Active Directoryとは？意味をわかりやすく簡単に解説

text: XEXEQ編集部

Active Directoryとは
Active Directoryの構造と階層
Active Directoryのツリーとフォレスト
Active Directoryのドメインとサブドメイン
Active DirectoryのOUとコンテナ
Active Directoryの認証と権限管理
Active Directoryの認証方式
Active Directoryのアクセス制御
Active Directoryのグループポリシー
Active Directoryの運用と管理
Active Directoryの監視とトラブルシューティング
Active Directoryのバックアップとリストア
Active Directoryの拡張とアドオン
参考サイト

Active Directoryとは

Active DirectoryはMicrosoftが提供するディレクトリサービスの一つであり、Windowsドメイン環境における中核的な役割を果たしています。ネットワーク上のユーザー、コンピューター、プリンターなどのリソースを一元管理することができ、セキュリティポリシーの適用やアクセス制御も容易に行えます。

Active Directoryはドメインコントローラーと呼ばれるサーバー上で動作し、ディレクトリデータベースを管理します。このデータベースにはユーザーアカウント情報や、コンピューターアカウント情報、グループ情報などが格納されており、認証や権限の管理に利用されるのです。

また、Active Directoryはシングルサインオン(SSO)を実現するための基盤としても重要な役割を担っています。ユーザーはActive Directoryに対して一度認証を行えば、ドメイン内の様々なリソースにアクセスすることが可能となり、利便性が大幅に向上するでしょう。

さらに、グループポリシーと呼ばれる機能により、ドメイン内のコンピューターに対して一括で設定を適用することもできます。これにより、セキュリティ設定の統一や、ソフトウェアの一括インストールなどが容易になり、システム管理者の負担を軽減できるはずです。

Active DirectoryはWindows Server 2000以降のバージョンに標準で搭載されており、現在でも多くの企業や組織で利用されています。セキュリティ、利便性、管理効率の向上を実現するための重要なコンポーネントとして、欠かせない存在となっているのです。

Active Directoryの構造と階層

Active Directoryの構造と階層に関して、以下3つを簡単に解説していきます。

Active Directoryのツリーとフォレスト
Active Directoryのドメインとサブドメイン
Active DirectoryのOUとコンテナ

Active Directoryのツリーとフォレスト

Active Directoryの階層構造の最上位に位置するのがフォレストです。フォレストは複数のドメインツリーを含むことができ、それぞれのツリーはルートドメインとその子孫ドメインで構成されます。

同一フォレスト内のドメインは相互に信頼関係を持ち、リソースを共有することができます。また、フォレスト全体で一貫したスキーマ(オブジェクトの種類や属性の定義)が適用され、管理が容易になるのです。

複数のフォレストを構築することも可能ですが、フォレスト間の信頼関係の設定や、スキーマの拡張には注意が必要です。組織の規模や要件に応じて、適切な階層構造を設計することが重要となるでしょう。

Active Directoryのドメインとサブドメイン

ドメインはActive Directoryの管理単位であり、ユーザーやコンピューターなどのオブジェクトを含むコンテナです。各ドメインには固有のDNS名が割り当てられ、他のドメインと区別されます。

サブドメインは親ドメインの下に作成される子ドメインのことを指します。サブドメインを利用することで、組織内の部門や地域ごとに管理を分割することができ、セキュリティポリシーの適用範囲を限定することも可能です。

ドメイン間の信頼関係により、あるドメインのユーザーが他のドメインのリソースにアクセスすることができます。この際、適切なアクセス権限の設定が必要となるため、慎重な管理が求められるでしょう。

Active DirectoryのOUとコンテナ

OU(Organizational Unit)はドメイン内のオブジェクトを論理的にグループ化するためのコンテナです。OUを利用することで、ユーザーやコンピューターを部門や役割ごとに分類し、きめ細かなセキュリティポリシーの適用が可能となります。

OUは階層構造を持ち、親OUの下に子OUを作成することができます。この階層構造を活用することで、組織の構造に合わせたオブジェクトの管理が実現できるのです。

一方、コンテナはビルトインのオブジェクトを含む特殊なOUです。Users、Computers、Domainsコントローラーなどのコンテナが存在し、それぞれ対応するオブジェクトが格納されています。コンテナに対してグループポリシーを適用することはできないため、OUを活用することが推奨されるでしょう。

Active Directoryの認証と権限管理

Active Directoryの認証と権限管理に関して、以下3つを簡単に解説していきます。

Active Directoryの認証方式
Active Directoryのアクセス制御
Active Directoryのグループポリシー

Active Directoryの認証方式

Active DirectoryではKerberos認証とNTLM認証の2種類の認証方式がサポートされています。Kerberos認証はActive Directoryの標準的な認証方式であり、セキュリティと性能に優れています。

