M i c r o s o f t W i n d o w s 9 5 発 売 後 、 W i n d o w s は グ ラ フ ィ カ ル ユ ー ザ イ ン タ フ ェ ー ス ( G U I ) で 操 作 で き る 利 便 性 か ら ク ラ イ ア ン ト 用 オ ペ レ ー テ ィ ン グ シ ス テ ム ( OS ) と し て 急 速 に 普 及 し た 。 標 準 で ネ ッ ト ワ ー ク 機 能 を 有 し て い た こ と か ら 、 主 に 企 業 や 大 学 な ど で PC の ネ ッ ト ワ ー ク 化 が 促 進 さ れ た が 、 ユ ー ザ 管 理 や ア ク セ ス 制 御 機 能 が 貧 弱 で 、 ネ ッ ト ワ ー ク の 規 模 が 拡 大 す る に つ れ て 管 理 上 の 弱 点 と な っ て い っ た 。
こ れ に 対 し て W i n d o w s N T で は 、 ク ラ イ ア ン ト PC 単 体 で ユ ー ザ 管 理 お よ び ア ク セ ス 制 御 機 能 を 搭 載 し て お り 、 さ ら に W i n d o w s N T サ ー バ を 中 心 と す る NT ド メ イ ン を 構 築 す る こ と で 、 ユ ー ザ ー お よ び パ ー ソ ナ ル コ ン ピ ュ ー タ ( PC ) の ユ ー ザ ア カ ウ ン ト を ド メ イ ン コ ン ト ロ ー ラ ( D o m a i n c o n t r o l l e r 、 以 下 DC ) で 集 中 管 理 で き る よ う に な っ た 。
や が て NT サ ー バ が 大 規 模 ネ ッ ト ワ ー ク で も 利 用 さ れ る よ う に な る と 、 NT ド メ イ ン の 短 所 が 指 摘 さ れ る よ う に な っ た 。
● ド メ イ ン 間 の 階 層 構 造 が と れ な い ● PC 名 ( N e t B I O S コ ン ピ ュ ー タ 名 ) の 名 前 空 間 が 単 一 で あ る た め 、 別 NT ド メ イ ン で あ っ て も 同 名 の PC が 同 一 ネ ッ ト ワ ー ク 上 に 存 在 で き な い ● 基 本 的 に L A N 内 で 構 築 す る こ と が 前 提 の シ ス テ ム で あ り 、 W A N の よ う な 狭 帯 域 の 回 線 が 存 在 す る と 、 ロ グ オ ン 認 証 パ ケ ッ ト の 不 達 や 遅 延 に よ る ア ク セ ス 不 能 問 題 を 起 こ し や す い 。 ● S e c u r i t y A c c o u n t M a n a g e r ( S A M ) デ ー タ ベ ー ス の 最 大 容 量 が 4 0 M B と 少 な く 、 ユ ー ザ ー ア カ ウ ン ト や コ ン ピ ュ ー タ ア カ ウ ン ト を 4 万 件 程 度 し か 登 録 す る こ と が 出 来 な い 。 な ど で あ る 。
こ れ ら の 問 題 を 解 決 し 、 NT ド メ イ ン の ユ ー ザ ー お よ び コ ン ピ ュ ー タ 管 理 機 能 を 継 承 し つ つ 、 大 規 模 ネ ッ ト ワ ー ク で も 利 用 で き る よ う に 大 幅 に 改 良 し た の が A c t i v e D i r e c t o r y ( 以 下 AD ) で あ る 。
AD で は 、 上 記 の 欠 点 を 改 善 し た ほ か 、 以 下 の よ う な 特 徴 を 持 つ 。
