Loading article…
Active Directory ( AD ) は、MicrosoftがWindows ドメインネットワーク用に開発したディレクトリ サービスです。Windows Serverオペレーティング システムには、プロセスとサービスのセットとして含まれています。[1] [2]当初、Active Directory は集中型ドメイン管理にのみ使用されていました。しかし、最終的にはさまざまなディレクトリ ベースの ID 関連サービスの総称になりました。[3]
ドメイン コントローラは、 Active Directory ドメイン サービス( AD DS ) の役割を実行するサーバーです。Windowsドメイン タイプのネットワーク内のすべてのユーザーとコンピューターを認証および承認し、すべてのコンピューターにセキュリティ ポリシーを割り当てて適用し、ソフトウェアをインストールまたは更新します。たとえば、ユーザーが Windows ドメインの一部であるコンピューターにログインすると、Active Directory は送信されたユーザー名とパスワードを確認し、ユーザーがシステム管理者か非管理者ユーザーかを判別します。[4]さらに、情報の管理と保存を可能にし、認証と承認のメカニズムを提供し、証明書サービス、Active Directory フェデレーション サービス、ライトウェイト ディレクトリ サービス、および権限管理サービスなどの他の関連サービスを展開するためのフレームワークを確立します。[5]
Active Directoryは、 LDAP（ Lightweight Directory Access Protocol）バージョン2および3、MicrosoftバージョンのKerberos [6]、およびDNS [7]を使用します。
ロバート・R・キングは次のように定義した。[8]
「ドメインはデータベースを表します。そのデータベースには、ネットワーク サービス (ネットワークを使用、サポート、または存在するコンピューター、ユーザー、グループなど) に関するレコードが保持されます。ドメイン データベースは、実質的に Active Directory です。」
歴史
多くの情報技術の取り組みと同様に、Active Directory は、Requests for Comments (RFC) を使用した設計の民主化から生まれました。Internet Engineering Task Force (IETF) は RFC プロセスを監督し、幅広い参加者によって開始された多数の RFC を受け入れてきました。たとえば、LDAP は Active Directory の基盤となっています。また、X.500ディレクトリと組織単位は、これらの方法を使用する Active Directory の概念に先行していました。LDAP の概念は、1975 年 4 月の Microsoft の設立前にも登場し始めており、RFC は 1971 年にはすでに存在していました。LDAP に貢献した RFC には、RFC 1823 (LDAP API に関するもの、1995 年 8 月)、[9] RFC 2307、RFC 3062、および RFC 4533 があります。[10] [11] [12]
マイクロソフトは 1999 年に Active Directory をプレビューし、 Windows 2000 Server エディションで最初にリリースし、Windows Server 2003で機能を拡張して管理を改善するために改訂しました。Active Directory のサポートは、一部のサポートされていない機能とともに、パッチによって Windows 95、Windows 98、Windows NT 4.0 にも追加されました。[13] [14]追加の改善は、 Windows Serverのその後のバージョンで行われました。Windows Server 2008では、マイクロソフトはActive Directory Federation Servicesなどのさらなるサービスを Active Directory に追加しました。[15] ドメインの管理を担当するディレクトリの部分は、オペレーティングシステムのコア部分でしたが、[15] Active Directory Domain Services (ADDS) に名前が変更され、他の部分と同様にサーバーの役割になりました。[3]「Active Directory」は、より広範なディレクトリベースのサービスの総称になりました。[16] Byron Hynes によると、アイデンティティに関連するすべてのものが Active Directory の旗印の下に集められました。[3]
アクティブ ディレクトリ サービス
Active Directory サービスは、複数のディレクトリ サービスで構成されています。最もよく知られているのは Active Directory ドメイン サービスで、通常はAD DS または単に AD と 略されます。
ドメインサービス
Active Directory ドメイン サービス (AD DS) は、すべてのWindows ドメインネットワークの基盤です。デバイスやユーザーなどのドメイン メンバーに関する情報を保存し、資格情報を検証し、アクセス権を定義します。このサービスを実行するサーバーは、ドメイン コントローラーと呼ばれます。ユーザーがデバイスにログインしたり、ネットワーク経由で別のデバイスにアクセスしたり、マシンにサイドロードされた基幹業務のMetro スタイル アプリを 実行したりするときに、ドメイン コントローラーに接続されます。
その他の Active Directory サービス (以下に説明する LDS を除く) およびほとんどの Microsoft サーバー テクノロジは、ドメイン サービスに依存しているか、またはドメイン サービスを使用しています。例としては、グループ ポリシー、暗号化ファイル システム、BitLocker、ドメイン ネーム サービス、リモート デスクトップ サービス、Exchange Server、SharePoint Serverなどがあります。
自己管理型Active Directory DSは、クラウド製品である管理型Azure AD DSとは区別する必要があります。 [17]
軽量ディレクトリサービス
