この記事はWindows Server初級講座の一部です。 基本操作や管理の仕組みを、 初めて学ぶ方にも分かりやすく解説しています。
Windows Server初級講座の一覧を見る →前の記事では、 PowerShellを使ってWindows Serverの情報や サービスの状態を確認する方法を学びました。
ここまでの初級講座では、 主に1台のWindows Serverを管理するための 基本操作を取り上げてきました。
しかし、企業のIT環境では、 多数のパソコンやサーバー、 ユーザーアカウントを管理する必要があります。
例えば、100人の社員が利用するパソコンに対して、 個別にアカウントを作成したり、 セキュリティ設定を変更したりするのは大変です。
こうした環境で利用される代表的な仕組みが、 Active Directory（アクティブディレクトリ） です。
今回はActive Directoryの基本から、 ドメインやドメインコントローラーの役割、 ユーザー・グループ・OUの関係まで順番に学習します。
Active Directoryを利用する目的を理解し、 ドメイン・ドメインコントローラー・ ユーザー・グループ・OU・DNSの関係を 説明できる状態を目指します。
Active Directoryとは？
Active Directoryとは、 Microsoftが提供する ユーザーやコンピューターなどを管理するための ディレクトリ技術の総称です。
Windows Serverで一般的に利用されるのは、 Active Directory Domain Services（AD DS） と呼ばれる機能です。
AD DSを使うと、 ユーザーアカウントやコンピューターなどの情報を ディレクトリに登録し、 ドメインという単位で管理できます。
ドメインコントローラーがユーザーやコンピューターの情報を管理し、 認証などの機能を提供します。
管理者は、ドメインに登録されたユーザーや コンピューターをまとめて管理できます。 また、グループポリシーなどの仕組みと組み合わせて、 複数の端末へ共通の設定を適用できます。
この記事では、一般的に「Active Directory」と呼ばれる AD DSを中心に解説します。
なぜActive Directoryが必要なの？
Active Directoryを使用する主な理由は、 多数のユーザーやコンピューターを 効率的かつ統一的に管理するためです。
社員のアカウントをドメイン内で管理し、 入社・異動・退職などに対応できます。
ドメインに参加したパソコンや サーバーを管理対象として扱えます。
グループやグループポリシーを利用して、 権限や設定を管理できます。
ローカル管理との違い
以前の記事では、 Windows Serverのローカルユーザーと ローカルグループについて学びました。
ローカルユーザーは、 基本的にそのコンピューターで管理されるアカウントです。 一方、ドメインユーザーは、 AD DSで管理されるアカウントです。
| 比較項目 | ローカル管理 | ドメイン管理 |
|---|---|---|
| アカウント管理 | 各コンピューターで管理 | AD DSを通じて管理 |
| 利用するアカウント | ローカルユーザー | ドメインユーザー |
| 複数端末の管理 | 端末ごとの管理が中心 | ドメイン全体で管理しやすい |
| 主な利用場面 | 単独のPCやサーバー | 企業などの組織的な管理 |
例えば、社員のアカウントがドメインに登録されていれば、 ドメインに参加した複数の端末で、 同じドメインアカウントを利用できるように構成できます。
「本人確認ができること」と 「対象のリソースを利用する権限があること」は 区別して理解しましょう。
ドメインとは？
ドメインとは、 Active Directoryでユーザーやコンピューターなどを 管理するための論理的な管理単位です。
例えば、会社内に
corp.example.com
というドメインを構築すると、
そのドメインにユーザーやコンピューターを登録できます。
ドメインには、 ユーザー・コンピューター・グループなどの オブジェクトを登録できます。
なお、ここで使用している
corp.example.com は学習用のドメイン名です。
実際の企業では、組織の設計に応じた名前を使用します。
ドメインコントローラー（DC）とは？
ドメインコントローラー（Domain Controller：DC）とは、 Active Directoryのドメイン管理や認証を担うサーバー です。
Windows ServerにAD DSの役割を追加し、 ドメインコントローラーとして構成することで、 ドメインの管理に必要な機能を提供できます。
ドメインコントローラーは、 ディレクトリ内の情報を管理し、 ドメインユーザーの認証などを行います。
例えば、ユーザーがドメインに参加したパソコンへ サインインするとき、 通常はドメインコントローラーを利用して 認証が行われます。
ドメインコントローラーは複数台構成できる
ドメインコントローラーは、 1つのドメインに複数台配置することもできます。
複数のドメインコントローラー間では、 ディレクトリ情報を複製する レプリケーションという仕組みが利用されます。
複数台構成にすることで、 認証機能の可用性を高められますが、 DNSやネットワーク、レプリケーションなどの設計も重要です。
