controllers (DCs) need to be updated to Windows Server 2008, 2012 or 2016. その結果、Windows Server 2003 を実行している任意のドメイン コントローラーをドメインから削除する必要があります。As a result, any domain controller that runs Windows Server 2003 should be removed from the domain. ドメインとフォレストの機能レベルは、発生するには、少なくとも、環境に追加されない以前のバージョンの Windows Server を実行するドメイン コントローラーを防ぐために Windows Server 2008 します。The domain and forest functional level should be raised to at least Windows Server 2008 to prevent a domain controller that runs an earlier version of Windows Server from being added to the environment.

お客様がこの作業の一環として、ドメインの機能レベル (DFL) とフォレストの機能レベル (FFL) を更新、2003 DFL と FFL は推奨されなくなりました Windows Server 2016 であり、将来的にサポートされるは不要になったために解放ことをお勧めします。We recommend that customers update their domain functional level (DFL) and forest functional level (FFL) as part of this, since the 2003 DFL and FFL have been deprecated in Windows Server 2016 and they will no longer be supported in future releases.

について追加の時間、DFL & FFL 2003 からの移行を評価する必要があるお客様、2003 DFL と FFL は、引き続き Windows 10 でサポートされ、ドメインおよびフォレスト内のすべてのドメイン コントローラー上にある Windows Server 2008、2008 r2、Windows Server 2016 が提供される、2012R2、2012 または 2016 します。For customers who need additional time to evaluate moving their DFL & FFL from 2003, the 2003 DFL and FFL will continue to be supported with Windows 10 and Windows Server 2016 provided all domain controllers in the domain and forest are either on Windows Server 2008, 2008R2, 2012, 2012R2, or 2016.

Windows Server 2008 とより高いドメイン機能レベルでは、分散ファイル サービス (DFS) レプリケーションを使用してドメイン コントローラー間で SYSVOL フォルダーの内容をレプリケートします。At the Windows Server 2008 and higher domain functional levels, Distributed File Service (DFS) Replication is used to replicate SYSVOL folder contents between domain controllers. Windows Server 2008 ドメインの機能レベルが以上に新しいドメインを作成する場合、DFS レプリケーションは自動的に SYSVOL をレプリケートする使用します。If you create a new domain at the Windows Server 2008 domain functional level or higher, DFS Replication is automatically used to replicate SYSVOL. 低い機能レベルでドメインを作成した場合は、SYSVOL の DFS レプリケーションに FRS を使用してから移行する必要があります。If you created the domain at a lower functional level, you will need to migrate from using FRS to DFS replication for SYSVOL. 移行手順については、いずれかのフォローできます、 TechNet の「手順または参照することができます、一連の記憶域チーム File Cabinet ブログ手順を合理化します。For migration steps, you can either follow the procedures on TechNet or you can refer to the streamlined set of steps on the Storage Team File Cabinet blog.

Windows Server 2003 のドメインとフォレストの機能レベルは引き続きサポートされますが、組織が Windows Server 2008 (または可能であれば、高い) の機能レベルを上げる必要がありますを SYSVOL レプリケーションの互換性を確保し、将来的にサポートします。The Windows Server 2003 domain and forest functional levels continue to be supported, but organizations should raise the functional level to Windows Server 2008 (or higher if possible) to ensure SYSVOL replication compatibility and support in the future. さらがあるその他の多くの利点と機能、上位の機能レベルでより高い。In addition, there are many other benefits and features available at the higher functional levels higher. 詳細については、次のリソースを参照してください。See the following resources for more information:

Windows Server 2016Windows Server 2016

ドメイン コントローラーのオペレーティング システムがサポートされています。Supported Domain Controller Operating System:

  • Windows Server 2016Windows Server 2016

Windows Server 2016 のフォレスト機能レベルの機能Windows Server 2016 forest functional level features

Windows Server 2016 ドメイン機能レベルの機能Windows Server 2016 domain functional level features

  • 既定の Active Directory 機能をすべて、Windows Server 2012R2 ドメインの機能レベルですべての機能に加えて、次の機能:All default Active Directory features, all features from the Windows Server 2012R2 domain functional level, plus the following features:

    • Dc では、公開キーのみユーザーの NTLM シークレットをロールバックをサポートできます。DCs can support rolling a public key only user's NTLM secrets.
    • Dc は、ユーザーがドメインに参加しているデバイスの特定に制限されているときにすることがネットワーク NTLM をサポートできます。DCs can support allowing network NTLM when a user is restricted to specific domain-joined devices.
    • 鮮度拡張子を持つ認証が成功する Kerberos クライアントでは、新しい公開キー ID SID を取得します。Kerberos clients successfully authenticating with the PKInit Freshness Extension will get the fresh public key identity SID.