Active Directory ライトウェイト ディレクトリ サービス (AD LDS) は、以前はActive Directory アプリケーション モード(ADAM) と呼ばれていましたが、[18] AD DS のLDAPプロトコルを実装しています。[19]これはWindows Server上のサービスとして実行され、同等のAPIを含む AD DS と同じ機能を提供します。ただし、AD LDS ではドメインやドメイン コントローラーの作成は必要ありません。ディレクトリ データを格納するためのデータ ストアと、 LDAP ディレクトリ サービス インターフェイスを備えたディレクトリ サービスを提供します。AD DS とは異なり、複数の AD LDS インスタンスを同じサーバー上で動作させることができます。
証明書サービス
Active Directory 証明書サービス (AD CS) は、オンプレミスの公開キー インフラストラクチャを確立します。組織の内部使用のための公開キー証明書の作成、検証、取り消し、およびその他の同様のアクションを実行できます。これらの証明書は、ファイル (暗号化ファイル システムで使用する場合)、電子メール ( S/MIME標準に準拠)、およびネットワーク トラフィック (仮想プライベート ネットワーク、トランスポート層セキュリティプロトコル、またはIPSecプロトコルで使用する場合) の暗号化に使用できます。
AD CSはWindows Server 2008より前から存在していましたが、その名前は単に証明書サービスでした。[20]
AD CSにはAD DSインフラストラクチャが必要です。[21]
フェデレーションサービス
Active Directory フェデレーション サービス (AD FS) は、シングル サインオン サービスです。AD FS インフラストラクチャを導入すると、ユーザーは、各サービス専用の資格情報を付与されるのではなく、中央の場所に保存された 1 セットの資格情報のみを使用して、複数の Web ベース サービス (インターネット フォーラム、ブログ、オンライン ショッピング、Web メールなど) やネットワーク リソースを使用できます。AD FS は、 SAML、OAuth、OpenID Connectなど、多くの一般的なオープン スタンダードを使用してトークン資格情報を渡します。[22] AD FS は、 SAMLアサーションの暗号化と署名をサポートしています。 [23] AD FS の目的は、AD DS の目的の拡張です。後者では、ユーザーは 1 セットの資格情報を使用して、同じネットワークの一部であるデバイスで認証して使用できます。前者では、ユーザーは別のネットワークで同じ資格情報セットを使用できます。
名前が示すように、AD FS はフェデレーション IDの概念に基づいて動作します。
AD FSにはAD DSインフラストラクチャが必要ですが、フェデレーションパートナーには必要ない場合もあります。[24]
権利管理サービス
Active Directory Rights Management Services ( AD RMS ) は、 Windows Server 2008より前は Rights Management Services または RMS と呼ばれていましたが、 Windows Serverに含まれる情報権限管理を可能にするサーバー ソフトウェアです。暗号化と選択的拒否を使用して、企業の電子メール、Microsoft Word文書、Web ページなどのさまざまなドキュメントへのアクセスを制限します。また、表示、編集、コピー、保存、印刷など、承認されたユーザーが実行できる操作も制限します。IT 管理者は、利便性のためにエンド ユーザー向けの事前設定テンプレートを作成できますが、エンド ユーザーは、コンテンツにアクセスできるユーザーと実行できるアクションを定義できます。[25]
論理構造
Active Directory は、データベースと実行可能コードで構成されるサービスです。要求の管理とデータベースの維持を担当します。ディレクトリ システム エージェントは実行可能部分であり、Windows 2000 以降で実行される一連のWindows サービスとプロセスです。 [1] Active Directory データベース内のオブジェクトには、LDAP、ADSI、メッセージング API、セキュリティ アカウント マネージャーサービスなどのさまざまなインターフェイスを介してアクセスできます。[2]
使用されるオブジェクト
Active Directory 構造は、リソース (プリンタなど) とセキュリティ プリンシパル(ユーザーまたはコンピュータ アカウントとグループを含む)の 2 つのカテゴリに分類されるオブジェクトに関する情報で構成されます。各セキュリティ プリンシパルには、一意のセキュリティ識別子(SID) が割り当てられます。オブジェクトは、ユーザー、コンピュータ、プリンタ、グループなどの単一のエンティティとその属性を表します。一部のオブジェクトには、他のオブジェクトが含まれている場合もあります。各オブジェクトには一意の名前があり、その定義はスキーマによる一連の特性と情報であり、スキーマによって Active Directory 内のストレージが決定されます。
管理者は、必要に応じてスキーマ オブジェクトを使用してスキーマを拡張または変更できます。ただし、各スキーマ オブジェクトは Active Directory オブジェクトの定義に不可欠なため、それらを非アクティブ化または変更すると、展開が根本的に変更されたり中断されたりする可能性があります。スキーマを変更すると、システム全体に自動的に影響が及び、新しいオブジェクトは削除できず、非アクティブ化のみが可能です。スキーマを変更するには、通常、計画が必要です。[26]
森林、樹木、そしてドメイン
Active Directory ネットワークでは、オブジェクトを保持するフレームワークには、フォレスト、ツリー、ドメインという異なるレベルがあります。展開内のドメインには、単一の複製可能なデータベースに格納されたオブジェクトが含まれ、DNS名構造によってそのドメイン(名前空間)が識別されます。ドメインは、同じ Active Directory データベースを共有するコンピューター、ユーザー、デバイスなどのネットワーク オブジェクトの論理グループです。