Active Directoryで管理する主なオブジェクト
Active Directoryでは、 ユーザーやコンピューターなどの管理対象を オブジェクトとして扱います。
社員などのアカウントを表します。 ユーザー名やアカウント状態などを管理します。
ドメインに参加したPCやサーバーなどの コンピューターアカウントを表します。
複数のユーザーなどをまとめ、 アクセス許可の管理などに利用します。
例えば、営業部の社員が増えたとき、 新しいユーザーを登録して、 必要なグループへ追加することで 権限を管理しやすくなります。
ユーザーとグループの関係
ユーザーごとに権限を設定するのではなく、 グループに対して権限を設定することで、 メンバーの追加や削除に対応しやすくなります。
OU（組織単位）とは？グループとの違い
OU（Organizational Unit：組織単位）とは、 ドメイン内のオブジェクトを 管理しやすく整理するための入れ物です。
例えば、営業部と情報システム部のユーザーや コンピューターを、 部署ごとのOUに分けることができます。
OUは、管理者の権限を委任したり、 グループポリシーを適用する範囲を 整理したりするときにも利用されます。
OUとグループは役割が違う
| 項目 | OU | グループ |
|---|---|---|
| 主な目的 | オブジェクトの整理・管理 | ユーザーなどをまとめて扱う |
| 代表的な利用例 | 部署ごとの管理・GPO適用範囲の整理 | 共有フォルダーのアクセス許可 |
| 管理の考え方 | 階層構造で分類する | メンバーシップで分類する |
Active Directoryでのログオン認証の仕組み
ドメインに参加したWindowsパソコンでは、 ドメインアカウントでサインインすることができます。
その際、通常はドメインコントローラーを利用して ユーザーの認証が行われます。
ドメインに参加したパソコンで、 ドメインユーザーの資格情報を使用します。
クライアントはDNSの情報を利用して、 認証に必要なドメインコントローラーを探します。
ドメインコントローラーなどが関わる認証処理によって、 ユーザーの資格情報を確認します。
利用者は設定された権限に応じて、 共有フォルダーなどのリソースへアクセスします。
通常のドメインログオンを簡略化した図です。 実際の認証にはKerberosなどの仕組みが利用されます。
Active DirectoryとDNSの関係
Active Directoryを理解するときに重要なのが、 DNSとの関係です。
DNSは単にWebサイトの名前をIPアドレスへ変換するだけでなく、 Active Directory環境では ドメインコントローラーを見つけるためにも利用されます。
クライアントPCのDNS設定が適切でない場合、 ドメインコントローラーの検出に失敗し、 ドメイン参加や認証などで問題が発生する可能性があります。
インターネット接続のためだけに 外部のパブリックDNSを直接設定すると、 ドメインコントローラーを見つけられない場合があります。
Active Directoryの管理画面を確認しよう
Active Directoryのユーザーやコンピューターを管理する 代表的なツールが、 Active Directoryユーザーとコンピューターです。
このツールでは、 ドメイン内のユーザー・グループ・コンピューター・OUなどを 確認できます。
管理画面の開き方
ドメインコントローラーまたは 必要なAD DS管理ツールが導入された端末を使用します。
「Active Directoryユーザーとコンピューター」を選択します。
ドメイン内のOUやユーザー、 コンピューターなどを確認します。
管理ツールが導入されている環境では、
dsa.msc を使用して起動することもできます。
管理画面のイメージ
左側にドメインやOUなどの階層構造が表示され、 右側には選択した場所に含まれる オブジェクトが表示されます。
実際の運用では、 このような画面からユーザーの作成や無効化、 グループへの追加などを行います。
ドメイン参加とは？
ドメイン参加とは、 パソコンやサーバーをActive Directoryのドメインに 参加させることです。
ドメイン参加した端末は、 ドメインの認証や管理の仕組みを利用できるようになります。
ドメイン参加には、 ドメインコントローラーと通信できるネットワーク環境や、 適切なDNS設定、 ドメイン参加を許可された資格情報などが必要です。
グループポリシーとは？
Active Directory環境では、 グループポリシーという仕組みを利用して、 ユーザーやコンピューターへ設定を適用できます。
例えば、 特定の設定を複数のパソコンへ適用したい場合、 グループポリシーを使用することで 一元的な管理が可能になります。
パスワードポリシーや セキュリティ関連の設定などを管理できます。
Windowsの動作や 利用環境に関する設定を適用できます。
ユーザー環境に関する 共通の設定を適用できます。
グループポリシーオブジェクト（GPO）は、 サイト・ドメイン・OUなどへリンクして、 対象範囲に設定を適用する仕組みです。
実際には適用条件や優先順位なども関係しますが、 初級段階では、 「多数の端末やユーザーの設定をまとめて管理できる仕組み」 と理解しておきましょう。
実務ではActive Directoryをどのように利用する？
