AD Connector の DNS 変更後、Amazon WorkSpaces（Windows）を再構築せずに新しい DNS へ切り替える方法
困っていた内容
オンプレミスの Active Directory（AD）サーバーをリプレースすることになり、DNS サーバーの IP アドレスが変わります。そのため、Amazon WorkSpaces（Windows）が参照する DNS サーバーも新しいものに変更したいと考えています。
WorkSpaces が新しい DNS サーバーを参照するようにするには、どうすればよいでしょうか。
どう対応すればいいの?
仕様確認
Windows WorkSpace では、ドメイン参加に使う DNS サーバーの IP アドレスがレジストリの DomainJoinDns に保存されています。WorkSpace 上で動作する SkyLightWorkspaceConfigService サービスが、この値をネットワークアダプターに再適用します。そのため、サービスによって DomainJoinDns の値が再適用されるため、元の値に戻ります。
また、AD Connector の DNS 設定を変更しても、既存の WorkSpace の DomainJoinDns は自動では更新されません。AWS のドキュメント[1]では、新しい DNS 設定を WorkSpaces に反映する方法として、次の 2 つが案内されています。
Active Directory の DNS 設定を更新する前に、WorkSpaces の DNS 設定を更新します。（推奨）
Active Directory の DNS 設定を更新した後、WorkSpaces を再構築します。
WorkSpace を再構築すると、ルートボリューム（C ドライブ）が再作成されます。インストール済みのアプリケーションや変更済みのシステム設定は失われるため、影響が大きいやり方です。
今回のように AD Connector の DNS 設定を先に変更してしまった場合でも、新旧の DNS サーバーがどちらも稼働していれば、各 WorkSpace のレジストリを直接更新して切り替えられます。既存 WorkSpace の DomainJoinDns は AD Connector の設定と連動しません。そのため、AD Connector の DNS 設定を旧 DNS に戻す必要はありません。
更新方法
-
現在の設定を確認する 管理者権限で PowerShell を開き、以下のコマンドを実行します。
Get-ItemProperty -Path HKLM:\SOFTWARE\Amazon\SkyLight -Name DomainJoinDns -
DNS サーバーの IP アドレスを 1 つずつ更新する まず、1 つ目の IP アドレスだけを新しい値に変更します。2 つ目は旧 IP アドレスのままにします。レジストリエディター（HKEY_LOCAL_MACHINE\SOFTWARE\Amazon\SkyLight の DomainJoinDns）で変更しても構いません。
Set-ItemProperty -Path HKLM:\SOFTWARE\Amazon\SkyLight -Name DomainJoinDns -Value "NewIP1,OldIP2" -
設定を反映する WorkSpace を再起動するか、以下のコマンドでサービスを再起動します。サービスを再起動した場合、ネットワークアダプターに反映されるまで最大 1 分ほどかかることがあります。
Restart-Service -Name SkyLightWorkspaceConfigService -
動作を確認する ipconfig /all で DNS サーバーが変わったことを確認します。続けて、AD のドメイン名に対して nslookup を実行し、新しい DNS サーバーから応答があることを確認します。
-
2 つ目の IP アドレスを更新する 1 つ目に問題がなければ、2 つ目の IP アドレスも同じ手順で新しい値に変更し、設定の反映と動作確認を行います。
-
AD Connector の DNS 設定を確認する AD Connector の DNS アドレスが新しい DNS サーバーになっていることを確認します。AD Connector が複数ある場合は、すべての AD Connector を確認してください。
留意事項
- WorkSpace が複数ある場合は、WorkSpaces の OU にグループポリシーオブジェクト（GPO）を適用して、レジストリの変更を一括で配布する方法も案内されています。
- DNS 設定を変更する前後 15 分間は、新しい WorkSpace を起動しないことが推奨されています。
- 作業はオフピークの時間帯や計画メンテナンスの時間帯に行うことが推奨されています。
- 旧 DNS サーバーを停止または降格するのは、すべての WorkSpace の更新が終わってからにしてください。旧 DNS サーバーが停止した後は、レジストリを手動で更新できない WorkSpace が出る可能性があります。
参考資料
[1]WorkSpaces Personal の DNS サーバーを更新する
[2]AD Connector の DNS アドレスを更新する