一方、ツリーは、推移的な信頼階層でリンクされた連続した名前空間内のドメインとドメイン ツリーのコレクションです。フォレストは構造の最上位にあり、標準のグローバル カタログ、ディレクトリ スキーマ、論理構造、およびディレクトリ構成を持つツリーのコレクションです。フォレストは、ユーザー、コンピューター、グループ、およびその他のオブジェクトへのアクセスを制限する安全な境界です。
組織単位
ドメイン内に保持されるオブジェクトは、組織単位(OU) にグループ化できます。[27] OU はドメインに階層を提供し、その管理を容易にし、管理上または地理的な観点から組織の構造に似せることができます。OU は他の OU を含むことができ、ドメインはこの意味でコンテナーです。Microsoft は、構造化とポリシーおよび管理の実装の簡素化のためにドメインではなく OU を使用することを推奨しています。OU は、正式にはグループ ポリシー オブジェクト (GPO) と呼ばれる Active Directory オブジェクトであるグループ ポリシーを適用する推奨レベルですが、ポリシーはドメインまたはサイトにも適用できます (以下を参照)。OU は管理権限が一般的に委任されるレベルですが、委任は個々のオブジェクトまたは属性に対しても実行できます。
組織単位はそれぞれ別の名前空間を持っていません。その結果、レガシー NetBios 実装との互換性のために、アカウント オブジェクトが別の OU にある場合でも、同じドメイン内で同一の SamAccountName を持つユーザー アカウントは許可されません。これは、ユーザー オブジェクト属性である SamAccountName がドメイン内で一意でなければならないためです。[28]ただし、異なる OU 内の 2 人のユーザーは、ディレクトリ自体に保存される名前である共通名 (CN) を同じにすることができます。たとえば、「fred.staff-ou.domain」と「fred.student-ou.domain」です。ここで、「staff-ou」と「student-ou」は OU です。
一般的に、階層的なディレクトリ配置による重複名が許可されない理由は、Microsoft が主にNetBIOSの原則に依存しているためです。NetBIOS は、Microsoft ソフトウェアの場合、 Windows NT 3.1およびMS-DOS LAN Managerにまで遡る、ネットワーク オブジェクト管理のフラットな名前空間方式です。ディレクトリ内のオブジェクト名の重複を許可するか、NetBIOS 名の使用を完全に削除すると、従来のソフトウェアおよび機器との下位互換性が失われます。ただし、このように重複オブジェクト名を許可しないことは、Active Directory がベースとしている LDAP RFC に違反します。
ドメイン内のユーザー数が増えると、Li (李)、Smith、Garciaなどの一般的な姓の場合、「名の頭文字、ミドルネームの頭文字、姓」(西洋式順序) またはその逆 (東洋式順序) などの規則が機能しなくなります。回避策としては、ユーザー名の末尾に数字を追加することが挙げられます。代替案としては、実際のユーザー名の代わりにアカウント名として使用する一意の従業員/学生 ID 番号の別の ID システムを作成し、許容される使用ポリシーの範囲内でユーザーが好みの単語の順序を指定できるようにすることが挙げられます。
ドメイン内に重複するユーザー名は存在できないため、ネットワーク上の任意のコンピューターを使用できなければならない公立学校システムや大学の学生など、別々のドメインに簡単に分割できない大規模な組織では、アカウント名の生成が大きな課題となります。
影のグループ
Microsoft の Active Directory では、OU はアクセス許可を付与せず、OU 内に配置されたオブジェクトには、その OU に基づいてアクセス権限が自動的に割り当てられません。これは Active Directory に固有の設計上の制限であり、Novell NDSなどの他の競合ディレクトリでは、OU 内のオブジェクトの配置を通じてアクセス権限を設定できます。
Active Directory では、管理者が OU 内のオブジェクトをその OU 内のグループ メンバーとして割り当てるには、別の手順が必要です。OU の場所のみを使用してアクセス許可を決定するのは、エンティティがまだその OU のグループ オブジェクトに割り当てられていない可能性があるため、信頼性が低くなります。
Active Directory 管理者にとって一般的な回避策は、ディレクトリ内の各 OU のユーザー グループを自動的に作成して管理するカスタムPowerShellまたはVisual Basicスクリプトを作成することです。スクリプトは定期的に実行され、OU のアカウント メンバーシップに一致するようにグループを更新します。ただし、ディレクトリに変更があっても、セキュリティがディレクトリに直接実装されているため、競合ディレクトリのようにセキュリティ グループを即座に更新することはできません。このようなグループはシャドウ グループと呼ばれます。作成されたシャドウ グループは、管理ツールで OU の代わりに選択できます。Microsoft の Server 2008 リファレンス ドキュメントにはシャドウ グループについて記載されていますが、作成手順は記載されていません。さらに、これらのグループを管理するためのサーバー メソッドやコンソール スナップインはありません。[29]
組織は、情報インフラストラクチャを 1 つ以上のドメインと最上位の OU に分割して構造を決定する必要があります。この決定は重要であり、ビジネス ユニット、地理的な場所、IT サービス、オブジェクトの種類、またはこれらのモデルの組み合わせなど、さまざまなモデルに基づいて行うことができます。OU を編成する直接的な目的は、管理委任を簡素化し、次にグループ ポリシーを適用することです。OU は管理境界として機能しますが、フォレスト自体が唯一のセキュリティ境界です。他のすべてのドメインは、セキュリティを維持するためにフォレスト内の管理者を信頼する必要があります。[30]
パーティション