例えば、企業で新しい社員が入社する場合を考えてみましょう。
Active Directoryを利用している環境では、 管理者は新しい社員のドメインアカウントを用意し、 必要なグループへ追加することで 社内システムの利用準備を進められます。
Active Directoryへ入社する社員のアカウントを登録します。
部署や担当業務に応じたセキュリティグループへ追加します。
ドメイン参加済みPCなどで、 必要な認証やアクセス許可を確認します。
グループ所属やアカウント状態などを 運用ルールに従って変更します。
このようにActive Directoryは、 単なるユーザー一覧ではなく、 企業のアカウント管理や認証を支える基盤 として利用されています。
ドメイン認証ができないときの確認ポイント
Active Directory環境で 「ドメインに参加できない」 「ドメインユーザーの認証に失敗する」 といった問題が発生した場合は、 次のような点を確認します。
| 確認項目 | 確認する内容 |
|---|---|
| ネットワーク | IPアドレス・ゲートウェイ・必要な通信が正常か |
| DNS | 適切なDNSサーバーが設定されているか |
| DC | ドメインコントローラーが稼働しているか |
| アカウント | ユーザーが無効化・ロックアウトされていないか |
| 時刻 | クライアントとドメイン環境の時刻に大きなずれがないか |
特にDNS設定は、 ドメインコントローラーを見つける仕組みに関わるため、 重要な確認項目の一つです。
また、環境や症状に応じて、 Windowsのイベントログや ドメインコントローラー側のログなども確認します。
ここで実際に確認してみよう：ADの管理対象を整理する
Active Directoryでよく登場する 「ユーザー」「グループ」「OU」の違いを、 疑似管理画面で確認してみましょう。
下のボタンを選ぶと、 それぞれの管理対象と用途が表示されます。
Active Directoryのオブジェクトを確認
社員などのアカウントを表すオブジェクトです。 ユーザー名、アカウント状態などを管理します。
※ 学習用の疑似画面です。 実際のActive Directoryへ接続したり、 設定を変更したりするものではありません。
理解度チェック：部署の共有フォルダーへの権限を管理するには？
企業内の運用を想定して、 どの管理方法が適切か考えてみましょう。
営業部の共有フォルダーを管理したい
営業部の社員だけがアクセスできる 共有フォルダーを用意したいと考えています。 社員の追加や異動が今後も発生する予定です。
管理しやすい方法はどれでしょうか？
セキュリティグループを利用すると、 グループのメンバーシップを通じて 権限を管理しやすくなります。 OUは主にオブジェクトの整理や 管理範囲の設定に使うため、 OUへ所属させるだけで共有フォルダーの アクセス許可が付与されるわけではありません。
確認問題：Active Directoryの基本を理解できたか確認しよう
最後に3問の確認問題に挑戦してみましょう。 選択肢を押すと正解と解説が表示されます。
Active Directory Domain Services（AD DS）の主な役割はどれですか？
AD DSはユーザー、コンピューター、グループなどの情報を管理し、 ドメインの認証やディレクトリ管理などの機能を提供します。
ドメインコントローラーの説明として正しいものはどれですか？
ドメインコントローラーは、 AD DSの情報を保持し、 ドメイン認証などの機能を提供するサーバーです。
Active Directory環境でDNSが重要な理由はどれですか？
AD DSではDNSを利用して、 クライアントがドメインコントローラーを 検出できるようにします。 DNS設定が不適切な場合、 ドメイン参加や認証などに問題が発生することがあります。
まとめ
今回は、 Active Directoryの基本的な仕組みと、 ドメイン管理について学びました。
Active Directoryは、 多くの企業で利用されている重要な認証・管理基盤です。
初級段階では、 ドメイン、ドメインコントローラー、 ユーザー、グループ、OU、DNSの役割を 区別して理解できていれば十分です。
次の学習では、 AD DSの構築方法やグループポリシー、 DNS・DHCPとの連携など、 より実践的なWindows Server管理へ進んでいきましょう。
Windows Server初級、お疲れさまでした
ここまでで、Windows Serverの基本操作や管理ツール、 IP・DNS設定、ユーザー管理、ファイル共有、 Windows Update、イベントログ、 サービス、PowerShell、Active Directoryなどの 基礎を学習しました。
次はWindows Server中級へ進みましょう
初級では、Windows Serverの基本操作と 管理の仕組みを学びました。 中級では、Active Directoryの構築・管理、 DNS・DHCP、グループポリシー、 Hyper-V、WSUSなどへ進み、 実際のサーバー構築や運用管理を より深く理解していきます。
初級の内容を復習する
不安な項目がある場合は、 Windows Server初級講座の一覧へ戻って復習できます。
← Windows Server初級講座へ戻る