Active Directory

Active Directory (アクティブディレクトリ) とはマイクロソフトによって開発かいはつされたオンプレミスにおけるディレクトリ・サービス・システムであり、Windows 2000 Serverから導入どうにゅうされた、ユーザとコンピュータリソースを管理かんりするコンポーネント群ぐんの総称そうしょうである。なお、クラウドコンピューティングにおけるディレクトリ・サービス・システムであるAzure Active Directoryと区別くべつする場合ばあい、オンプレミス Active Directoryと表記ひょうきすることもある。

経緯けいい

Microsoft Windows 95発売はつばい後ご、Windowsはグラフィカルユーザインタフェース (GUI) で操作そうさできる利便りべん性せいからクライアント用ようオペレーティングシステム (OS) として急速きゅうそくに普及ふきゅうした。標準ひょうじゅんでネットワーク機能きのうを有ゆうしていたことから、主おもに企業きぎょうや大学だいがくなどでPCのネットワーク化かが促進そくしんされたが、ユーザ管理かんりやアクセス制御せいぎょ機能きのうが貧弱ひんじゃくで、ネットワークの規模きぼが拡大かくだいするにつれて管理かんり上じょうの弱点じゃくてんとなっていった。

これに対たいしてWindows NTでは、クライアントPC単体たんたいでユーザ管理かんりおよびアクセス制御せいぎょ機能きのうを搭載とうさいしており、さらにWindows NTサーバを中心ちゅうしんとするNTドメインを構築こうちくすることで、ユーザーおよびパーソナルコンピュータ (PC) のユーザアカウントをドメインコントローラ (Domain controller、以下いかDC) で集中しゅうちゅう管理かんりできるようになった。

やがてNTサーバが大だい規模きぼネットワークでも利用りようされるようになると、NTドメインの短所たんしょが指摘してきされるようになった。

• ドメイン間あいだの階層かいそう構造こうぞうがとれない
• PC名めい (NetBIOSコンピュータ名めい) の名前なまえ空間くうかんが単一たんいつであるため、別べつNTドメインであっても同名どうめいのPCが同どう一いちネットワーク上じょうに存在そんざいできない
• 基本きほん的てきにLAN内うちで構築こうちくすることが前提ぜんていのシステムであり、WANのような狭せま帯域たいいきの回線かいせんが存在そんざいすると、ログオン認証にんしょうパケットの不ふ達たちや遅延ちえんによるアクセス不能ふのう問題もんだいを起おこしやすい。
• Security Account Manager (SAM) データベース の最大さいだい容量ようりょうが40MBと少すくなく、ユーザーアカウントやコンピュータアカウントを4万まん件けん程度ていどしか登録とうろくすることが出来できない。

などである。

これらの問題もんだいを解決かいけつし、NTドメインのユーザーおよびコンピュータ管理かんり機能きのうを継承けいしょうしつつ、大だい規模きぼネットワークでも利用りようできるように大幅おおはばに改良かいりょうしたのがActive Directory (以下いかAD) である。

ADでは、上記じょうきの欠点けってんを改善かいぜんしたほか、以下いかのような特徴とくちょうを持もつ。

• DNSやケルベロス認証にんしょうシステム、LDAPの導入どうにゅうなど、いわゆる「インターネット系けいのオープン技術ぎじゅつ」が大幅おおはばに取とり入いれられている。
• DNSやDCにおいて、複数ふくすうのマスタサーバが存在そんざいする「マルチマスタシステム」が取とり入いれられている。

半面はんめん、ADを構築こうちくするにはDNSサーバの設置せっちやゾーン情報じょうほうの編集へんしゅうが必須ひっすとなるなど、設計せっけい、構築こうちく、運用うんよう、保守ほしゅの全すべてにおいて必要ひつようなスキル水準すいじゅんが上昇じょうしょうした。したがって、ファイルとプリンタの共有きょうゆうができれば十分じゅうぶんであり、システムをリプレースするメリットはないと判断はんだんして導入どうにゅうを見送みおくったユーザーも多おおかった。

Active Directoryの構成こうせい要素ようそと概念がいねん

出版しゅっぱん企業きぎょうの内部ないぶネットワークを単純たんじゅん化かした一いち例れい。企業きぎょうは4つのグループを持もち、ネットワーク上じょうの3つの共有きょうゆうフォルダーに対たいしてそれぞれアクセス許可きょかが与あたえられている。

ADドメイン

ADドメインとは、Windows 2000 Server以降いこうのWindows Server DCで構成こうせいされる、ユーザーとコンピュータの管理かんり単位たんいである。

