Active Directoryとは?

Active Directoryの中心となるサービスは、Active Directory Domain Services（AD DS）です。これはWindows Serverオペレーティングシステムの一部となっています。AD DSを実行するサーバは、ドメインコントローラー（DC）と呼ばれます。一般的に、組織には複数のDCがあり、それぞれにドメイン全体のディレクトリのコピーが存在します。パスワード更新やユーザアカウントの削除など、1つのDCでディレクトリに変更が加えられると、変更内容がその他のDCに複製され、最新の状態が維持されます。グローバル・カタログ・サーバは、ドメインのディレクトリ内にある全オブジェクトの完全なコピーと、フォレスト内のその他すべてのドメインにある全オブジェクトの部分的なコピーを保存するDCです。これを使用することで、ユーザやアプリケーションは、フォレスト内のあらゆるドメインのオブジェクトを見つけることができます。Windows（Windows Server以外）を実行中のデスクトップ、ノートパソコン、およびその他のデバイスは、Active Directory環境の一部に入ることができますが、AD DSは実行しません。AD DSは、LDAP（Lightweight Directory Access Protocol）、KerberosおよびDNS（Domain Name System）など、確立されたプロトコルと標準に依拠しています。

Active Directoryは、オンプレミスのMicrosoft環境専用であることにご注意ください。クラウドのMicrosoft環境では、Azure Active Directoryを使用します。これはオンプレミス版と同じ目的で動作します。ADおよびAzure ADは別個のものですが、組織にオンプレミスとクラウド両方のIT環境（ハイブリッド展開）が存在する場合、ある程度は連携して動作することができます。

Active Directoryデータベース（ディレクトリ）には、ドメイン内のADオブジェクトに関する情報が含まれています。一般的なタイプのADオブジェクトには、ユーザ、コンピューター、アプリケーション、プリンター、および共有フォルダが含まれます。その他のオブジェクトを含むオブジェクトもあります（そのため、ADは「階層的」と表現されることがあります）。特に組織では、ADオブジェクトを組織ユニット（OU）に編成して管理をシンプル化し、ユーザをグループにしてセキュリティを効率化することがよくあります。このようなOUやグループは、それ自体がディレクトリに保存されたオブジェクトです。

オブジェクトは属性を持ちます。一部の属性は明示されていますが、明確にはわからない属性もあります。たとえばユーザオブジェクトは、一般的にユーザの氏名、パスワード、部署、およびEメールアドレスなどの属性を持ちますが、固有のGlobally Unique Identifier（GUID）、セキュリティ識別子（SID）、最終ログオン時刻、およびグループメンバーシップなど、ほとんど目にすることのない属性も存在します。

データベースは構造化されています。つまり、保存するデータのタイプや、そのデータを整理する方法を決める設計があります。この設計はスキーマと呼ばれます。Active Directoryも例外ではありません。そのスキーマには、Active Directoryフォレスト内に作成できるすべてのオブジェクトクラスと、Active Directoryオブジェクト内に存在できるすべての属性の公的な定義が含まれています。ADにはデフォルトのスキーマが設定されていますが、管理者はビジネスの必要に応じて変更することができます。重要なのは、スキーマは事前に慎重に計画するのが最善だということです。認証および承認においてADが中心的な役割を果たすため、後からADデータベースのスキーマを変更すると、業務に大きな混乱を招く可能性があります。