ドメイン コントローラ (Windows)

Microsoftサーバーでは、ドメインコントローラ（DC）は、Windowsドメイン内のセキュリティ認証要求（ログインなど）に応答するサーバーコンピュータ^{[1] [2]}です。^{[3] [4]}ドメインはWindows NTで導入された概念であり、ユーザーは単一のユーザー名とパスワードの組み合わせを使用して、多数のコンピュータリソースへのアクセスを許可されます。

ドメインごとに1つのドメインコントローラがプライマリドメインコントローラとして構成され、他のすべてのドメインコントローラはバックアップドメインコントローラでした。

PDC は極めて重要なため、ベスト プラクティスでは、PDC はドメイン サービス専用にし、システムの速度低下やクラッシュの原因となるファイル、印刷、またはアプリケーション サービスには使用しないことが推奨されています。一部のネットワーク管理者は、PDC に障害が発生した場合に昇格できるように、専用の BDC をオンラインにするという追加の手順を踏みました。

BDC はドメイン内のユーザーを認証できますが、ドメインへのすべての更新は PDC 経由でのみ実行でき、PDC はこれらの変更をドメイン内のすべての BDC に伝播します。PDC が使用できない場合、更新は失敗します。PDC が永久に使用できない場合は、既存の BDC を昇格して PDC にすることができ、それ以降のバージョンではActive Directory ("AD") が導入され、マルチマスター レプリケーションが優先され、PDC と BDC の概念が大幅に排除されました。ただし、1 つのドメイン コントローラーだけが実行できる、柔軟なシングル マスター操作ロールと呼ばれるロールがまだいくつかあります。これらのロールの一部は、ドメインごとに 1 つの DC によって満たされる必要がありますが、他のロールはAD フォレストごとに 1 つの DC のみを必要とします。これらのロールの 1 つを実行しているサーバーが失われても、ドメインは引き続き機能します。サーバーが再び使用できない場合は、管理者はロールの "奪取" と呼ばれるプロセスで、ロールを引き受ける代替 DC を指定できます。

Windows NT 4 では、1 つの DC がプライマリ ドメイン コントローラ (PDC) として機能します。他の DC が存在する場合、通常はバックアップ ドメイン コントローラ (BDC) になります。PDC は通常、「最初の」ものとして指定されます。^[5] 「ドメイン ユーザー マネージャ」は、ユーザー/グループ情報を維持するためのユーティリティです。プライマリ コントローラ上のドメイン セキュリティ データベースを使用します。PDC には、アクセスして変更できるユーザー アカウント データベースのマスター コピーがあります。BDC コンピュータにはこのデータベースのコピーがありますが、これらのコピーは読み取り専用です。PDC は、定期的にアカウント データベースを BDC に複製します。^[6] BDC は、PDC のバックアップを提供するために存在し、ネットワークにログオンするユーザーの認証にも使用できます。PDC に障害が発生した場合、BDC の 1 つを昇格させてその役割を引き継ぐことができます。昇格した BDC に置き換えられない限り、PDC は通常、最初に作成されたドメイン コントローラになります。

Windows の最新リリースでは、ドメインはActive Directoryサービスの使用によって補完されています。Active Directory ドメインでは、プライマリ ドメイン コントローラーとセカンダリ ドメイン コントローラーの関係の概念は適用されなくなりました。PDC エミュレーターは、アカウント データベースと管理ツールを保持します。その結果、負荷が大きくなるとシステムの速度が低下する可能性があります。PDC エミュレーターの負荷を軽減するために、セカンダリ エミュレーター マシンに DNS サービスをインストールできます。同じルールが適用されます。ドメインには 1 つの PDC しか存在できませんが、複数のレプリケーション サーバーは引き続き使用できます。^[7]

• ドメイン内にWindows NT 4.0ドメイン コントローラ (BDC)が残っている場合、PDC エミュレータ マスターは PDC の代わりに動作し、それらの複製元として機能します。
• PDC エミュレーター マスターは、ドメイン内のパスワード変更の優先的なレプリケーションを受け取ります。パスワード変更は、Active Directory ドメイン内のすべてのドメイン コントローラーにレプリケートするのに時間がかかるため、PDC エミュレーター マスターはパスワード変更の通知をすぐに受け取ります。別のドメイン コントローラーでログオン試行が失敗した場合、そのドメイン コントローラーはログオン要求を拒否する前に PDC エミュレーター マスターに転送します。
• PDCエミュレータマスターは、ドメイン内のすべてのドメインコントローラがクロックを同期するマシンとしても機能します。また、外部のNTPタイムソースに同期するように構成する必要があります。^[8]

プライマリドメインコントローラ（PDC）は、MicrosoftのSMBクライアント/サーバーシステムのSambaエミュレーション上で忠実に再現されています。Sambaは、Linuxマシン上でNT 4.0ドメインと最新のActive Directoryドメインサービス^[9]をエミュレートする機能を備えています。^[10]

Windows NT 4 ドメインでは、バックアップ ドメイン コントローラ (BDC) は、ユーザー アカウント データベースのコピーを持つコンピュータです。PDC のアカウント データベースとは異なり、BDC データベースは読み取り専用のコピーです。PDC のマスター アカウント データベースに変更が加えられると、PDC は更新内容を BDC にプッシュします。これらの追加のドメイン コントローラは、フォールト トレランスを提供するために存在します。PDC に障害が発生した場合は、BDC に置き換えることができます。このような状況では、管理者は BDC を新しい PDC に昇格させます。BDC は、ユーザー ログオン要求を認証し、PDC の認証負荷の一部を引き受けることもできます。

Windows 2000がリリースされると、NT 4 以前のバージョンにあった NT ドメインはActive Directoryに置き換えられました。ネイティブ モードで実行されている Active Directory ドメインには、PDC と BDC の概念は存在しません。これらのドメインでは、すべてのドメイン コントローラは同等とみなされます。この変更の副作用として、「読み取り専用」ドメイン コントローラを作成できなくなりました。Windows Server 2008 では、この機能が再導入されました。

Windows Server は、Active Directory の「ドメイン コントローラ」(ID と認証を提供するもの)、Active Directory の「メンバー サーバー」(ファイル リポジトリやスキーマなどの補完的なサービスを提供するもの)、およびWindows Workgroup の「スタンドアロン サーバー」の 3 種類のいずれかになります。^[11] Microsoft では、「Active Directory Server」という用語は「ドメイン コントローラ」の同義語として使用されることがあります^{[12] [13] [14] [ 15] [16]}が、この用語は推奨されていません。^[17]

• Windows でのドメイン コントローラの配置方法
• 事前統合されたオープンソースドメインコントローラ