● D N S や ケ ル ベ ロ ス 認 証 シ ス テ ム 、 L D A P の 導 入 な ど 、 い わ ゆ る ﹁ イ ン タ ー ネ ッ ト 系 の オ ー プ ン 技 術 ﹂ が 大 幅 に 取 り 入 れ ら れ て い る 。 ● D N S や DC に お い て 、 複 数 の マ ス タ サ ー バ が 存 在 す る ﹁ マ ル チ マ ス タ シ ス テ ム ﹂ が 取 り 入 れ ら れ て い る 。 半 面 、 AD を 構 築 す る に は D N S サ ー バ の 設 置 や ゾ ー ン 情 報 の 編 集 が 必 須 と な る な ど 、 設 計 、 構 築 、 運 用 、 保 守 の 全 て に お い て 必 要 な ス キ ル 水 準 が 上 昇 し た 。 し た が っ て 、 フ ァ イ ル と プ リ ン タ の 共 有 が で き れ ば 十 分 で あ り 、 シ ス テ ム を リ プ レ ー ス す る メ リ ッ ト は な い と 判 断 し て 導 入 を 見 送 っ た ユ ー ザ ー も 多 か っ た 。
編集
出版企業の内部ネットワークを単純化した一例。企業は4つのグループを持ち、ネットワーク上の3つの共有フォルダーに対してそれぞれアクセス許可が与えられている。
AD ド メ イ ン と は 、 W i n d o w s 2 0 0 0 S e r v e r 以 降 の W i n d o w s S e r v e r D C で 構 成 さ れ る 、 ユ ー ザ ー と コ ン ピ ュ ー タ の 管 理 単 位 で あ る [ 3 ] 。
DC は AD を イ ン プ リ メ ン ト し た 実 体 で あ り 、 デ ィ レ ク ト リ デ ー タ ベ ー ス に PC や ユ ー ザ ー 、 グ ル ー プ な ど の ア カ ウ ン ト を 登 録 す る こ と に よ り 、 ユ ー ザ ー や コ ン ピ ュ ー タ の 権 利 と 権 限 の 集 中 管 理 を 可 能 と す る 。 ま た 、 ﹁ グ ル ー プ ポ リ シ ー ﹂ 機 能 に よ っ て PC や ユ ー ザ ー の 環 境 を 制 御 で き る 。
AD ド メ イ ン に 登 録 さ れ た ユ ー ザ は ﹁ D o m a i n U s e r s ﹂ な ど 何 ら か の セ キ ュ リ テ ィ グ ル ー プ に 所 属 し て お り 、 通 常 は 管 理 を 簡 略 化 す る た め グ ル ー プ 単 位 で セ キ ュ リ テ ィ を 設 定 す る 。 セ キ ュ リ テ ィ グ ル ー プ に は 、 適 用 範 囲 の 狭 い 順 に ﹁ ビ ル ト イ ン ロ ー カ ル ﹂ ﹁ ド メ イ ン ロ ー カ ル ﹂ ﹁ グ ロ ー バ ル ﹂ ﹁ ユ ニ バ ー サ ル ﹂ の 4 種 類 が あ り 、 異 な る 種 類 の グ ル ー プ を 別 の グ ル ー プ に 所 属 さ せ る “ 入 れ 子 ” も 可 能 で あ る 。
AD ド メ イ ン の 主 要 な 機 能 で あ る 、 ユ ー ザ ー 認 証 と グ ル ー プ ポ リ シ ー の 適 用 を 管 理 す る 機 能 を 持 た さ れ た 特 別 な サ ー バ が DC で あ る 。 DC は ク ラ イ ア ン ト PC か ら 常 に 参 照 可 能 で な け れ ば な ら な い た め 、 IP ア ド レ ス を 固 定 で 割 り 当 て る 必 要 が あ る 。 AD ド メ イ ン の ド メ イ ン 階 層 構 造 は D N S の 名 前 階 層 構 造 を L A N に 応 用 し た も の で あ り 、 コ ン ピ ュ ー タ 間 の 名 前 解 決 に は D N S サ ー バ が 必 須 で あ る 。
基 本 的 に 1 つ の フ ォ レ ス ト に 1 台 の D N S サ ー バ が あ れ ば サ ブ ド メ イ ン を 含 め て 統 一 管 理 で き る の で 、 必 ず し も AD の サ ブ ド メ イ ン に D N S サ ー バ を 設 置 し な く て も よ い 。 た だ し 1 台 だ け で は サ ー ビ ス 効 率 と 耐 障 害 性 が 劣 る た め 、 通 常 は 複 数 台 設 置 す る 。