      詳細については、次を参照してくださいKerberos 認証の新資格情報の保護の新機能。For more information see What's New in Kerberos Authentication and What's new in Credential Protection

Windows Server 2012R2Windows Server 2012R2

ドメイン コントローラーのオペレーティング システムがサポートされています。Supported Domain Controller Operating System:

  • Windows Server 2016Windows Server 2016
  • Windows Server 2012 R2Windows Server 2012 R2

Windows Server 2012R2 フォレスト機能レベルの機能Windows Server 2012R2 forest functional level features

  • すべての機能、Windows Server 2012 で使用可能なフォレストの機能レベルではない追加機能。All of the features that are available at the Windows Server 2012 forest functional level, but no additional features.

Windows Server 2012R2 ドメイン機能レベルの機能Windows Server 2012R2 domain functional level features

  • 既定の Active Directory 機能をすべて、Windows Server 2012 ドメインの機能レベルのすべての機能に加えて、次の機能:All default Active Directory features, all features from the Windows Server 2012 domain functional level, plus the following features:
    • Protected Users に対する DC 側の保護。DC-side protections for Protected Users. 保護されているドメインが不要になったことができます、Windows Server 2012 R2 へのユーザーの認証。Protected Users authenticating to a Windows Server 2012 R2 domain can no longer:
      • NTLM 認証を使用します。Authenticate with NTLM authentication
      • Kerberos 事前認証で DES または RC4 暗号スイートを使用してください。Use DES or RC4 cipher suites in Kerberos pre-authentication
      • 制約なし/制約付き委任を使用して委任します。Be delegated with unconstrained or constrained delegation
      • 最初の 4 時間の有効期間を超えるユーザー チケット (Tgt) を更新します。Renew user tickets (TGTs) beyond the initial 4 hour lifetime
    • 認証ポリシーAuthentication Policies
      • 新しいフォレストに基づいた Active Directory ポリシーでホストを管理する Windows Server 2012 R2 のドメインのアカウントに適用できますをアカウントからサインオンできアカウントとして実行されているサービスに認証のアクセス制御条件を適用できます。New forest-based Active Directory policies which can be applied to accounts in Windows Server 2012 R2 domains to control which hosts an account can sign-on from and apply access control conditions for authentication to services running as an account.
    • 認証ポリシー サイロAuthentication Policy Silos
      • 新しいフォレストに基づいた Active Directory オブジェクト、ユーザー、管理されたサービスとコンピューター アカウントの認証ポリシーまたは認証の分離のための分類に使用されるアカウントを間の関係を作成することができます。New forest-based Active Directory object, which can create a relationship between user, managed service and computer, accounts to be used to classify accounts for authentication policies or for authentication isolation.

Windows Server 2012Windows Server 2012

ドメイン コントローラーのオペレーティング システムがサポートされています。Supported Domain Controller Operating System:

  • Windows Server 2016Windows Server 2016
  • Windows Server 2012 R2Windows Server 2012 R2
  • Windows Server 2012Windows Server 2012

Windows Server 2012 フォレスト機能レベルの機能Windows Server 2012 forest functional level features

  • すべての Windows Server 2008 R2 で利用できる機能はフォレスト機能レベルではない追加機能です。All of the features that are available at the Windows Server 2008 R2 forest functional level, but no additional features.