Kerberos認証ではユーザーがログオン時にドメインコントローラーから認証チケットを取得し、そのチケットを使用してネットワーク上のリソースにアクセスします。これにより、パスワードの送信回数を減らし、セキュリティを向上させることができるのです。

一方、NTLM認証は古いバージョンのWindowsとの互換性を維持するために用意されています。NTLM認証ではユーザーのパスワードハッシュを使用して認証が行われますが、Kerberos認証に比べてセキュリティ面で劣るとされています。

Active Directoryのアクセス制御

Active Directoryではアクセス制御リスト(ACL)を使用して、オブジェクトに対するアクセス権限を管理します。ACLは各オブジェクトに関連付けられており、ユーザーやグループに対して読み取りや書き込みなどの権限を設定できます。

また、継承による権限の伝播も可能です。親オブジェクトに設定された権限は子オブジェクトに継承されるため、一括して権限を管理することができるでしょう。

さらに、特殊な権限として、委任された制御アクセス権(DACL)があります。DACLを使用することで、特定のユーザーやグループに対して、オブジェクトの権限を変更する権限を付与することができ、柔軟なアクセス制御が実現できます。

Active Directoryのグループポリシー

グループポリシーはActive Directoryの強力な機能の一つであり、ドメイン内のユーザーやコンピューターに対して一括で設定を適用することができます。グループポリシーオブジェクト(GPO)を作成し、OUに関連付けることで、所属するユーザーやコンピューターに設定が反映されるのです。

グループポリシーを使用することで、セキュリティ設定やソフトウェアの展開、デスクトップ環境の統一など、様々な管理タスクを効率的に行うことができます。また、GPOの継承や優先順位の設定により、きめ細かな制御も可能となります。

ただし、グループポリシーの設定には注意が必要です。矛盾する設定や、意図しない設定の適用により、システムの動作に問題が生じる可能性があるからです。適切なテストと検証を行い、段階的に導入することが重要でしょう。

Active Directoryの運用と管理

Active Directoryの運用と管理に関して、以下3つを簡単に解説していきます。

Active Directoryの監視とトラブルシューティング
Active Directoryのバックアップとリストア
Active Directoryの拡張とアドオン

Active Directoryの監視とトラブルシューティング

Active Directoryの安定運用のためには定期的な監視とトラブルシューティングが欠かせません。Windowsサーバーのイベントログやパフォーマンスモニターを活用することで、エラーや異常を早期に検知し、対処することができるでしょう。

また、Active Directoryの診断ツールを使用することで、レプリケーションの問題や不整合の検出、修復を行うことも可能です。DCDiag、Repadmin、Netdiag、Nltest、ADSIEditなどのツールを適切に使いこなすことが、トラブルシューティングの鍵となります。

さらに、サードパーティ製の監視ツールを導入することで、より高度な監視や分析が可能となるでしょう。ただし、ツールの選定にあたっては機能や性能、コストなどを十分に検討する必要があります。

Active Directoryのバックアップとリストア

Active Directoryのデータは組織にとって非常に重要な情報です。障害やデータ損失に備えて、定期的なバックアップを行うことが不可欠となります。

WindowsサーバーのバックアップツールやActive Directoryのスナップショット機能を利用することで、ディレクトリデータのバックアップを取得することができます。バックアップは複数のドメインコントローラーから取得し、異なる媒体に保存することが推奨されます。

リストアが必要となった場合、バックアップからディレクトリデータを復元することができますが、その際にはActive Directoryの復元モード(DSRM)を使用する必要があります。また、リストアの手順や注意点を十分に理解し、慎重に作業を進めることが重要でしょう。

Active Directoryの拡張とアドオン

Active Directoryは標準機能だけでなく、様々な拡張機能やアドオンを利用することで、更なる機能強化が可能となります。Microsoft Identity Manager(MIM)はActive Directoryの管理機能を拡張するソリューションであり、ユーザーのセルフサービスやワークフロー、同期機能などを提供します。

また、Active Directory Federation Services(AD FS)を利用することで、Active Directoryを他のIDプロバイダーと連携させ、シングルサインオン(SSO)を実現することができます。これにより、ユーザーの利便性が向上し、ID管理のコストを削減できるでしょう。

さらに、サードパーティ製のアドオンを活用することで、Active Directoryの監査や分析、レポート作成などの機能を強化することも可能です。ただし、拡張機能やアドオンの導入にあたってはシステムへの影響や互換性、ライセンスなどを十分に検討する必要があるでしょう。