デ ィ レ ク ト リ デ ー タ ベ ー ス は DC 間 で ﹁ マ ル チ マ ス タ レ プ リ ケ ー シ ョ ン ﹂ が 行 わ れ て お り 、 ユ ー ザ ア カ ウ ン ト の 登 録 な ど デ ィ レ ク ト リ デ ー タ ベ ー ス へ の 変 更 操 作 は 、 基 本 的 に す べ て の DC で 可 能 で あ る 。 た だ し 、 W i n d o w s S e r v e r 2 0 0 8 の ﹁ 読 み 取 り 専 用 DC ﹂ に お い て は こ の 限 り で は な い 。 ち な み に NT ド メ イ ン で は S A M の “ 原 本 ” を 扱 う プ ラ イ マ リ DC が た だ 1 台 あ り 、 必 要 に 応 じ て バ ッ ク ア ッ プ DC を 追 加 す る 。 ユ ー ザ ア カ ウ ン ト の 登 録 な ど は 常 に プ ラ イ マ リ DC が 行 い 、 バ ッ ク ア ッ プ DC は 複 製 さ れ た S A M を 参 照 し て ユ ー ザ ー 認 証 を 行 う 。
フ ォ レ ス ト の 階 層 構 造 の 変 更 や 、 オ ブ ジ ェ ク ト の 元 と な る ス キ ー マ の 編 集 、 相 対 ID の 発 行 な ど は 、 ド メ イ ン ま た は フ ォ レ ス ト ご と に 1 台 存 在 す る 、 F l e x i b l e S i n g l e M a s t e r O p e r a t i o n s ( F S M O ) の 操 作 マ ス タ を 実 行 す る DC が 占 有 的 に 操 作 す る 。
ロ グ オ ン 認 証 な ど で は 、 サ イ ズ が 大 き く サ ー チ に 時 間 が か か る デ ィ レ ク ト リ デ ー タ ベ ー ス よ り も 、 も っ ぱ ら 簡 易 な グ ロ ー バ ル カ タ ロ グ ︵ GC ︶ が 多 用 さ れ る 。
フォレストは、DNSの名前階層に基づく1つ以上のADドメインの階層的集合である。1つ以上のADドメインを含むシステム領域であり、ADの概念の中で最も外側の領域である。
1つ以上のADドメインを設置する際に、DNSの名前階層に従って階層構造、すなわちフォレストを構成できる。Wikipediaを例に取ると、基準となるADドメインD1 (ja.wikipedia.org) の下層に作成されたADドメインD2 (sub1.ja.wikipedia.org) は「サブドメイン」となる。基準ドメインD1とサブドメインD2の間には自動的に双方向の信頼関係が結ばれる。サブドメインD2は、ドメインD1の下に作成された別のサブドメインD3 (sub2.ja.wikipedia.org)、あるいはドメインD1のさらに上位ドメインD0 (wikipedia.org) とも自動的に信頼関係が結ばれる。つまり、「ドメインD2がドメインD1を信頼し、ドメインD1がドメインD0を信頼しているとき、ドメインD2はドメインD0を信頼する」という論理で信頼関係を結ぶ。これを「信頼の推移」と呼ぶ。
同一フォレスト内のADドメインであれば、信頼の推移が行われるとともに、グループの共有も可能である。ただ1つのADドメインしかなくてもフォレストを形成し、シングルフォレスト、シングルドメイン、シングルサイト構成になる。最初に構築したADドメインは「フォレストルートドメイン」となり、他のADドメインを増設する際の基準ドメインになる。先の例では、ドメインD0 (wikipedia.org) がフォレストルートドメインであり、他のADドメインに先駆けて最初に構築しなければならない。
Windows 2000 Serverによるフォレストでは、フォレスト間で一括して信頼関係を結ぶことはできない。すなわち、フォレストルートドメイン間で信頼関係を結んでも、サブドメインには信頼は推移しない。NTドメインと同様に、異なるフォレストに属するADドメイン間で個別に信頼関係を結ぶことはできる。Windows Server 2003 以降では「フォレスト間信頼」がサポートされ、フォレストルートドメイン間で信頼関係を結ぶことで、各フォレストに属するADドメインも自動的に推移する信頼関係を結んだことになる。
