Active Directory Domain Services(AD DS)とは？意味をわかりやすく簡単に解説

text: XEXEQ編集部

Active Directory Domain Services(AD DS)とは
Active Directory Domain Servicesの主要コンポーネント
ドメインコントローラー
グローバルカタログ
FSMO(Flexible Single Master Operation)ロール
Active Directory Domain Servicesの認証と認可
Kerberos認証
NTLM認証
アクセス制御リスト(ACL)
Active Directory Domain Servicesの管理とメンテナンス
ドメインコントローラーの管理
グループポリシーの管理
Active Directoryデータベースのバックアップと復元
参考サイト

Active Directory Domain Services(AD DS)とは

Active Directory Domain Services(AD DS)はMicrosoftが提供するディレクトリサービスの一つです。Windows Serverの機能として提供されており、ネットワーク上のユーザー、コンピューター、プリンターなどのリソースを一元管理することができます。

AD DSはドメインと呼ばれる管理単位を使用して、ネットワーク上のリソースを階層構造で管理します。ドメインは組織内のセキュリティ境界を定義し、ユーザーやコンピューターなどのオブジェクトをグループ化することで、効率的な管理を実現するのです。

また、AD DSはシングルサインオン(SSO)の機能を提供しています。これにより、ユーザーは一度の認証でネットワーク上の複数のリソースにアクセスできるようになり、利便性が向上するのです。

AD DSはグループポリシーと呼ばれる機能も提供しています。これを使用することで、管理者はドメイン内のユーザーやコンピューターに対して、一括で設定を適用することができるようになります。

さらに、AD DSはスキーマと呼ばれる拡張可能な情報モデルを使用しています。このスキーマを拡張することで、組織固有の情報を追加し、管理することが可能となるのです。

Active Directory Domain Servicesの主要コンポーネント

Active Directory Domain Servicesの主要コンポーネントに関して、以下3つを簡単に解説していきます。

ドメインコントローラー
グローバルカタログ
FSMO(Flexible Single Master Operation)ロール

ドメインコントローラー

ドメインコントローラー(DC)はActive Directoryデータベースのコピーを保持し、認証や情報の複製を行うサーバーです。DCはドメイン内のユーザーやコンピューターの認証を担当し、Active Directoryデータベースへの変更を他のDCに複製します。

また、DCはグループポリシーの適用や、DNS(Domain Name System)サービスの提供も行います。ドメイン内には複数のDCを配置することで、冗長性と負荷分散を実現できるのです。

DCの役割はドメイン内のセキュリティと管理の中心となることです。そのため、DCのセキュリティ設定や管理には十分な注意が必要とされます。

グローバルカタログ

グローバルカタログ(GC)は複数のドメインが存在する環境において、ドメイン間での情報検索を高速化するためのサービスです。GCは各ドメインのActive Directoryデータベースから頻繁に使用される属性を抽出し、統合されたデータベースを作成します。

これにより、ユーザーがドメイン間で情報を検索する際に、全てのドメインを個別に検索する必要がなくなり、検索のパフォーマンスが向上するのです。GCは各ドメインに少なくとも一台配置することが推奨されています。

また、GCはExchange Serverなどの他のMicrosoftサービスとの統合にも使用されます。これらのサービスはGCを使用してユーザー情報を検索し、効率的な動作を実現しているのです。

FSMO(Flexible Single Master Operation)ロール

FSMO(Flexible Single Master Operation)ロールはActive Directory Domain Servicesにおける特別な役割を持つDCです。FSMOロールはドメインまたはフォレスト全体で一意であり、特定の操作を実行する権限を持ちます。

FSMOロールには5つの種類があります。スキーママスター、ドメイン命名マスター、RIDマスター、PDCエミュレーター、インフラストラクチャマスターです。各ロールはActive Directoryの特定の側面を管理し、冗長性を確保しつつ、一貫性を維持するために設計されています。

FSMOロールを持つDCに障害が発生した場合、他のDCにロールを移転する必要があります。そのため、FSMOロールを持つDCの監視と管理は重要な課題の一つとなるのです。

Active Directory Domain Servicesの認証と認可

Active Directory Domain Servicesの認証と認可に関して、以下3つを簡単に解説していきます。

Kerberos認証
NTLM認証
アクセス制御リスト(ACL)

Kerberos認証

Active Directory Domain Servicesでは主要な認証方式としてKerberos認証が使用されています。Kerberosはチケットベースの認証プロトコルであり、ユーザーがドメイン内のリソースにアクセスする際に、シングルサインオン(SSO)を実現します。

