Active Directoryの管理

多くの場合、スクリプトやアプリケーションを扱うには、一般ユーザアカウントよりも上位のアクセス権が必要になります。しかしながら、そこで管理者アカウントを使うべきではありません。アプリケーションに必要以上のアクセス権を付与することになり、管理者アカウントへのセキュリティ侵害のリスクが高まります。ベストプラクティスでは、最小権限の原則に従い、管理者アカウントを使用せず、アプリケーションごとのサービスアカウントを作成して、そのアカウントに必要な権限のみを付与します。

ただし、そのアカウントを放置してはいけません。サービスアカウントにはIT環境の重要なリソースへのアクセス権があるため、各サービスアカウントが何を実行しているのか追跡する必要があります。アカウントのセキュリティ侵害や不正使用の兆候となり得る、通常と異なるアクティビティや無許可のアクティビティをプロアクティブに見つけ出します。

Active Directory管理の重要な側面には、 グループポリシーの管理もあります。グループポリシーとは、グループポリシーオブジェクト（GPO）と呼ばれるポリシーのセットで、ドメイン全体または一部のOUのみに適用することができます。例えば、グループポリシーを使用すると、シカゴドメインのユーザすべてに複雑なパスワードの使用を要求する、シカゴドメインの財務OUのみすべてのコンピュータで外付けメディアの使用を禁止する、などを実行できます。Microsoftでは、自分で設定可能なGPOを数百種類提供しています。

グループポリシーは非常に影響力が強いため、設定を適切に行い、変更の管理に注意を払うことが重要です。不適切な変更がたった一度行われただけで、ダウンタイムやセキュリティ侵害の原因になる可能性があります。残念ながら、ネイティブのツールでは、グループポリシーの制御を継続することは容易ではありません。

• PSTファイルの作成を無効化
• ユーザのブラウザに使用頻度が高いサイトを追加
• 有用なネットワークドライブのマッピング
• すべてのコンピュータにカスタムのレジストリ値を設定
• すべてのWindows Serverマシンおよびその他のコンピュータに標準オペレーティングシステムとその他のソフトウェアを導入
• コンピュータの起動時やシャットダウン時、またはユーザのログイン/ログアウト時に特定のスクリプトを実行

意図的であるかどうかにかかわらず、Active Directoryやグループポリシーに不適切な変更が加えられると、重要なサービスで障害が発生する、正当なユーザによるリソースへのアクセスが阻害されるなどの事態になり、ビジネス運用上の被害を受けることになります。問題を回避するためには、あらゆる変更において計画を立て、文書化し、テストを実施して、変更が予想外の問題を引き起こした場合は確実に元の環境を復元できるようにする必要があります。

さらに、権限の強い管理者セキュリティグループや重要なGPOなど、重要度が最も高いADオブジェクトへの変更を防止することが肝要です。QuestのChange AuditorおよびGPOADminは、変更管理を合理化し、Active Directory管理を強化します。