組 織 単 位 ( O U ; O r g a n i z a t i o n a l U n i t , O r g a n i z a t i o n U n i t と も ) と は 、 セ キ ュ リ テ ィ グ ル ー プ と は 別 に 、 ユ ー ザ ー や コ ン ピ ュ ー タ を 管 理 す る グ ル ー プ で あ る 。 本 社 、 支 社 、 支 店 と い っ た 大 き な 分 類 の 下 に 、 経 理 、 営 業 、 総 務 、 開 発 な ど の OU を 作 成 し て 、 現 実 の 組 織 体 制 や 資 産 管 理 体 制 に 即 し た グ ル ー プ の 階 層 を 構 築 す る こ と で 、 運 用 管 理 を 容 易 に す る 。 組 織 体 制 に 則 し た 複 数 の AD ド メ イ ン を 作 成 す る 必 要 が な く 、 セ キ ュ リ テ ィ 要 件 が 同 一 で あ れ ば 、 単 一 ド メ イ ン で 管 理 で き る 。
ま た 、 OU に は グ ル ー プ ポ リ シ ー オ ブ ジ ェ ク ト を リ ン ク で き る の で 、 ﹁ 開 発 用 の PC で は デ ス ク ト ッ プ 環 境 を カ ス タ マ イ ズ 可 能 に す る が 、 経 理 の PC で は 変 更 で き な い よ う に し た い ﹂ と い っ た 要 求 に 対 応 で き る 。
サ イ ト は AD と は や や 性 格 を 異 に す る 、 物 理 ネ ッ ト ワ ー ク の 境 界 に 基 づ い た 概 念 で あ り 、 主 に 4 つ の 目 的 で 使 用 さ れ る 。 す な わ ち 、 デ ィ レ ク ト リ デ ー タ ベ ー ス の 複 製 ト ラ フ ィ ッ ク の 最 適 化 、 ロ グ オ ン 認 証 ト ラ フ ィ ッ ク の 最 適 化 、 グ ル ー プ ポ リ シ ー の 適 用 ス コ ー プ 変 更 、 そ し て 管 理 の 委 任 で あ る 。
通 常 は 同 一 L A N で 通 信 で き る 範 囲 を サ イ ト と す る 。 た だ し 高 速 な W A N 回 線 を 使 う 場 合 は W A N を 越 え た サ イ ト を 作 成 す る こ と も あ る 。 AD ド メ イ ン を 新 規 構 築 す る と 、 自 動 的 に ﹁ D e f a u l t - F i r s t - S i t e - N a m e ﹂ と い う 名 前 の サ イ ト も 作 成 さ れ る た め 、 意 識 せ ず と も サ イ ト を 利 用 す る 。
サ イ ト 内 で は 、 デ ィ レ ク ト リ 情 報 は 変 更 が あ る 度 に 圧 縮 さ れ ず に 複 製 さ れ る 。 ま た 複 製 パ ス は 最 大 3 ホ ッ プ の 複 数 リ ン グ 状 に 構 成 さ れ る 。 一 方 、 サ イ ト 間 の 場 合 は 、 定 期 的 に ( 既 定 値 は 1 8 0 分 、 最 短 で 15 分 に 構 成 可 能 ) 、 圧 縮 し て 複 製 さ れ る 。 ま た 、 複 製 パ ス は ス パ ン ツ リ ー 型 に 構 成 さ れ る 。
ク ラ イ ア ン ト は 、 自 分 の サ ブ ネ ッ ト 情 報 を も と に サ イ ト 情 報 を 取 得 し 、 同 一 サ イ ト の DC に 対 し て 優 先 的 に 認 証 を 要 求 す る 。
サ イ ト の 目 的 を 達 成 す る た め に は 、 各 サ イ ト に 1 台 以 上 の DC が 設 置 さ れ て い る 必 要 が あ る 。 DC の な い サ イ ト は 、 近 隣 サ イ ト の DC が そ の サ イ ト を 自 動 的 に 担 当 す る 。 こ れ を ﹁ 自 動 サ イ ト リ カ バ リ ﹂ と 呼 ぶ 。