Active Directory データベースはパーティションに編成されており、各パーティションは特定のオブジェクト タイプを保持し、特定のレプリケーション パターンに従います。Microsoft では、これらのパーティションを「名前付けコンテキスト」と呼ぶことがよくあります。[31]「スキーマ」パーティションは、フォレスト内のオブジェクト クラスと属性を定義します。「構成」パーティションには、フォレストの物理構造と構成 (サイト トポロジなど) に関する情報が含まれます。どちらもフォレスト内のすべてのドメインをレプリケートします。「ドメイン」パーティションには、そのドメインで作成されたすべてのオブジェクトが保持され、そのドメイン内でのみレプリケートされます。
物理的構造
サイトは、 1 つ以上のIPサブネットによって定義される物理的な (論理的ではない) グループです。 [32] AD は接続も定義し、低速リンク ( WAN、VPN など) と高速リンク ( LANなど) を区別します。サイト定義はドメインおよび OU 構造から独立しており、フォレスト全体で共有されます。サイトは、レプリケーションによって作成されたネットワーク トラフィックを管理し、クライアントを最も近いドメイン コントローラ(DC) に誘導する上で重要な役割を果たします。Microsoft Exchange Server 2007 は、メール ルーティングにサイト トポロジを使用します。管理者はサイト レベルでポリシーを定義することもできます。
Active Directory 情報は、 NT PDC / BDCモデルに代わる1 つ以上のピアドメイン コントローラに物理的に保持されます。各 DC には Active Directory のコピーがあります。Active Directory に参加しているドメイン コントローラではないメンバー サーバーは、メンバー サーバーと呼ばれます。[33]ドメイン パーティションでは、オブジェクトのグループが、グローバル カタログとして設定されたドメイン コントローラのコピーとして機能します。これらのグローバル カタログ サーバーは、フォレスト内のすべてのオブジェクトの包括的なリストを提供します。[34] [35]
グローバルカタログサーバーは、すべてのドメインのすべてのオブジェクトをそれ自体に複製し、フォレスト内のエンティティの国際的なリストを提供します。ただし、レプリケーショントラフィックを最小限に抑え、GCのデータベースを小さく保つために、各オブジェクトの選択された属性のみが複製され、部分属性セット（PAS）と呼ばれます。PASは、スキーマを変更し、GCへのレプリケーションの機能をマークすることで変更できます。[36]以前のバージョンのWindowsでは、通信にNetBIOSを使用していました。Active DirectoryはDNSと完全に統合されており、TCP/IP （DNS）が必要です。完全に動作するには、DNSサーバーがSRVリソースレコード（サービスレコードとも呼ばれる） をサポートしている必要があります。
レプリケーション
Active Directory は、変更を同期するためにマルチマスター レプリケーションを使用します。 [37]つまり、レプリカは変更が発生したサーバーから変更をプルします。レプリカにプッシュされるわけではありません。 [38]知識整合性チェッカー (KCC) は、定義されたサイトを使用してトラフィックを管理し、サイト リンクのレプリケーション トポロジを作成します。サイト内レプリケーションは、変更通知によって頻繁に自動的に行われ、ピアにプル レプリケーション サイクルを開始するよう促します。異なるサイト間のレプリケーション間隔は通常、一貫性が低く、変更通知は使用されません。ただし、必要に応じて、同じネットワーク上の場所間のレプリケーションと同じになるように設定できます。
DS3、T1、およびISDNリンクにはそれぞれコストがかかる場合があり、KCC はそれに応じてサイト リンク トポロジを変更します。価格が低い場合、レプリケーションは、同じプロトコルのサイト リンク ブリッジ上の複数のサイト リンクを介して推移的に発生することがあります。ただし、KCC では、直接のサイト間リンクのコストは推移的な接続よりも低くなります。各ゾーンのブリッジヘッド サーバーは、正確な場所にある他の DC に更新を送信して、サイト間で変更をレプリケートできます。Active Directory ゾーンのレプリケーションを構成するには、サイトに基づいてドメイン内の DNS をアクティブ化します。
Active Directory を複製するには、IP (RPC/IP) 経由のリモート プロシージャ コール(RPC) が使用されます。SMTPはサイト間の複製に使用されますが、スキーマ、構成、または部分属性セット (グローバル カタログ) GC の変更にのみ使用されます。デフォルトのドメイン パーティションを再現するには適していません。[39]
実装
通常、Active Directory を利用するネットワークには、ライセンスされた Windows サーバー コンピュータが複数あります。Active Directory のバックアップと復元は、ドメイン コントローラが 1 つのネットワークでも可能です。[40]ただし、Microsoft は、ディレクトリの自動フェールオーバー保護を提供するために、複数のドメイン コントローラを使用することを推奨しています。 [41]ドメイン コントローラは、理想的にはディレクトリ操作のみの単一目的であり、他のソフトウェアや役割は実行しないでください。[42]
SQL Server [43] [44]や Exchange [45]などの特定の Microsoft 製品はドメイン コントローラーの動作を妨げる可能性があるため、追加の Windows サーバーでこれらの製品を分離することをお勧めします。これらを組み合わせると、ドメイン コントローラーの構成とトラブルシューティングが複雑になったり、インストールされている他のソフトウェアが複雑になったりする可能性があります。[46] Active Directory の実装を計画している場合、企業は複数の Windows サーバー ライセンスを購入して、少なくとも 2 つの個別のドメイン コントローラーを用意する必要があります。管理者は、パフォーマンスや冗長性のために追加のドメイン コントローラーを検討し、ファイル ストレージ、Exchange、SQL Server [47]などのタスク用に個別のサーバーを検討する必要があります。これにより、すべてのサーバーの役割が適切にサポートされることが保証されます。
