MS_ActiveDirectoryOverview
-
TOP > インフラストラクチャ > ドメイン サービス (AD DS)
- Active Directory（概要）
- グループポリシー設定リスト（グループ・ポリシー配下）
- Windows NT ドメインでは、クライアント・サーバコンピュータ、ユーザ アカウント、グループ、
アクセス権などの情報しか格納できなかった。 - しかし、Active Directory では情報スキーマを定義し情報を格納することで、
ドメインや共有資源情報に階層構造を設けて管理することができるようになった。 - また、データオブジェクトの格納件数や、検索機能の強化、LDAP への対応など、
ディレクトリ サービスとして十分な機能を持つようになった。 - Active Directory は、ディレクトリ サービス、DNS、
LDAPサーバ、KDCサーバなどの機能を含む
ドメイン コントローラ（DC）に管理された、
「ドメイン」という「ワークグループ」より高度なネットワーク資源のグループ化の環境を構築する
Windows 2000 Server から導入されたネットワーク サービスである。- Active Directory のドメインは、機能的に見て、DNS のドメインとは完全に一致しない。
- それより以前には、NT ドメインによりドメインが構築されていた。
- NT ドメインは PDC・BDC により管理された論理的なネットワーク資源のグループ化の仕組みであり、
Active Directory と同様に物理的な距離には左右されない、
共通のユーザ アカウントやセキュリティ ポリシーを持つ。 - ただし、DNS の機能はなく、DIBの機能も Active Directory と比べると劣っていた。
- NT ドメインは PDC・BDC により管理された論理的なネットワーク資源のグループ化の仕組みであり、
- Active Directory では、インターネットの標準技術を採用しており、
インターネットとの相互運用性を強化している。具体的には、以下の標準技術を採用している。
| # | 機能 | 標準技術名 |
|---|---|---|
| 1 | データベース | ディレクトリ サービス（X.500規格） |
| 2 | 名前解決 | DNS |
| 3 | ディレクトリ検索 | LDAP |
| 4 | 認証 | ケルベロス認証 |
- Active Directory は、以下の情報を中央で集中制御できるようになり、管理者の負担が軽減される。
- ネットワーク上に存在するクライアント・サーバ コンピュータ、共有フォルダ・プリンタなどのネットワーク資源情報。
- それらを使用するユーザの組織単位、ユーザ アカウント、グループ、アクセス権、PC の構成など。
- DC はドメインを制御するための中心的なシステムであり、
- Active Directory のドメインを管理する。
- Active Directory のディレクトリ・データベースを管理する。
- 非常に重要な役割を持っている。主な役割としては、以下がある。
- AD の「ドメイン」の範囲は、物理的なネットワーク構造に依存しない
同じDIBを共有する範囲であり、管理したいものだけを「ドメイン」に登録できる。 - 1つ以上のドメイン・コントローラによって管理された領域であり、
オブジェクトを複製したりセキュリティポリシーを設定したりするときの論理的な境界となる。
- 同じ「ワークグループ」に参加するコンピュータは、同じネットワークに所属している必要があった。
- ワークグループの環境では、ブラウジング機能の範囲がローカル ネットワークまでとなるため。
- しかし、ネットワークの範囲はルータ等で区切られている物理的な接続に依存するため、
結果として「ワークグループ」の自由度は低い。
- ネットワークを超えて管理したいものだけを登録し、ネットワーク資源をグループ化できる。
- ドメインの環境では、ブラウジング機能の範囲が論理的なドメインの範囲までとなるため。
ドメイン コントローラ（DC）が
各ローカル ネットワークのブラウズ リストの情報を集約することで、これを実現している。
- ドメインの環境では、ブラウジング機能の範囲が論理的なドメインの範囲までとなるため。
- このため、「ワークグループ」よりも自由度が高い。
※ 「ドメイン」を図示する場合は、三角形で描く習慣がある。
- ディレクトリ情報ベース（DIB）のスキーマのことで、
Active Directory のデータベース構造を定義したものである。 - 「スキーマ」には、Active Directory に格納されている下記オブジェクトすべての定義（テンプレート）が含まれる。
- コンピュータ / ユーザ / グループ / プリンタ
- Active Directory では、同一「フォレスト」に1つのスキーマ・セットしか維持できない。
- 従って、「スキーマ」の変更は「フォレスト」内の1台の DC で行われる。
- 一般に、Active Directory では、すべての DC が対等の役割を持つが、スキーマ変更は数少ない例外処理である。
- 「スキーマ」変更の役割を担う DC を「スキーマ・マスタ」と呼び、
操作マスタの一種である。
※ スキーマの変更（拡張）は元に戻せない（無効化はできるが削除できない）。
Exchange や Entra Connect の導入時に拡張されるのが典型例。