Windows Server 2012 ドメイン機能レベルの機能Windows Server 2012 domain functional level features

  • 既定の Active Directory 機能をすべて、Windows Server 2008 r2 のドメインの機能レベルですべての機能に加えて、次の機能:All default Active Directory features, all features from the Windows Server 2008R2 domain functional level, plus the following features:
    • KDC で信頼性情報、複合認証、および Kerberos 防御 KDC 管理用テンプレート ポリシーが 2 つの設定 ([常に信頼性情報を提供および防御されていない認証要求を失敗) を Windows Server 2012 ドメインの機能レベルを必要とするをサポートします。The KDC support for claims, compound authentication, and Kerberos armoring KDC administrative template policy has two settings (Always provide claims and Fail unarmored authentication requests) that require Windows Server 2012 domain functional level. 詳細については、次を参照してくださいKerberos 認証の新。For more information, see What's New in Kerberos Authentication

Windows Server 2008R2Windows Server 2008R2

ドメイン コントローラーのオペレーティング システムがサポートされています。Supported Domain Controller Operating System:

  • Windows Server 2016Windows Server 2016
  • Windows Server 2012 R2Windows Server 2012 R2
  • Windows Server 2012Windows Server 2012
  • Windows Server 2008 R2Windows Server 2008 R2

Windows Server 2008 r2 フォレスト機能レベルの機能Windows Server 2008R2 forest functional level features

  • すべての Windows Server 2003 で利用できる機能はフォレストの機能レベルと、次の機能。All of the features that are available at the Windows Server 2003 forest functional level, plus the following features:
    • Active Directory のごみ箱、AD DS の実行中に完全に削除されたオブジェクトを復元する機能を提供します。Active Directory Recycle Bin, which provides the ability to restore deleted objects in their entirety while AD DS is running.

Windows Server 2008 r2 のドメイン機能レベルの機能Windows Server 2008R2 domain functional level features

  • 既定の Active Directory 機能をすべて、Windows Server 2008 ドメインの機能レベルのすべての機能に加えて、次の機能:All default Active Directory features, all features from the Windows Server 2008 domain functional level, plus the following features:
    • 認証メカニズム保証を各ユーザーの Kerberos トークン内のドメイン ユーザーを認証に使用されるログオン方法 (スマート カードまたはユーザー名/パスワード) の種類に関する情報をパッケージ化します。Authentication mechanism assurance, which packages information about the type of logon method (smart card or user name/password) that is used to authenticate domain users inside each user’s Kerberos token. Active Directory フェデレーション サービス (AD FS) などのフェデレーション ID 管理インフラストラクチャを展開しているネットワーク環境でこの機能が有効にすると、ユーザーがユーザーのログオン方法に基づいて承認の判断に展開されている任意の要求対応ではアプリケーションへのアクセスを試みるたびに、トークンの情報は、しを抽出します。When this feature is enabled in a network environment that has deployed a federated identity management infrastructure, such as Active Directory Federation Services (AD FS), the information in the token can then be extracted whenever a user attempts to access any claims-aware application that has been developed to determine authorization based on a user’s logon method.
    • 名前または DNS のホスト名、コンピューター アカウントの変更時に、管理されたサービス アカウントのコンテキストで特定のコンピューターで実行されているサービスの SPN の自動管理します。Automatic SPN management for services running on a particular computer under the context of a Managed Service Account when the name or DNS host name of the machine account changes. 管理されたサービス アカウントの詳細については、次を参照してください。サービス アカウント Step-by-Step Guideします。For more information about Managed Service Accounts, see Service Accounts Step-by-Step Guide.

Windows Server 2008Windows Server 2008

ドメイン コントローラーのオペレーティング システムがサポートされています。Supported Domain Controller Operating System:

  • Windows Server 2016Windows Server 2016
  • Windows Server 2012 R2Windows Server 2012 R2
  • Windows Server 2012Windows Server 2012
  • Windows Server 2008 R2Windows Server 2008 R2
  • Windows Server 2008Windows Server 2008

Windows Server 2008 フォレスト機能レベルの機能Windows Server 2008 forest functional level features

  • その他の機能はありませんが、すべての Windows Server 2003 フォレストの機能レベルで使用できる機能を利用できます。All of the features that are available at the Windows Server 2003 forest functional level, but no additional features are available.