物理ハードウェアのコストを削減する1つの方法は、仮想化を使用することです。ただし、適切なフェールオーバー保護のために、Microsoftは同じ物理ハードウェア上で複数の仮想化ドメインコントローラーを実行しないことを推奨しています。[48]
データベース
Windows 2000 Server のActive-Directoryデータベース(ディレクトリ ストア)は、 JET BlueベースのExtensible Storage Engine (ESE98) を使用します。各ドメイン コントローラのデータベースは、16 テラバイトと 20 億オブジェクト (ただし、セキュリティ プリンシパルは 10 億のみ) に制限されています。Microsoft は、20 億を超えるオブジェクトを持つ NTDS データベースを作成しました。[49] NT4 のセキュリティ アカウント マネージャは、最大 40,000 個のオブジェクトをサポートできました。これには、データ テーブルとリンク テーブルという 2 つのメイン テーブルがあります。Windows Server 2003 では、セキュリティ記述子の単一インスタンス化用に 3 番目のメイン テーブルが追加されました。 [49]
プログラムは、 Active Directoryサービスインターフェイスによって提供されるCOMインターフェイスを介してActive Directoryの機能にアクセスできます。[51]
信頼する
あるドメインのユーザーが別のドメインのリソースにアクセスできるようにするために、Active Directoryは信頼関係を使用します。[52]
ドメインが作成されると、フォレスト内の信頼が自動的に作成されます。フォレストは信頼の既定の境界を設定し、暗黙的で推移的な信頼はフォレスト内のすべてのドメインに対して自動的に適用されます。
用語
- 一方的な信頼
- あるドメインは別のドメインのユーザーへのアクセスを許可しますが、他のドメインは最初のドメインのユーザーへのアクセスを許可しません。
- 双方向の信頼
- 2 つのドメインでは、両方のドメインのユーザーがアクセスできます。
- 信頼できるドメイン
- 信頼されているドメイン。そのドメインのユーザーは信頼するドメインにアクセスできます。
- 推移的信頼
- 2 つのドメインを超えてフォレスト内の他の信頼されたドメインに拡張できる信頼。
- 非推移的信頼
- 2 つのドメインを超えない一方向の信頼。
- 明示的な信頼
- 管理者が作成する信頼。推移的ではなく、一方向のみです。
- 相互リンク信頼
- 2 つのドメイン間に子孫/祖先 (子/親) 関係が存在しない場合の、異なるツリー内または同じツリー内のドメイン間の明示的な信頼。
- ショートカット
- 異なるツリー内の 2 つのドメインを推移的、一方向、または双方向に結合します。
- 森林信託
- フォレスト全体に適用されます。推移的、一方向または双方向。
- レルム
- 推移的または非推移的（自動詞）、一方向または双方向になります。
- 外部の
- 他のフォレストまたは非Active Directoryドメインに接続します。非推移的、一方向または双方向。[53]
- PAM 信頼
- Microsoft Identity Manager が (おそらく低レベルの) 運用フォレストから ( Windows Server 2016機能レベルの) 「要塞」フォレストへ使用する一方向の信頼。これにより、時間制限のあるグループ メンバーシップが発行されます。[54] [55]
管理ツール
Microsoft Active Directory 管理ツールには次のものが含まれます。
- Active Directory 管理センター (Windows Server 2012 以降で導入)
- Active Directory ユーザーとコンピューター、
- Active Directoryドメインと信頼関係
- Active Directory サイトとサービス、
- ADSI編集、
- ローカルユーザーとグループ、
- Microsoft管理コンソール（MMC）用のActive Directoryスキーマスナップイン、
- SysInternals ADExplorer。
これらの管理ツールは、大規模な環境で効率的なワークフローを実現するのに十分な機能を提供しない場合があります。一部のサードパーティ ツールは、管理機能を拡張します。自動化、レポート、他のサービスとの統合など、より便利な管理プロセスに不可欠な機能を提供します。
Unix統合
標準準拠の LDAP クライアントを介して、ほとんどのUnix 系オペレーティング システム ( Unix、Linux、Mac OS X 、Java、Unix ベースのプログラムを含む)で Active Directory とのさまざまなレベルの相互運用性を実現できますが、これらのシステムでは通常、グループ ポリシーや一方向の信頼のサポート など、Windows コンポーネントに関連付けられた多くの属性が解釈されません。
サードパーティは、以下を含む Unix 系プラットフォーム向けの Active Directory 統合を提供しています。
- PowerBroker Identity Services、旧Likewise（BeyondTrust、旧Likewise Software） – Windows以外のクライアントがActive Directoryに参加できるようにする[56]
- ADmitMac（サースビーソフトウェアシステムズ）[56]
- Samba ( GPLv3に基づくフリーソフトウェア) – ドメインコントローラとして動作可能[57] [58]
Windows Server 2003 R2に同梱されているスキーマ追加には、RFC 2307 に十分近いマッピングで一般的に使用できる属性が含まれています。PADL.com が提供する RFC 2307 のリファレンス実装である nss_ldap および pam_ldap は、これらの属性を直接サポートしています。グループ メンバーシップの既定のスキーマは、RFC 2307bis (提案) に準拠しています。[59] Windows Server 2003 R2 には、属性を作成および編集するMicrosoft 管理コンソール スナップインが含まれています。