- 以下のような情報を格納し、検索・認証などの処理を担当する特別なシステムである。
- 当該「ドメイン」のDIB上にある AD オブジェクトの完全なコピー
- 「フォレスト」内の、その他の「ドメイン」にある頻繁に利用する属性を抽出した
AD オブジェクトの部分的なコピー
（ネットワーク資源情報 / ユーザの組織単位 / ユーザ アカウント / グループ / アクセス権 / PC の構成） - ネットワークへのログオンを許可する認証情報
- グローバル カタログ（GC）を格納する DC を各サイトに配置することで、
ユーザは効率的に AD オブジェクトを検索できるようになり、ネットワーク トラフィックも軽減できる。- 性能などを考慮して、ドメインの管理・DIB の更新処理などから GC への問い合わせ処理を切り離す場合、
DC を2台以上用意し、「DC」と「GC を格納する DC」を構築する。 - [Active Directory スキーマ] スナップインを使用すると、DIB のスキーマを変更できる。
- 性能などを考慮して、ドメインの管理・DIB の更新処理などから GC への問い合わせ処理を切り離す場合、
※ ログオン時にユニバーサル グループのメンバーシップを解決するために GC が必要。
GC に到達できないとログオンに失敗する（キャッシュで緩和可能）。
連続した DNS の規則に従った名前階層を共有している Active Directory ドメインの階層構造。
- ユーザやコンピュータの数が多い場合や、拠点が複数ある場合などは、
1つの組織で「ドメイン」を複数に分け階層構造を構築できる。 - この階層構造のことを「ドメイン ツリー」と呼び、
1つ以上の連続する DNS 名を備えた「ドメイン」の集合として定義される。 - 「ドメイン ツリー」に存在する「ドメイン」は、必ず親の「ドメイン」名を継承し「ドメイン」名を定義する。
- 「ドメイン・ツリー」内で最上位に位置する「ドメイン」のことを、「ドメイン・ツリーのルート・ドメイン」と呼ぶ。
1つ以上の「ドメイン・ツリー」で構成された、Active Directory における最も大きな管理単位。
- 同じ組織で名前の階層を分けたい場合は、別の「ドメイン・ツリー」を構成できる。
- この場合、「ドメイン・ツリー」同士で「信頼関係」を結び「フォレスト」を形成する。
- Active Directory 構造におけるグループ化の最大の単位は、「フォレスト」になる。
- 「フォレスト」は、
- 「スキーマ」と グローバル カタログ を共有する「ドメイン」と「ドメイン・ツリー」が、
それぞれ1つ以上含まれている。 - 「ドメイン・ツリー」とは異なり、「フォレスト」には連続していない
DNSの名前空間に存在する「ドメイン」をも含むことができる。 - 「フォレスト」は、Active Directory の「信頼関係」や「スキーマ」の境界となる。
- 「スキーマ」と グローバル カタログ を共有する「ドメイン」と「ドメイン・ツリー」が、
- Active Directory の操作範囲は「フォレスト」内に限られる。
補足: 「ドメインはセキュリティ境界ではなく、 フォレストがセキュリティ境界」というのが Microsoft の公式見解。 別ドメインにしても、同一フォレスト内なら Enterprise Admins から侵害されうる。 本当に分離したい場合はフォレストを分ける。
- 「ドメイン」で管理している資源に対して、アクセス権を割り当てられる対象は、
「ドメイン」のユーザやグループである。- 通常、別「ドメイン」のユーザやグループに対しては、アクセス権の割り当てなどはできない。
- しかし、同じ組織の中に複数の「ドメイン」が存在する場合、
異なる「ドメイン」のユーザやグループにもアクセスの許可や拒否などを設定したい場合がある。 - その場合には、「ドメイン」間で「信頼関係」という関係を結ぶ必要がある。
- NT ドメインでも「信頼関係」という機能が用意されていた。
- NT ドメインでは、「信頼関係」を管理者が手動で設定しなければならなかったが、
Active Directory ドメインでは同じ「フォレスト」に参加する「ドメイン」であれば
自動で「信頼関係」が結ばれる。
- NT ドメインでは、「信頼関係」を管理者が手動で設定しなければならなかったが、
- 同一「フォレスト」内の「ドメイン」であれば「信頼関係」の推移が可能になる。
- 「ドメイン」A・B が双方向の「信頼関係」を結び、B・C が双方向の「信頼関係」を結んでいると、
自動的に A・C 間にも双方向の「信頼関係」が成立する。
1つの組織では1つの「フォレスト」にとどめておくことが推奨されている。
- 「フォレスト」間で「信頼関係」を結ぶこともできるが、
- 「信頼関係」の推移は行えない。
- 一方向のみの「信頼関係」となる。
- また、後で複数の「フォレスト」を1つの「フォレスト」にまとめるということは簡単ではない。
サポートされるフォレストの信頼の種類
| 種類 | 内容 |
|---|---|
| 双方向のフォレストの信頼 | フォレスト A・B のユーザが、両フォレストのサーバにアクセスできる |
| 一方向の受信信頼 | A が B に対する受信信頼を持つ場合、A のユーザが B のサーバにアクセスできる |
| 一方向の送信信頼 | A が B に対する送信信頼を持つ場合、B のユーザが A のサーバにアクセスできる |