あ る DC が 持 つ デ ィ レ ク ト リ 情 報 を 他 の サ イ ト の DC に 複 製 す る こ と を 、 ﹁ サ イ ト 間 レ プ リ ケ ー シ ョ ン を 行 な う ﹂ と い う 。 レ プ リ ケ ー シ ョ ン を 行 な う DC は 、 管 理 ツ ー ル の ﹁ A c t i v e D i r e c t o r y サ イ ト と サ ー ビ ス ﹂ で サ イ ト を 作 成 し 、 レ プ リ ケ ー シ ョ ン パ ー ト ナ ー と な る 相 手 の サ イ ト リ ン ク と 関 連 付 け る 必 要 が あ る 。 レ プ リ ケ ー シ ョ ン す る こ と で 、 デ ィ レ ク ト リ デ ー タ ベ ー ス の 情 報 を 共 有 す る た め 、 グ ル ー プ ポ リ シ ー や デ ー タ ベ ー ス を パ ー ト ナ ー 同 士 で 自 動 的 に 最 新 の 状 態 を 維 持 す る こ と が で き る 。
ひ と つ の 地 域 に 複 数 の DC が あ る と き 、 サ イ ト 内 と 同 様 の パ ス で 他 の 地 域 と レ プ リ ケ ー シ ョ ン す る と 、 ネ ッ ト ワ ー ク に 膨 大 な 負 荷 が か か る 。 そ の た め サ イ ト 内 の 1 台 の DC を ﹁ ブ リ ッ ジ ヘ ッ ド サ ー バ ﹂ 、 す な わ ち 橋 頭 堡 と し て 自 動 的 に 選 出 し 、 そ の DC を サ イ ト の 代 表 と し て サ イ ト 間 複 製 を 行 う 。 そ の ほ か の DC は そ の ブ リ ッ ジ ヘ ッ ド サ ー バ か ら 得 た 情 報 を サ イ ト 内 で 複 製 す る 。 つ ま り 、 ブ リ ッ ジ ヘ ッ ド サ ー バ は 、 他 の 地 域 か ら レ プ リ ケ ー シ ョ ン さ れ た も の を そ の サ イ ト 内 の す べ て の DC へ レ プ リ ケ ー シ ョ ン す る 。 そ う す る こ と で 効 率 よ く 最 新 の 状 態 を 確 保 し て い る 。
● 例
東 京 に あ る DC ﹁ w i k i ﹂ と 、 大 阪 に あ る DC ﹁ p e d i a ﹂ が あ る と す る 。 二 つ の DC は レ プ リ ケ ー シ ョ ン パ ー ト ナ ー と な っ て い る 。 東 京 の DC の ド メ イ ン に 参 加 し て い る ク ラ イ ア ン ト を 使 っ て い る ﹁ 草 薙 さ ん ﹂ が ブ リ ッ ジ ヘ ッ ド サ ー バ の グ ル ー プ ポ リ シ ー を 変 更 す る と 、 定 期 的 に 変 更 が 大 阪 の レ プ リ ケ ー シ ョ ン パ ー ト ナ ー に も フ ィ ー ド バ ッ ク さ れ 、 大 阪 の ブ リ ッ ジ ヘ ッ ド サ ー バ に も 変 更 が 反 映 さ れ る た め 、 大 阪 ド メ イ ン の ﹁ バ ト ー さ ん ﹂ も 同 じ 状 態 の グ ル ー プ ポ リ シ ー で 作 業 が で き る 。 同 じ よ う に 全 国 の DC を レ プ リ ケ ー シ ョ ン パ ー ト ナ ー と し て 設 定 す る と 、 東 京 で 変 更 し た デ ィ レ ク ト リ デ ー タ ベ ー ス が 自 動 的 に 自 分 の 参 加 し て い る DC に 反 映 さ れ る た め 、 東 京 の サ ー バ に ア ク セ ス す る 必 要 が 無 い 。 ま た 、 レ プ リ ケ ー シ ョ ン 間 隔 は DC で 設 定 で き る 。 こ こ で 設 定 し た 間 隔 も す べ て の パ ー ト ナ ー 間 で レ プ リ ケ ー シ ョ ン す る 。
マルチマスタレプリケーションとは、分散管理されているADのディレクトリデータベースおよびグループポリシーオブジェクトを、矛盾なく相互に交換し統合する複製手法である。同一オブジェクトが複数のDCで更新された場合、時系列的に後に更新されたオブジェクトが採用される。これによって、複数DCで齟齬が生じる状況を回避できる。
アプリケーション がADにアクセスするためのAPI が、ADSI (= Active Directory Service Interface) である。AD内のオブジェクトの検索、閲覧、編集、削除を実行できるため、例えばユーザー管理やコンピュータ管理などの操作を自動化することができる。