代替オプションとして、Windows クライアントが Active Directory に対して認証するのに対し、Windows 以外のクライアントは別のディレクトリ サービスに対して認証するため、別のディレクトリ サービスを使用することもできます。Windows 以外のクライアントには、389 Directory Server (旧称 Fedora Directory Server、FDS)、ViewDS v7.2 XML Enabled Directory、および Sun Microsystems Sun Java System Directory Serverがあります。後者の 2 つは、どちらも Active Directory との双方向同期を実行できるため、「偏向」統合が実現します。
もう 1 つのオプションは、 OpenLDAPの半透明オーバーレイを使用することです。これにより、ローカル データベースに保存されている追加の属性を使用して、任意のリモート LDAP サーバーのエントリを拡張できます。ローカル データベースを参照するクライアントは、リモート属性とローカル属性の両方を含むエントリを参照しますが、リモート データベースはまったく変更されません。[引用が必要]
Active Directoryの管理（クエリ、変更、監視）は、PowerShell、VBScript、JScript/JavaScript、Perl、Python、Rubyなど、多くのスクリプト言語で実行できます。[60] [61] [62] [63]無料および有料のActive Directory管理ツールは、Active Directory管理タスクを簡素化し、場合によっては自動化するのに役立ちます。
2017年10月よりAmazon AWSはMicrosoft Active Directoryとの統合を提供しています。[64]
参照
- AGDLP (ネストされたグループを使用したロールベースのアクセス制御の実装)
- Apple オープンディレクトリ
- 柔軟なシングルマスター操作
- 無料IPA
- LDAPソフトウェアのリスト
- システム セキュリティ サービス デーモン(SSSD)
- Univention 企業サーバー
参考文献
- ^ ab 「ディレクトリ システム エージェント」。MSDNライブラリ。Microsoft。2014年4 月 23 日閲覧。
- ^ ab Solomon, David A.; Russinovich, Mark (2005). 「第 13 章」。Microsoft Windows 内部情報: Microsoft Windows Server 2003、Windows XP、および Windows 2000 (第 4 版)。ワシントン州レドモンド: Microsoft Press。p . 840。ISBN 0-7356-1917-4。
- ^ abc Hynes, Byron (2006 年 11 月)。「Windows の将来: Windows Server "Longhorn" のディレクトリ サービス」。TechNet Magazine。Microsoft。2020年4 月 30 日時点のオリジナルよりアーカイブ。2020 年4 月 30日閲覧。
- ^ 「Windows Server 2003 ネットワーク上の Active Directory」。Active Directory コレクション。Microsoft。2003年 3 月 13 日。2020 年 4 月 30 日時点のオリジナルよりアーカイブ。2010年12 月 25 日閲覧。
- ^ Rackspace Support (2016 年 4 月 27 日)。「Windows Server 2008 R2 Enterprise 64 ビット版に Active Directory ドメイン サービスをインストールする」。Rackspace。Rackspace US, Inc. 2020 年 4 月 30 日時点のオリジナルよりアーカイブ。2016年9 月 22 日閲覧。
- ^ 「Microsoft Kerberos - Win32 アプリ」。docs.microsoft.com。2021年 1 月 7 日。
- ^ 「ドメイン ネーム システム (DNS)」。docs.microsoft.com。2022年 1 月 10 日。
- ^ キング、ロバート (2003)。Windows Server 2003 用 Active Directory のマスター(第 3 版)。カリフォルニア州アラメダ: Sybex。p. 159。ISBN 978-0-7821-5201-2. OCLC 62876800.
- ^ Howes, T.; Smith, M. (1995 年 8 月). 「LDAP アプリケーション プログラム インターフェイス」.インターネット エンジニアリング タスク フォース (IETF) . 2020 年 4 月 30 日時点のオリジナルよりアーカイブ。2013 年11 月 26 日閲覧。
- ^ Howard, L. (1998年3月). 「LDAPをネットワーク情報サービスとして使用するアプローチ」。インターネット技術タスクフォース (IETF)。2020年4月30日時点のオリジナルよりアーカイブ。 2013年11月26日閲覧。
- ^ Zeilenga, K. (2001年2月). 「LDAP パスワード変更拡張操作」.インターネット技術タスクフォース (IETF) . 2020年4月30日時点のオリジナルよりアーカイブ。2013年11月26日閲覧。
- ^ Zeilenga, K.; Choi, JH (2006 年 6 月). 「The Lightweight Directory Access Protocol (LDAP) Content Synchronization Operation」.インターネット技術タスクフォース (IETF) . 2020 年 4 月 30 日時点のオリジナルよりアーカイブ。2013 年11 月 26 日閲覧。
- ^ Daniel Petri (2009 年 1 月 8 日)。「Win98/NT 用 Active Directory クライアント (dsclient)」。
- ^ 「Dsclient.exe は Windows 9x/NT PC を Active Directory に接続します」。2003 年 6 月 5 日。
- ^ ab Thomas, Guy (2000年11月29日). 「Windows Server 2008 - 新機能」. ComputerPerformance.co.uk . Computer Performance Ltd. 2019年9月2日時点のオリジナルよりアーカイブ。2020年4月30日閲覧。