DCはADをインプリメントした実体じったいであり、ディレクトリデータベースにPCやユーザー、グループなどのアカウントを登録とうろくすることにより、ユーザーやコンピュータの権利けんりと権限けんげんの集中しゅうちゅう管理かんりを可能かのうとする。また、「グループポリシー」機能きのうによってPCやユーザーの環境かんきょうを制御せいぎょできる。

ADドメインに登録とうろくされたユーザは「Domain Users」など何なんらかのセキュリティグループに所属しょぞくしており、通常つうじょうは管理かんりを簡略かんりゃく化かするためグループ単位たんいでセキュリティを設定せっていする。セキュリティグループには、適用てきよう範囲はんいの狭せまい順じゅんに「ビルトインローカル」「ドメインローカル」「グローバル」「ユニバーサル」の4種類しゅるいがあり、異ことなる種類しゅるいのグループを別べつのグループに所属しょぞくさせる“入いれ子こ”も可能かのうである。

ADドメインの主要しゅような機能きのうである、ユーザー認証にんしょうとグループポリシーの適用てきようを管理かんりする機能きのうを持もたされた特別とくべつなサーバがDCである。DCはクライアントPCから常つねに参照さんしょう可能かのうでなければならないため、IPアドレスを固定こていで割わり当あてる必要ひつようがある。ADドメインのドメイン階層かいそう構造こうぞうはDNSの名前なまえ階層かいそう構造こうぞうをLANに応用おうようしたものであり、コンピュータ間あいだの名前なまえ解決かいけつにはDNSサーバが必須ひっすである。

基本きほん的てきに1つのフォレストに1台だいのDNSサーバがあればサブドメインを含ふくめて統一とういつ管理かんりできるので、必かならずしもADのサブドメインにDNSサーバを設置せっちしなくてもよい。ただし1台だいだけではサービス効率こうりつと耐たい障害しょうがい性せいが劣おとるため、通常つうじょうは複数ふくすう台だい設置せっちする。

ディレクトリデータベースはDC間あいだで「マルチマスタレプリケーション」が行おこなわれており、ユーザアカウントの登録とうろくなどディレクトリデータベースへの変更へんこう操作そうさは、基本きほん的てきにすべてのDCで可能かのうである。ただし、Windows Server 2008の「読よみ取とり専用せんようDC」においてはこの限かぎりではない。ちなみにNTドメインではSAMの“原本げんぽん”を扱あつかうプライマリDCがただ1台だいあり、必要ひつように応おうじてバックアップDCを追加ついかする。ユーザアカウントの登録とうろくなどは常つねにプライマリDCが行おこない、バックアップDCは複製ふくせいされたSAMを参照さんしょうしてユーザー認証にんしょうを行おこなう。

フォレストの階層かいそう構造こうぞうの変更へんこうや、オブジェクトの元もととなるスキーマの編集へんしゅう、相対そうたいIDの発行はっこうなどは、ドメインまたはフォレストごとに1台だい存在そんざいする、Flexible Single Master Operations (FSMO) の操作そうさマスタを実行じっこうするDCが占有せんゆう的てきに操作そうさする。

ログオン認証にんしょうなどでは、サイズが大おおきくサーチに時間じかんがかかるディレクトリデータベースよりも、もっぱら簡易かんいなグローバルカタログ（GC）が多用たようされる。

フォレスト

フォレストは、DNSの名前なまえ階層かいそうに基もとづく1つ以上いじょうのADドメインの階層かいそう的てき集合しゅうごうである。1つ以上いじょうのADドメインを含ふくむシステム領域りょういきであり、ADの概念がいねんの中なかで最もっとも外側そとがわの領域りょういきである。

1つ以上いじょうのADドメインを設置せっちする際さいに、DNSの名前なまえ階層かいそうに従したがって階層かいそう構造こうぞう、すなわちフォレストを構成こうせいできる。Wikipediaを例れいに取とると、基準きじゅんとなるADドメインD1 (ja.wikipedia.org) の下層かそうに作成さくせいされたADドメインD2 (sub1.ja.wikipedia.org) は「サブドメイン」となる。基準きじゅんドメインD1とサブドメインD2の間あいだには自動的じどうてきに双方向そうほうこうの信頼しんらい関係かんけいが結むすばれる。サブドメインD2は、ドメインD1の下したに作成さくせいされた別べつのサブドメインD3 (sub2.ja.wikipedia.org)、あるいはドメインD1のさらに上位じょういドメインD0 (wikipedia.org) とも自動的じどうてきに信頼しんらい関係かんけいが結むすばれる。つまり、「ドメインD2がドメインD1を信頼しんらいし、ドメインD1がドメインD0を信頼しんらいしているとき、ドメインD2はドメインD0を信頼しんらいする」という論理ろんりで信頼しんらい関係かんけいを結むすぶ。これを「信頼しんらいの推移すいい」と呼よぶ。

