操作マスター(FSMO)の種類と役割について解説これまでのコラムでは、ドメインコントローラーの展開方法や複製のしくみについて解説してきました。Directoryデータベースの内容は複製され、どのドメインコントローラーからもデータベースに対して変更することができます。Directoryには操作マスターと呼ばれる特別な権限があり、その操作マスターが割り当てられたドメインコントローラーだけが実行できる操作が存在します。今回のコラムでは、その操作マスターについて解説します。操作マスターとは操作マスターとは、特定の1台のドメインコントローラーだけに割り当てられる「特別な権限の総称」です。Operation)と呼ばれることもあります。操作マスターには全部で5種類の権限があり、フォレスト内の特定の1台だけに割り当てられる2種類の操作マスターと、ドメイン内の特定の1台だけに割り当てられる3種類の操作マスターがあります。フォレストの操作マスターフォレストの操作マスターには、以下に記載する2種類の操作マスターがあります。これらの操作マスターは、フォレスト内の1台のドメインコントローラーのみ所有します。スキーママスターオブジェクトに対する定義情報である「スキーマ」の変更をおこなう際には、スキーママスターを持つドメインコントローラーにアクセスする必要があります。スキーママスターを持つドメインコントローラーが使用できない場合、スキーマを変更することはできません。ドメイン名前付けマスタードメインの追加や削除をおこなう際、またはドメイン名を変更する際には、ドメイン名前付けマスターを持つドメインコントローラーにアクセスする必要があります。ドメイン名前付けマスターが使用できない場合、フォレスト内へのドメイン追加などは実行できません。ドメインの操作マスタードメインの操作マスターには、以下に記載する3種類の操作マスターがあります。これらの操作マスターは、ドメイン内の1台だけのドメインコントローラーのみ所有します。Directory内にオブジェクトを作成する場合は必ず、そのオブジェクトが作成されるドメインコントローラーが、SIDと呼ばれる一意な識別番号をオブジェクトに割り当てます。複数のドメインコントローラーが異なるオブジェクトに同一のSIDを割り当てることがないよう、RIDマスターはオブジェクト作成時に使用するSIDの範囲(RIDブロック)を、ドメイン内の各ドメインコントローラーに割り当てます。RIDマスターを持つドメインコントローラーが使用できない場合、新しいオブジェクトをドメインに作成するときに問題が発生する可能性があります。あるドメインコントローラーが自身に割り当てられたSIDの範囲を使い果たしてしまうと、新たなSIDの範囲の割り当てがおこなわれないため、新しいオブジェクトを作成できなくなります。インフラストラクチャマスターあるドメインのグループに別のドメインのメンバーが含まれる場合などは、ドメイン間でオブジェクト参照がおこなわれます。インフラストラクチャマスターを持つドメインコントローラーは、このオブジェクト参照を担当し、整合性が維持されるように動作します。インフラストラクチャマスターを持つドメインコントローラー使用できない場合、グループ内のメンバー変更が他のドメインコントローラーに伝達されず、整合性が維持されません。PDCエミュレーターPDCエミュレーターの操作マスターには、いくつかの複合的な役割が含まれています。この操作マスターを持つドメインコントローラーは、ドメインのタイムソースになります。緊急のパスワード変更を受信するドメインコントローラーでもあり、グループポリシーの変更をおこなう際にもこのドメインコントローラーにアクセスされます。したがって、PDCエミュレーターを持つドメインコントローラーが使用できない場合、上記の操作に問題が生じます。操作マスターの確認と移動これらの5つの操作マスターを単一のドメインコントローラーに配置することも、複数のドメインコントローラーに分散させることもできます。既定では、フォレスト内の最初にインストールされたドメインコントローラーが5つの操作マスターを所有します。追加のドメインコントローラーが作成された後は、これらの操作マスターを個別に特定のドメインコントローラーに移動することができます。