- ^ 「Windows Server の Active Directory の新機能」。Windows Server 2012 R2および Windows Server 2012 Tech Center。Microsoft。2016年8 月 31 日。
- ^ 「Azure の Active Directory ベースのサービスの比較」。docs.microsoft.com。2023年 4 月 3 日。
- ^ 「AD LDS」。Microsoft 。 2009年4月28日閲覧。
- ^ 「AD LDS 対 AD DS」。Microsoft。2012 年 7 月 2 日。2013年2 月 25 日閲覧。
- ^ Zacker, Craig (2003)。「11: デジタル証明書の作成と管理」。Harding, Kathy、Jean, Trenary、Linda, Zacker (編)。Microsoft Windows Server 2003 ネットワーク インフラストラクチャの計画と保守。ワシントン州レドモンド: Microsoft Press。pp. 11–16。ISBN 0-7356-1893-3。
- ^ 「Active Directory 証明書サービスの概要」。Microsoft TechNet。Microsoft。2015年11月24 日閲覧。
- ^ 「Power Apps ポータルでの認証の概要」。Microsoft Docs。Microsoft。2022年1月 30 日閲覧。
- ^ 「SSL、サービス通信、トークン署名、 およびトークン復号化証明書を置き換える方法」。TechNet。Microsoft。2022年1月 30 日閲覧。
- ^ 「手順 1: インストール前のタスク」。TechNet。Microsoft。2021年10月21 日閲覧。
- ^ 「テスト ラボ ガイド: AD RMS クラスターの展開」。Microsoft Docs。Microsoft。2016年8 月 31 日。2022 年1 月 30 日に閲覧。
- ^ Windows Server 2003: Active Directory インフラストラクチャ。Microsoft Press。2003 年。pp. 1–8–1–9。
- ^ 「組織単位」。分散システム リソース キット ( TechNet )。Microsoft。2011。Active
Directory
の組織単位は、
ファイル システムのディレクトリに似ています。
- ^ 「SamAccountName は Windows ドメインで常に一意です... それともそうでしょうか?」 Joeware。2012 年 1 月 4 日。2013年9 月 18 日閲覧。
同じ SamAccountName を使用して複数の AD オブジェクトを作成する方法の例
- ^ Microsoft Server 2008 リファレンス、きめ細かなパスワード ポリシーに使用されるシャドウ グループについての説明: https://technet.microsoft.com/en-us/library/cc770394%28WS.10%29.aspx
- ^ 「セキュリティと管理境界の指定」。Microsoft Corporation。2005 年 1 月 23 日。
ただし、サービス管理者はドメイン境界を越える権限を持っています。このため、最終的なセキュリティ境界はドメインではなくフォレストです。
- ^ Andreas Luther (2009 年 12 月 9 日)。「Active Directory レプリケーション トラフィック」。Microsoft Corporation。2010年5 月 26 日閲覧。Active
Directory は、1 つ以上の名前付けコンテキストまたはパーティションで構成されています。
- ^ 「サイトの概要」。Microsoft Corporation。2005 年 1 月 21 日。
サイトは適切に接続されたサブネットのセットです。
- ^ 「ドメイン コントローラとメンバー サーバーの計画」。Microsoft Corporation。2005 年 1 月 21 日。
[...] メンバー サーバーは [...] ドメインに属しますが、Active Directory データのコピーは含まれません。
- ^ 「グローバル カタログとは?」。Microsoft Corporation。2009 年 12 月 10 日。
[...] ドメイン コントローラは、そのドメイン内のオブジェクトのみを検索できます。[...] グローバル カタログは、任意のドメインのオブジェクトを検索する機能を提供します [...]
- ^ 「グローバル カタログ」。Microsoft Corporation。
- ^ 「グローバル カタログに含まれる属性」。Microsoft Corporation。2010 年 8 月 26 日。
属性がグローバル カタログにレプリケートされている場合、attributeSchema オブジェクトの isMemberOfPartialAttributeSet 属性は TRUE に設定されます。[...] 属性をグローバル カタログに配置するかどうかを決定するときは、グローバル カタログ サーバー上のレプリケーションとディスク ストレージの増加と引き換えに、クエリ パフォーマンスが向上する可能性があることに留意してください。
- ^ 「ディレクトリ データ ストア」。Microsoft Corporation。2005 年 1 月 21 日。Active
Directory は、4 つの異なるディレクトリ パーティション タイプを使用して [...] データを格納します。ディレクトリ パーティションには、ドメイン、構成、スキーマ、およびアプリケーション データが含まれます。
- ^ 「Active Directory レプリケーション モデルとは?」。Microsoft Corporation。2003 年 3 月 28 日。
ドメイン コントローラは、必要のない変更を送信 (プッシュ) するのではなく、変更を要求 (プル) します。
- ^ 「Active Directory レプリケーション トポロジとは?」。Microsoft Corporation。2003 年 3 月 28 日
。SMTP は、非ドメイン レプリケーションの転送に使用できます [...]