Windows Server 2008 ドメイン機能レベルの機能Windows Server 2008 domain functional level features

  • すべて既定の AD DS の機能、すべての Windows Server 2003 ドメイン機能レベルで機能し、次の機能を利用します。All of the default AD DS features, all of the features from the Windows Server 2003 domain functional level, and the following features are available:

    • 分散ファイル システム (DFS) レプリケーションのサポートを Windows Server 2003 システム ボリューム (SYSVOL)Distributed File System (DFS) replication support for the Windows Server 2003 System Volume (SYSVOL)

      • DFS レプリケーションのサポートは、SYSVOL の内容より堅牢で詳細なレプリケーションを提供します。DFS replication support provides more robust and detailed replication of SYSVOL contents. [!NOTE]> >Windows Server 2012 R2 以降では、ファイル レプリケーション サービス (FRS) は推奨されなくなりました。Beginning with Windows Server 2012 R2, File Replication Service (FRS) is deprecated. 以降を実行しているドメイン コントローラーで作成される新しいドメイン、Windows Server 2008 ドメインの機能レベルを以上、Windows Server 2012 R2 を設定する必要があります。A new domain that is created on a domain controller that runs at least Windows Server 2012 R2 must be set to the Windows Server 2008 domain functional level or higher.
    • ドメイン ベース DFS 名前空間アクセス ベースの列挙とスケーラビリティの向上のサポートが含まれる Windows Server 2008 モードで実行されています。Domain-based DFS namespaces running in Windows Server 2008 Mode, which includes support for access-based enumeration and increased scalability. Windows Server 2008 モードでドメイン ベース名前空間は、Windows Server 2003 フォレストの機能レベルを使用するフォレストにも必要です。Domain-based namespaces in Windows Server 2008 mode also require the forest to use the Windows Server 2003 forest functional level. 詳細については、次を参照してください。 Namespace の種類を選択します。For more information, see Choose a Namespace Type.

    • Kerberos プロトコルの高度な (AES 128 および 256 の AES) 暗号化標準サポートします。Advanced Encryption Standard (AES 128 and AES 256) support for the Kerberos protocol. Tgt AES を使用して発行するためには、ドメインの機能レベルは Windows Server 2008 以上である必要があり、ドメイン パスワードを変更する必要があります。In order for TGTs to be issued using AES, the domain functional level must be Windows Server 2008 or higher and the domain password needs to be changed.

      • 詳細については、次を参照してください。 Kerberos の強化します。For more information, see Kerberos Enhancements. [!NOTE]> >認証エラーが発生するドメイン コントローラーを Windows Server 2008 またはそれ以上のドメインの機能レベルが発生した後、ドメイン コントローラーが DFL 変更が既にレプリケートされたが krbtgt パスワードはまだ更新していないかどうか。Authentication errors may occur on a domain controller after the domain functional level is raised to Windows Server 2008 or higher if the domain controller has already replicated the DFL change but has not yet refreshed the krbtgt password. ここでは、ドメイン コントローラー上で KDC サービスの再起動は、メモリ内で新しい krbtgt パスワードの更新をトリガし、関連する認証エラーを解決します。In this case, a restart of the KDC service on the domain controller will trigger an in-memory refresh of the new krbtgt password and resolve related authentication errors.
    • 前回の対話型ログオン情報には、次の情報が表示されます。Last Interactive Logon Information displays the following information:

      • Windows Server 2008 ドメインに参加しているサーバーまたは Windows Vista ワークステーションで失敗したログオン試行の合計数The total number of failed logon attempts at a domain-joined Windows Server 2008 server or a Windows Vista workstation
      • Windows Server 2008 サーバーまたは Windows Vista ワークステーションに成功したログオン後に失敗したログオン試行の合計数The total number of failed logon attempts after a successful logon to a Windows Server 2008 server or a Windows Vista workstation
      • Windows Server 2008 または Windows Vista ワークステーションで前回の失敗したログオン試行の時刻The time of the last failed logon attempt at a Windows Server 2008 or a Windows Vista workstation
      • Windows Server 2008 サーバーまたは Windows Vista ワークステーションで前回成功したログオンの時刻の試行します。The time of the last successful logon attempt at a Windows Server 2008 server or a Windows Vista workstation
    • 詳細なパスワード ポリシーでは、ドメイン内のユーザーおよびグローバル セキュリティ グループのパスワードとアカウント ロックアウトのポリシーを指定できます。Fine-grained password policies make it possible for you to specify password and account lockout policies for users and global security groups in a domain. 詳細については、次を参照してください。細かいパスワードおよびアカウント ロックアウトのポリシー構成のステップ バイ ステップ ガイドします。For more information, see Step-by-Step Guide for Fine-Grained Password and Account Lockout Policy Configuration.
    • 個人用仮想デスクトップPersonal Virtual Desktops