| 推移的な信頼 | 子ドメインのユーザにも信頼関係が及ぶ |
移行メモ: 原文の「過渡的な信頼」は、推移的な信頼（transitive trust）の訳。 「過渡的（transitional）」ではなく「推移的（transitive）」。
なお、フォレスト間の信頼は Windows Server 2003 以降推移的にできる （フォレスト信頼を結べば、双方のフォレスト内の全ドメインに信頼が及ぶ）。 原文の「フォレスト間では推移は行えない」は、 外部信頼（external trust）の説明が混ざったものと解される。
- ドメイン間の階層構造がとれない
- PC 名（NetBIOS コンピュータ名）の名前空間が単一であるため、
別 NT ドメインであっても同名の PC が同一ネットワーク上に存在できない。 - 基本的に LAN 内で構築することが前提のシステムであり、
WAN のような狭帯域の回線が存在すると、ログオン認証パケットの
不達や遅延によるアクセス不能問題を起こしやすい。 -
SAMデータベース（実体はレジストリ）の最大容量がわずか 40MB と少なく、
ユーザーアカウントやコンピュータアカウントを 4万件程度しか登録することができない。 - このため、アカウント管理と共有資源の管理の両立が難しく、
マスタ・ドメインとリソース・ドメインをつくり信頼関係を設定する必要があった。 - PDC（Primary Domain Controller）が壊れた場合、
BDC（Backup Domain Controller）を利用可能だがディレクトリ情報の変更ができない。
BDC を PDC に昇格する作業は管理者が手作業で行わなければならない。
-
DNS、LDAP、ケルベロス認証システムなど
「インターネット系のオープン技術」が取り入れられている。 - 可用性（アベイラビリティ）が高い
PDC・BDC の「シングルマスタ・レプリケーション」から、
複数のマスタサーバが存在する「マルチマスタ・レプリケーション」に変更されている。 - 拡張性（スケーラビリティ）が高い
- NT ドメインでは最大登録ユーザは4万人程度だが、Active Directory では数百万人を超える登録も可能。
- 「マスタ・ドメイン」や「リソース・ドメイン」といった分割が不要になり、
シングル・ドメイン構成でも柔軟に管理できるようになった。 - WAN 回線を考慮した設計（サイト、サイトリンク）もできる。
- 管理性（マネージャビリティ）が高い
- ドメイン階層や OU を利用した分散管理もできる。
- 反面、AD を構築するにはDNSサーバの設置、ゾーン情報の編集が必須となるなど、
設計、構築、運用、保守の全てにおいて必要なスキル水準が上昇してしまい、
NT ドメインほど「お手軽」ではなくなってしまった。
Active Directory には3つの側面がある。それぞれの機能は、活用レベルと考えてもよい。
ユーザーとグループ、コンピュータを「ドメイン・メンバ」として
- 管理を一元化し、
- 情報や共有リソース（共有資源）へのアクセスを限定する
機能を持つ。
- 「ドメイン間の階層構造（DNS に基づく）」と「ドメイン内の階層構造（OU に基づく）」を利用できる。
- ドメイン間の階層構造（DNS に基づく）
- 異なるセキュリティ・ポリシー（パスワードの利用制限など）を実装できる。
- Active Directory ドメインは DNS ドメインと一致しなければならない。
- しかし、Active Directory 用のドメインをインターネット上に公開する必要はない。
- ドメイン内の階層構造（OU に基づく）
- ドメイン内の階層構造は「組織単位（OU）」と呼ばれる。
- Active Directory に登録された情報は、同一ドメイン内であれば簡単に移動できる。
- （パスワードリセット等の）権限を OU 単位で任意のユーザーやグループに委任できる。
- クライアントに対しては、強力な検索機能が提供される。
※ 「異なるパスワード ポリシーを実装するためにドメインを分ける」必要は、
Windows Server 2008 以降は PSO（きめ細かなパスワード ポリシー） で解消されている
（グループ・ポリシーを参照）。
- アプリケーションの使う分散型・階層型 DB を提供する。
- ディレクトリ・サービスの真の価値は、アプリケーションが対応しているかどうかで決まる。
- UNIX 上で Kerberos クライアントを動作させれば、UNIX を Active Directory に参加させることができる。
- アプリケーションを Kerberos 対応にすることを「Kerberise（ケルベライズ）」という。
補足（最新化）: 現在は「汎用ディレクトリ」としての位置は Microsoft Entra ID（旧 Azure AD）が担っており、 SaaS を含む多数のアプリが SAML / OpenID Connect で連携する。 オンプレミスの AD DS は、Entra Connect による同期元、 および Kerberos を必要とする社内システムの認証基盤として使われ続けている。
- Active Directory ドメイン サービスの概要 - Microsoft Learn
- フォレストの設計モデル - Microsoft Learn
- Active Directoryへ移行するための予備知識 - ＠IT
Tags: Active Directory, 認証基盤