同どう一いちフォレスト内ないのADドメインであれば、信頼しんらいの推移すいいが行おこなわれるとともに、グループの共有きょうゆうも可能かのうである。ただ1つのADドメインしかなくてもフォレストを形成けいせいし、シングルフォレスト、シングルドメイン、シングルサイト構成こうせいになる。最初さいしょに構築こうちくしたADドメインは「フォレストルートドメイン」となり、他たのADドメインを増設ぞうせつする際さいの基準きじゅんドメインになる。先さきの例れいでは、ドメインD0 (wikipedia.org) がフォレストルートドメインであり、他たのADドメインに先駆さきがけて最初さいしょに構築こうちくしなければならない。

Windows 2000 Serverによるフォレストでは、フォレスト間あいだで一括いっかつして信頼しんらい関係かんけいを結むすぶことはできない。すなわち、フォレストルートドメイン間あいだで信頼しんらい関係かんけいを結むすんでも、サブドメインには信頼しんらいは推移すいいしない。NTドメインと同様どうように、異ことなるフォレストに属ぞくするADドメイン間あいだで個別こべつに信頼しんらい関係かんけいを結むすぶことはできる。Windows Server 2003以降いこうでは「フォレスト間あいだ信頼しんらい」がサポートされ、フォレストルートドメイン間あいだで信頼しんらい関係かんけいを結むすぶことで、各かくフォレストに属ぞくするADドメインも自動的じどうてきに推移すいいする信頼しんらい関係かんけいを結むすんだことになる。

組織そしき単位たんい

組織そしき単位たんい (OU; Organizational Unit, Organization Unitとも) とは、セキュリティグループとは別べつに、ユーザーやコンピュータを管理かんりするグループである。本社ほんしゃ、支社ししゃ、支店してんといった大おおきな分類ぶんるいの下したに、経理けいり、営業えいぎょう、総務そうむ、開発かいはつなどのOUを作成さくせいして、現実げんじつの組織そしき体制たいせいや資産しさん管理かんり体制たいせいに即そくしたグループの階層かいそうを構築こうちくすることで、運用うんよう管理かんりを容易よういにする。組織そしき体制たいせいに則そくした複数ふくすうのADドメインを作成さくせいする必要ひつようがなく、セキュリティ要件ようけんが同一どういつであれば、単一たんいつドメインで管理かんりできる。

また、OUにはグループポリシーオブジェクトをリンクできるので、「開発かいはつ用ようのPCではデスクトップ環境かんきょうをカスタマイズ可能かのうにするが、経理けいりのPCでは変更へんこうできないようにしたい」といった要求ようきゅうに対応たいおうできる。

サイト

サイトはADとはやや性格せいかくを異ことにする、物理ぶつりネットワークの境界きょうかいに基もとづいた概念がいねんであり、主おもに4つの目的もくてきで使用しようされる。すなわち、ディレクトリデータベースの複製ふくせいトラフィックの最適さいてき化か、ログオン認証にんしょうトラフィックの最適さいてき化か、グループポリシーの適用てきようスコープ変更へんこう、そして管理かんりの委任いにんである。

通常つうじょうは同どう一いちLANで通信つうしんできる範囲はんいをサイトとする。ただし高速こうそくなWAN回線かいせんを使つかう場合ばあいはWANを越こえたサイトを作成さくせいすることもある。ADドメインを新規しんき構築こうちくすると、自動的じどうてきに「Default-First-Site-Name」という名前なまえのサイトも作成さくせいされるため、意識いしきせずともサイトを利用りようする。

サイト内ないでは、ディレクトリ情報じょうほうは変更へんこうがある度たびに圧縮あっしゅくされずに複製ふくせいされる。また複製ふくせいパスは最大さいだい3ホップの複数ふくすうリング状じょうに構成こうせいされる。一方いっぽう、サイト間あいだの場合ばあいは、定期ていき的てきに (既定きてい値ちは180分ふん、最短さいたんで15分ふんに構成こうせい可能かのう)、圧縮あっしゅくして複製ふくせいされる。また、複製ふくせいパスはスパンツリー型がたに構成こうせいされる。