Windows Server 2003Windows Server 2003

ドメイン コントローラーのオペレーティング システムがサポートされています。Supported Domain Controller Operating System:

  • Windows Server 2012 R2Windows Server 2012 R2
  • Windows Server 2012Windows Server 2012
  • Windows Server 2008 R2Windows Server 2008 R2
  • Windows Server 2008Windows Server 2008
  • Windows Server 2003Windows Server 2003

Windows Server 2003 フォレスト機能レベルの機能Windows Server 2003 forest functional level features

  • すべての既定の AD DS の機能と、次の機能を利用できます。All of the default AD DS features, and the following features, are available:
    • フォレストの信頼Forest trust
    • ドメイン名の変更Domain rename
    • リンクされた値のレプリケーションLinked-value replication
      • リンクされた値のレプリケーションを保存し、値を 1 つの単位としてメンバーシップ全体をレプリケートする代わりに、個々 のメンバーにレプリケートするグループのメンバーシップを変更できます。Linked-value replication makes it possible for you to change group membership to store and replicate values for individual members instead of replicating the entire membership as a single unit. 保存して、個々 のメンバーの値をレプリケートするより少ないネットワーク帯域幅と、レプリケーション中に少ないプロセッサ サイクルを使用してし、を追加または別のドメイン コントローラーで同時に複数のメンバーを削除する場合は、更新プログラムを失うことができなきます。Storing and replicating the values of individual members uses less network bandwidth and fewer processor cycles during replication, and prevents you from losing updates when you add or remove multiple members concurrently at different domain controllers.
    • 読み取り専用ドメイン コントローラー (RODC) を展開する機能The ability to deploy a read-only domain controller (RODC)
    • 知識整合性チェッカー (KCC) アルゴリズムおよびスケーラビリティの向上Improved Knowledge Consistency Checker (KCC) algorithms and scalability
      • サイト間トポロジ ジェネレーター (ISTG) は、AD DS は、Windows 2000 フォレストの機能レベルでサポートできるより多くのサイトを持つフォレストをサポートする拡張強化されたアルゴリズムを使用します。The intersite topology generator (ISTG) uses improved algorithms that scale to support forests with a greater number of sites than AD DS can support at the Windows 2000 forest functional level. 強化された ISTG 選択アルゴリズムは、Windows 2000 フォレストの機能レベルで ISTG を選ぶためそれほど高過ぎないメカニズムです。The improved ISTG election algorithm is a less-intrusive mechanism for choosing the ISTG at the Windows 2000 forest functional level.
    • という名前の動的な補助型クラスのインスタンスを作成する機能dynamicObjectドメイン ディレクトリ パーティションThe ability to create instances of the dynamic auxiliary class named dynamicObject in a domain directory partition
    • 変換する機能、 inetOrgPersonオブジェクトのインスタンスへのユーザーオブジェクトのインスタンスを逆方向に変換を完了します。The ability to convert an inetOrgPerson object instance into a User object instance, and to complete the conversion in the opposite direction
    • 役割ベースの承認をサポートするために新しいグループの種類のインスタンスを作成する機能。The ability to create instances of new group types to support role-based authorization.
      • これらの種類はアプリケーション基本グループおよび LDAP クエリ グループと呼ばれます。These types are called application basic groups and LDAP query groups.
    • 非アクティブ化と属性およびクラスのスキーマの再定義します。Deactivation and redefinition of attributes and classes in the schema. 次の属性を再利用できます: および ldapDisplayName、schemaIdGuid、OID と mapiID します。The following attributes can be reused: ldapDisplayName, schemaIdGuid, OID, and mapiID.
    • ドメイン ベース DFS 名前空間アクセス ベースの列挙とスケーラビリティの向上のサポートが含まれる Windows Server 2008 モードで実行されています。Domain-based DFS namespaces running in Windows Server 2008 Mode, which includes support for access-based enumeration and increased scalability. 詳細については、次を参照してください。 Namespace の種類を選択します。For more information, see Choose a Namespace Type.