Kerberos認証ではユーザーが認証サーバー(KDC)からチケット認可チケット(TGT)を取得し、そのTGTを使用して、目的のリソースにアクセスするためのサービスチケットを取得します。このプロセスにより、ユーザーは一度の認証で複数のリソースにアクセスできるようになるのです。

Kerberos認証はActive Directory Domain Servicesにおけるセキュリティの中核を担っており、適切な設定と管理が重要となります。また、Kerberos認証を使用するためにはクライアントとサーバーの両方がKerberosをサポートしている必要があります。

NTLM認証

NTLM(NT LAN Manager)認証はKerberos認証が導入される以前からWindows環境で使用されてきた認証方式です。NTLMはチャレンジ/レスポンス方式の認証プロトコルであり、ユーザーの資格情報をハッシュ化して、サーバーとの間で認証を行います。

現在ではより安全なKerberos認証が推奨されていますが、レガシーアプリケーションとの互換性のために、NTLMが使用されることもあります。ただし、NTLMはKerberosと比べてセキュリティ面で脆弱性があるため、可能な限りKerberosへの移行が望ましいとされています。

Active Directory Domain Servicesではグループポリシーを使用して、NTLM認証の使用を制限したり、無効化したりすることができます。これにより、セキュリティを強化し、潜在的なリスクを軽減することが可能となるのです。

アクセス制御リスト(ACL)

アクセス制御リスト(ACL)はActive Directory Domain Servicesにおける認可の仕組みです。ACLはオブジェクト(ユーザー、グループ、コンピューターなど)に対するアクセス許可や拒否を定義するために使用されます。

ACLはアクセス制御エントリ(ACE)の集合体であり、各ACEが特定のユーザーやグループに対するアクセス許可や拒否を指定します。これにより、管理者はきめ細かなアクセス制御を実現し、リソースへのアクセスを適切に管理することができるのです。

Active Directory Domain Servicesではオブジェクトに対するACLの継承も重要な概念です。コンテナオブジェクト(OU)に設定されたACLはその中に存在するオブジェクトに継承されます。これにより、大規模な環境でもアクセス制御を効率的に管理することが可能となります。

Active Directory Domain Servicesの管理とメンテナンス

Active Directory Domain Servicesの管理とメンテナンスに関して、以下3つを簡単に解説していきます。

ドメインコントローラーの管理
グループポリシーの管理
Active Directoryデータベースのバックアップと復元

ドメインコントローラーの管理

ドメインコントローラー(DC)の管理はActive Directory Domain Servicesを正常に運用するために不可欠です。DCの管理にはパッチ管理、セキュリティ設定、パフォーマンス監視などが含まれます。

また、DCの台数や配置も重要な検討事項です。冗長性と負荷分散を確保するために、複数のDCを適切な場所に配置する必要があります。さらに、DCの障害発生時には速やかに復旧作業を行い、ドメインサービスの可用性を維持することが求められます。

DCの管理にはActive Directory Domain Servicesの深い知識と経験が必要とされます。そのため、専門のチームや担当者を設けて、継続的な管理とメンテナンスを行うことが推奨されているのです。

グループポリシーの管理

グループポリシーはActive Directory Domain Servicesにおける powerful な管理ツールです。グループポリシーを使用することで、ドメイン内のユーザーやコンピューターに対して、一括で設定を適用することができます。

グループポリシーの管理にはポリシーの作成、適用、変更、および削除が含まれます。また、ポリシーの継承や優先順位の設定も重要な要素です。グループポリシーの管理を適切に行うことで、セキュリティの強化、コンプライアンスの確保、および管理作業の効率化を実現できます。

ただし、グループポリシーの設定ミスや競合はネットワークの問題や予期せぬ動作を引き起こす可能性があります。そのため、グループポリシーの変更は慎重に行い、十分なテストを行ってから本番環境に適用することが重要です。

Active Directoryデータベースのバックアップと復元

Active Directoryデータベースはドメイン内のユーザー、グループ、コンピューター、およびその他のオブジェクトに関する情報を格納しています。このデータベースが損傷したり、失われたりした場合、ドメインサービスが停止し、深刻な影響を及ぼす可能性があります。

そのため、Active Directoryデータベースの定期的なバックアップは不可欠です。バックアップにはシステム状態のバックアップや、Active Directoryの専用バックアップツールを使用する方法があります。バックアップは障害発生時の復元に備えて、安全な場所に保管する必要があります。

復元作業ではバックアップからActive Directoryデータベースを復元し、ドメインサービスを回復します。復元作業は慎重に行う必要があり、必要に応じて専門家の支援を求めることが推奨されます。適切なバックアップと復元手順を確立することで、Active Directory Domain Servicesの可用性と信頼性を維持することができるのです。