MS_ActiveDirectoryGlobalCatalog

Active Directory（グローバル カタログ）

• TOP > インフラストラクチャ > ドメイン サービス (AD DS)
  • Active Directory（グローバル カタログ）
  • Active Directory（レプリケーション）
  • DCの冗長化

概要

• フォレスト内の全ドメインの全オブジェクトから、
  検索で利用される頻度が高い属性
  （デフォルトではユーザ名やログオン名など）
  のみを抽出し、ドメイン間でレプリケーション、保存されている。

• 異なるドメインがある場合のみレプリケーションが発生する。

  • ドメイン コントローラ間のレプリケーションとは別である。
  • 他のドメインの、利用される頻度が高い属性のみレプリケーションされる。
  • 従って、シングル ドメインの場合は、グローバル カタログのレプリケーションは発生しない。

• 異なるドメインのオブジェクトでも、ローカルで一括して検索できる。

• ログオン時の所属グループの確認や、オブジェクト検索に利用される。

グローバル カタログ サーバ

• グローバル カタログは、フォレスト内のグローバル カタログ サーバが保持する。
• グローバル カタログ サーバは、ドメイン コントローラの持つ役割の 1 つ。

補足: グローバル カタログ サーバは、 LDAP の標準ポート（389/636）とは別に 3268 / 3269（SSL） で待ち受ける。 フォレスト全体を対象とした検索は、このポートに対して行う。

なお、どの属性をグローバル カタログに複製するかは、 スキーマの属性定義（isMemberOfPartialAttributeSet）で制御され、 PAS（Partial Attribute Set）と呼ばれる。

設計

グローバル カタログ サーバの台数

Active Directory は、一部の例外を除き、
グローバル カタログが利用できないとログオンできないという仕様なので、

• フォールト トレランス（耐障害性）を確保するためにも、
  2 台以上のグローバル カタログ サーバを設置するべきである。

• しかし、あまりグローバル カタログ サーバの台数を増やしすぎると、
  グローバル カタログ サーバ間のレプリケーションの
  ネットワーク トラフィックが大きくなる（サイトごとに 1 台程度が目安）。

移行メモ（補足）: 「グローバル カタログが無いとログオンできない」のは、 ユニバーサル グループのメンバシップ解決がグローバル カタログを必要とするためである。 例外として、

• シングル ドメイン フォレストではグローバル カタログ無しでもログオンできる。
• ユニバーサル グループ メンバシップ キャッシュ (UGMC) を有効にしたサイトでは、 グローバル カタログを配置せずにログオンできる（WAN 越しの拠点向け）。

なお、シングル ドメイン フォレストでは 全 DC をグローバル カタログにするのが推奨である （複製されるデータが同一であるため、追加コストが実質発生しない）。

複数

ドメイン、サイト

複数のドメイン、サイトがある場合、

グローバル カタログのレプリケーションを考慮してグローバル カタログ サーバを配置する。

• 注：グローバル カタログのレプリケーションはドメイン コントローラのレプリケーションと別。
• 注：シングル ドメインではグローバル カタログのレプリケーションは発生しないので増設不要。

フォレスト

複数のフォレストがある場合、

• フォレスト間を横断する情報共有が要求される場合

  • クロス フォレスト トラストが必要。
  • これらのトラストは、Kerberos をサポートする。

• フォレスト境界をまたいでレプリケーションについて。

  • フォレスト境界をまたいだレプリケーションはしない。
  • このため、マルチ フォレストを網羅するための統一された
    ビューを得るには、ディレクトリ同期ソフトウェアを実装する必要がある。

補足（最新化）: ディレクトリ同期ソフトウェアとしては、 かつての MIIS / ILM / FIM を経て、現在は MIM（Microsoft Identity Manager） や Microsoft Entra Connect（旧 Azure AD Connect） が使われる。

インストール

• デフォルトではフォレストに最初にインストールされた
  ドメイン コントローラがこの役割を担当することになっている。

• 2 台目以降のドメイン コントローラは
  自動的にはグローバル カタログ サーバにはならない。

• 複数のグローバル カタログ サーバを用意したい場合、

  • 2 台目以降のドメイン コントローラのインストールで、
    グローバル カタログのチェック ボックスをオンに設定する。
  • あるいは、管理者が手動で設定を行う
    （グローバル カタログ サーバは、ドメイン コントローラでなければならない）。
  • 実際の設定作業は、管理ツールの「Active Directory サイトとサービス」を使って行う。

補足（最新化）: Windows Server 2012 以降の Install-ADDSDomainController では -NoGlobalCatalog を指定しない限り 既定でグローバル カタログが有効になる。 上記の「2 台目以降は自動的にはならない」は、 Windows Server 2008 R2 以前の dcpromo 時代の記述である。

参考

• グローバル カタログ - Microsoft Learn
• ユニバーサル グループ メンバーシップ キャッシュ - Microsoft Learn

---

Tags: Active Directory