- ^ 「Active Directory のバックアップと復元」。TechNet。Microsoft。2009年 12 月 9 日。2014 年2月5 日に閲覧。
- ^ 「AD DS: 冗長性のため に、すべてのドメインに少なくとも 2 つの機能するドメイン コントローラーが必要です」。TechNet。Microsoft。2014年2月 5 日閲覧。
- ^ Posey, Brien (2010 年 8 月 23 日)。「効果的な Active Directory 設計のための 10 のヒント」。TechRepublic。CBS Interactive。2014年2 月 5 日閲覧。可能な限り、ドメイン コントローラーは専用サーバー (物理または仮想)で
実行する必要があります。
- ^ 「ドメイン コントローラーに SQL Server をインストールすると問題が発生する場合があります (リビジョン 3.0)」。サポート。Microsoft。2013年1 月 7 日。2014 年2 月 5 日に取得。
- ^ Degremont, Michel (2011 年 6 月 30 日)。「ドメイン コントローラーに SQL Server をインストールできますか?」。Microsoft SQL Server ブログ。2014年2 月 5 日閲覧。
セキュリティとパフォーマンス上の理由から、ドメイン コントローラーにスタンドアロンの SQL Server をインストールしないことをお勧めします。
- ^ 「ドメイン コントローラーに Exchange をインストールすることは推奨されません」。TechNet。Microsoft。2013年 3 月 22 日。2014 年2月5 日に閲覧。
- ^ 「SQL Server インストールのセキュリティに関する考慮事項」。TechNet。Microsoft。2014年2 月 5 日取得。SQL Serverをコンピューターにインストールした後は、そのコンピューターをドメイン コントローラーからドメイン メンバーに変更することはできません。ホスト コンピューターを
ドメイン メンバーに変更する前に、SQL Server をアンインストールする必要があります。
- ^ 「Exchange Server Analyzer」。TechNet。Microsoft。2014年2 月 5 日取得。
運用中の Exchange メールボックス サーバーと同じコンピューターで SQL Server を実行することはお勧めしませ
ん。 - ^ 「Hyper-V でドメイン コントローラーを実行する」。TechNet。Microsoft。ドメイン コントローラーの仮想化の計画。2014年2 月 5 日取得。仮想ドメイン コントローラーの展開を計画するときは、潜在的な単一障害点を
作成しないようにする必要があります。frank
- ^ ab efleis (2006 年 6 月 8 日)。「大規模な AD データベース? おそらくこれほど大きくはない」。Blogs.technet.com。2009 年 8 月 17 日時点のオリジナルからアーカイブ。2011年11 月 20 日閲覧。
- ^ バーコウワー、サンダー。 「Active Directoryの基本」。Veeam ソフトウェア。
- ^ Active Directory サービス インターフェイス、Microsoft
- ^ 「ドメインとフォレストの信頼のテクニカル リファレンス」。Microsoft Corporation。2003 年 3 月 28 日。
信頼により、ドメインまたはフォレスト間で [...] 認証と [...] リソースの共有が可能になります。
- ^ 「ドメインとフォレストの信頼の仕組み」。Microsoft Corporation。2012 年 12 月 11 日。2013年1 月 29 日に取得。
複数の種類の信頼を定義します。(自動、ショートカット、フォレスト、レルム、外部)
- ^ 「Active Directory ドメイン サービスの特権アクセス管理」。docs.microsoft.com。2023年 2 月 8 日。
- ^ 「TechNet Wiki」。social.technet.microsoft.com。2024年1月17日。
- ^ ab Edge, Charles S. Jr; Smith, Zack; Hunter, Beau (2009). 「第 3 章: Active Directory」. Enterprise Mac 管理者ガイド. ニューヨーク市: Apress . ISBN 978-1-4302-2443-3。
- ^ 「Samba 4.0.0 がダウンロード可能」。SambaPeople。SAMBAプロジェクト。2010 年 11 月 15 日時点のオリジナルよりアーカイブ。2016年8 月 9 日閲覧。
- ^ 「DRS の大成功！」SambaPeople SAMBA プロジェクト。2009 年 10 月 5 日。2009 年 10 月 13 日時点のオリジナルよりアーカイブ。2009年11 月 2 日閲覧。
- ^ 「RFC 2307bis」。2011年9月27日時点のオリジナルよりアーカイブ。2011年11月20日閲覧。
- ^ 「Windows PowerShell を使用した Active Directory の管理」。Microsoft。2011年6 月 7 日閲覧。
- ^ 「スクリプトを使用して Active Directory を検索する」。Microsoft。2010 年 5 月 26 日。2012 年5 月 22 日閲覧。
- ^ 「ITAdminTools Perl スクリプト リポジトリ」。ITAdminTools.com。2012年5 月 22 日閲覧。
- ^ "Win32::OLE". Perl オープンソース コミュニティ. 2012 年5 月 22 日閲覧。
- ^ 「Microsoft Active Directory (Standard Edition) 向け AWS Directory Service のご紹介」Amazon Web Services 2017 年 10 月 24 日。
外部リンク
WikiversityにはActive Directoryに関する学習リソースがあります
- Microsoft Technet: ホワイト ペーパー: Active Directory アーキテクチャ (Active Directory の概要を説明する単一の技術ドキュメント)
- Microsoft Technet: Windows Server 2003 上の Active Directory の詳細な説明
- Microsoft MSDN ライブラリ: [MS-ADTS]: Active Directory 技術仕様 ( Microsoft Open Specification Promiseの一部)
- アクティブ ディレクトリ アプリケーション モード (ADAM)
- Microsoft MSDN: [AD-LDS]: Active Directory ライトウェイト ディレクトリ サービス
- Microsoft TechNet: [AD-LDS]: Active Directory ライトウェイト ディレクトリ サービス
- Microsoft MSDN: Active Directory スキーマ
- Microsoft TechNet: スキーマの理解
- Microsoft TechNet マガジン: Active Directory スキーマの拡張
- Microsoft MSDN: Active Directory 証明書サービス
- Microsoft TechNet: Active Directory 証明書サービス