着目すべき点は、操作マスターは種類によって忙しさが異なるという点です。PDCエミュレーターは複合的な役割を含んでおり、他の種類の操作マスターに比べてアクセスされる頻度が高い可能性があります。そのような場合のために、操作マスターを個別に特定のドメインコントローラーに移動することが可能です。各操作マスターは、次の管理ツールから確認や移動をおこなうことができます。今回のコラムでは、特定の1台のドメインコントローラーのみに割り当てられる操作マスターについて解説しました。Directoryドメイン環境でのユーザー作成など、オブジェクトの管理について解説します。しんたろう)株式会社ソフィアネットワークに勤務し、2009年よりマイクロソフト認定トレーナーとしてトレーニングの開催やコース開発に従事。前職である会計ソフトメーカー勤務時には、会計ソフトの導入サポート支援や業務別講習会講師を担当。これらの経歴も活かして、ユーザー視点や過去の経験談なども交えながらのトレーニングを提供。Mobilityを受賞。ゾーホー社員のつぶやきこんにちは、ゾーホージャパンの前田です。今回は、ドメインコントローラーに割り当てられる特別な権限「操作マスター」の種類と役割について学びました。この操作マスターですが、負荷分散やリスク分散のため、複数のドメインコントローラーに割り当てている企業も少なくないかと思います。そんな中、どのドメインコントローラーからどのドメインコントローラーに役割を移行したのかを正確に把握できていないと、後に混乱を招く可能性があります。Plus」を使用すると、操作マスターに対して加えられた変更を証跡として残すことが可能であり、「いつ」「だれが」「どのドメインコントローラーからどのドメインコントローラーに役割を変更したのか」をワンクリックでレポートから確認できます。Directoryのログをリアルタイムで収集して、200以上のレポートで可視化、およびアラート通知などを行うWebベースのオンプレミス型ソフトウェアです。ドメイン上で管理されている、ドメインコントローラー/ファイルサーバー/メンバーサーバー/PCなどのITリソース、およびユーザー/グループ/ポリシーなどのオブジェクト情報から、簡単に監査レポートを作成します。Plusについて詳しく知りたい、一度使ってみたいという方は、ぜひ以下のURLにアクセスください。Plusツール導入で実現する医療機関のIT部門負担軽減ソリューションたらいまわしの電話をなくして更なる負担軽減を!山積した資料や申請書をITSMでスッキリ解決!!気が付けばデスク周りは資料や申請書で山積みに案件だけじゃない!所要時間も「見える化」で医師や看護師と合意ある調整を!フィードバックフォーム当サイトで検証してほしいこと、記事にしてほしい題材などありましたら、以下のフィードバックフォームよりお気軽にお知らせください。ドメインやフォレスト内には、いくつかの特別な役割を持ったドメインコントローラーが存在しており、このようなドメインコントローラーは、「FSMO」や「操作マスター」と呼ばれます。複数のドメインコントローラーが存在するドメインで特定のユーザーのパスワードが変更された場合、全てのドメインコントローラーに変更情報が行きわたるまでに時間が掛かる場合があります。すると、変更情報がまだ届いていないドメインコントローラーからユーザーがログオンしようとした場合、パスワードが間違っていると判断され、ユーザーがログオンできないという状態になってしまいます。Directoryではパスワードが変更された際、まず特別な役割を持つドメインコントローラーに情報を伝えます。ドメインコントローラーとユーザーの入力した認証情報が異なる場合、特別な役割をもつドメインコントローラーに問い合わせを行うことで、ユーザーがログインできる、という仕組みなのです。具体的に特別な役割をもつドメインコントローラーというのが何なのか、ご紹介していきます。操作マスターには5つの種類があり、さらに以下の2つに分けられます。Directory管理者の変更操作チェック、IT統制、J-SOX対応の業務負荷軽減に貢献する、AD監査レポートツールです。製品サイトセキュリティセキュリティ強化のための基礎知識やソリューションをご紹介しています。製品サイト一般ITの幅広い知識のご紹介や問題提起から解決方法までご紹介しています。