クライアントは、自分じぶんのサブネット情報じょうほうをもとにサイト情報じょうほうを取得しゅとくし、同どう一いちサイトのDCに対たいして優先ゆうせん的てきに認証にんしょうを要求ようきゅうする。

サイトの目的もくてきを達成たっせいするためには、各かくサイトに1台だい以上いじょうのDCが設置せっちされている必要ひつようがある。DCのないサイトは、近隣きんりんサイトのDCがそのサイトを自動的じどうてきに担当たんとうする。これを「自動じどうサイトリカバリ」と呼よぶ。

あるDCが持もつディレクトリ情報じょうほうを他たのサイトのDCに複製ふくせいすることを、「サイト間あいだレプリケーションを行おこなう」という。レプリケーションを行おこなうDCは、管理かんりツールの「Active Directoryサイトとサービス」でサイトを作成さくせいし、レプリケーションパートナーとなる相手あいてのサイトリンクと関連付かんれんづける必要ひつようがある。レプリケーションすることで、ディレクトリデータベースの情報じょうほうを共有きょうゆうするため、グループポリシーやデータベースをパートナー同士どうしで自動的じどうてきに最新さいしんの状態じょうたいを維持いじすることができる。

ひとつの地域ちいきに複数ふくすうのDCがあるとき、サイト内ないと同様どうようのパスで他たの地域ちいきとレプリケーションすると、ネットワークに膨大ぼうだいな負荷ふかがかかる。そのためサイト内ないの1台だいのDCを「ブリッジヘッドサーバ」、すなわち橋頭堡きょうとうほとして自動的じどうてきに選出せんしゅつし、そのDCをサイトの代表だいひょうとしてサイト間あいだ複製ふくせいを行おこなう。そのほかのDCはそのブリッジヘッドサーバから得えた情報じょうほうをサイト内ないで複製ふくせいする。つまり、ブリッジヘッドサーバは、他たの地域ちいきからレプリケーションされたものをそのサイト内ないのすべてのDCへレプリケーションする。そうすることで効率こうりつよく最新さいしんの状態じょうたいを確保かくほしている。

• 例れい

  東京とうきょうにあるDC「wiki」と、大阪おおさかにあるDC「pedia」があるとする。二ふたつのDCはレプリケーションパートナーとなっている。

  東京とうきょうのDCのドメインに参加さんかしているクライアントを使つかっている「草薙くさなぎさん」がブリッジヘッドサーバのグループポリシーを変更へんこうすると、定期ていき的てきに変更へんこうが大阪おおさかのレプリケーションパートナーにもフィードバックされ、大阪おおさかのブリッジヘッドサーバにも変更へんこうが反映はんえいされるため、大阪おおさかドメインの「バトーさん」も同おなじ状態じょうたいのグループポリシーで作業さぎょうができる。

  同おなじように全国ぜんこくのDCをレプリケーションパートナーとして設定せっていすると、東京とうきょうで変更へんこうしたディレクトリデータベースが自動的じどうてきに自分じぶんの参加さんかしているDCに反映はんえいされるため、東京とうきょうのサーバにアクセスする必要ひつようが無ない。また、レプリケーション間隔かんかくはDCで設定せっていできる。ここで設定せっていした間隔かんかくもすべてのパートナー間あいだでレプリケーションする。

マルチマスタレプリケーション

マルチマスタレプリケーションとは、分散ぶんさん管理かんりされているADのディレクトリデータベースおよびグループポリシーオブジェクトを、矛盾むじゅんなく相互そうごに交換こうかんし統合とうごうする複製ふくせい手法しゅほうである。同どう一いちオブジェクトが複数ふくすうのDCで更新こうしんされた場合ばあい、時とき系列けいれつ的てきに後のちに更新こうしんされたオブジェクトが採用さいようされる。これによって、複数ふくすうDCで齟齬そごが生しょうじる状況じょうきょうを回避かいひできる。

ADSI

アプリケーションがADにアクセスするためのAPIが、ADSI (= Active Directory Service Interface) である。AD内ないのオブジェクトの検索けんさく、閲覧えつらん、編集へんしゅう、削除さくじょを実行じっこうできるため、例たとえばユーザー管理かんりやコンピュータ管理かんりなどの操作そうさを自動じどう化かすることができる。

関連かんれん項目こうもく

• ネットワークオペレーティングシステム
• LAN Manager
• ドメインコントローラ
• Samba - オープンソースのActive Directoryドメインコントローラ

外部がいぶリンク

• 『Active Directory』 - コトバンク