Windows Server 2003 ドメイン機能レベルの機能Windows Server 2003 domain functional level features

  • 既定の AD DS の機能をすべて、Windows 2000 ネイティブ ドメインの機能レベルで使用できるすべての機能と、次の機能を使用できます。All the default AD DS features, all the features that are available at the Windows 2000 native domain functional level, and the following features are available:
    • ドメインの管理ツール Netdom.exe、ドメイン コントローラーの名前を変更できるようになりますがThe domain management tool, Netdom.exe, which makes it possible for you to rename domain controllers
    • ログオン タイムスタンプを更新します。Logon time stamp updates
      • LastLogonTimestamp属性は、ユーザーまたはコンピューターの最後のログオン時に更新します。The lastLogonTimestamp attribute is updated with the last logon time of the user or computer. この属性は、ドメイン内でレプリケートされます。This attribute is replicated within the domain.
    • 設定する機能、 userPasswordで有効なパスワードとして属性inetOrgPersonとユーザー オブジェクトThe ability to set the userPassword attribute as the effective password on inetOrgPerson and user objects
    • ユーザーとコンピューターをリダイレクトする機能のコンテナーThe ability to redirect Users and Computers containers
      • コンピューターとユーザーのアカウントを格納する既定では、2 つのよく知られているコンテナーが提供されている、cn = コンピューター、および cn = Users,します。By default, two well-known containers are provided for housing computer and user accounts, namely, cn=Computers, and cn=Users,. この機能は、これらのアカウントのよく知られている、新しい場所の定義を使用します。This feature allows the definition of a new, well-known location for these accounts.
    • AD DS 内の承認ポリシーを保存する承認マネージャーの機能The ability for Authorization Manager to store its authorization policies in AD DS
    • 制約付き委任Constrained delegation
      • 制約付き委任できるようになりますアプリケーションを利用するためにユーザーの資格情報のセキュリティで保護された委任の Kerberos ベースの認証を使用します。Constrained delegation makes it possible for applications to take advantage of the secure delegation of user credentials by means of Kerberos-based authentication.
      • 特定の宛先サービスのみへの委任を制限することができます。You can restrict delegation to specific destination services only.
    • 認証の選択Selective authentication
      • 認証の選択により、ユーザーおよび信頼する側のフォレスト内のリソース サーバーに対する認証を許可されている信頼されたフォレストからのグループを指定することはなります。Selective authentication makes it is possible for you to specify the users and groups from a trusted forest who are allowed to authenticate to resource servers in a trusting forest.

Windows 2000Windows 2000

ドメイン コントローラーのオペレーティング システムがサポートされています。Supported Domain Controller Operating System:

  • Windows Server 2008 R2Windows Server 2008 R2
  • Windows Server 2008Windows Server 2008
  • Windows Server 2003Windows Server 2003
  • Windows 2000Windows 2000

Windows 2000 ネイティブのフォレスト機能レベルの機能Windows 2000 native forest functional level features

  • すべての既定の AD DS の機能を利用できます。All of the default AD DS features are available.

Windows 2000 ネイティブ ドメイン機能レベルの機能Windows 2000 native domain functional level features

  • すべての既定の AD DS の機能と、次のディレクトリ機能が利用可能なを含みます。All of the default AD DS features and the following directory features are available including:
    • 両方の配布とセキュリティ グループのユニバーサル グループ。Universal groups for both distribution and security groups.
    • グループの入れ子Group nesting
    • セキュリティ グループと配布グループ間の変換は、グループの変換Group conversion, which allows conversion between security and distribution groups
    • セキュリティ識別子 (SID) の履歴Security identifier (SID) history

次の手順Next Steps