1|2|3グループ・オブジェクトの作成グループ・オブジェクトは、ユーザーをまとめ、共通のセキュリティ設定を構成するために使用するオブジェクトである。グループ・オブジェクトには「セキュリティ・グループ」と「配布グループ」の2種類がある。Directoryを利用するメッセージング・アプリケーションにおいて、メールの送信先として利用する。今回はセキュリティ・グループとして作成する「グループ」の解説をしておく。グループを作成する際は、グループの種類(セキュリティ・グループか配布グループか)のほかに、「グループの範囲」を選択する必要がある。グループの範囲とは、グループの有効な範囲やグループに含むことができるメンバーの範囲を定義するものである。グループの範囲には、「ドメイン・ローカル・グループ」「グローバル・グループ」「ユニバーサル・グループ」の3つがある。それぞれのグループは、利用可能な範囲やメンバーにできる範囲が異なるため、作成するときには注意が必要である(適当に作成してしまうと、利用したいときに利用できない場合がある)。それぞれの利用目的や利用可能範囲、含むことができるメンバーを解説しておこう。簡単にいうと、ドメイン・ローカル・グループはセキュリティ設定(権限の割り当て)用として、グローバル・グループはユーザーをまとめるため(組織化)、ユニバーサル・グループはドメインを超えてユーザーをまとめるためにそれぞれ利用される。このグループの機能は、ドメイン・モードがネイティブ・モードか混在モードかによっても異なるので、それらについても分類しておく。Directoryユーザーとコンピュータ]管理ツールを利用する。グループを作成したいOUで右クリックし、ポップアップ・メニューから[新規作成]−[グループ]を選択し、表示されたダイアログ・ボックスでグループ名とグループの範囲および種類を指定する。Directoryユーザーとコンピュータ]管理ツールを利用する。グループを作成したいOUで右クリックし、ポップアップ・メニューから[新規作成]−[グループ]を選択する。(1)グループ名を入力する。Directoryではグループ名は後から変更することもできる。(2)グループの範囲(有効範囲とメンバーの範囲が各種異なる)とグループの種類を選択する。(3)セキュリティ設定用グループでは、[グループの種類]として[セキュリティ]を選択する。Serverなどで使用する。これらのグループをどのように利用するかについては、各グループの利用目的に注目してほしい。グローバル・グループとユニバーサル・グループはユーザーをまとめるために利用されるが、ドメイン・ローカル・グループだけはセキュリティ設定のために利用される。ドメイン・ローカル・グループはセキュリティの設定単位で作成していくことになる。「営業部フォルダ読み取りグループ」といったドメイン・ローカル・グループを作成しておき、そのグループに対して、営業部が使用するフォルダに対する読み取りアクセス許可の設定を行う。このような単位で作成すると、それぞれのグループがどのような権限を持っているのかが分かりやすくなる。組織では、それぞれの組織構成(それぞれの部門や部署)により、どんな作業をするのか、どんなファイルをどこに格納するのかが決まっていることが多い。従って、それぞれの組織(部門や部署)単位にグローバル・グループでユーザーをまとめておくとよいだろう。組織や部門ごとに構成されたグローバル・グループを、先にセキュリティ設定をしたドメイン・ローカル・グループに所属させるだけで、その組織(部署)に所属しているユーザーが適切な権限をもってファイルやフォルダにアクセスできるようになる。セキュリティ設定の流れ(ドメイン内での構成)グローバル・グループはユーザーをまとめるために使用し、(リソースに対して)セキュリティを設定するためにはドメイン・ローカル・グループを使用する。(1)ユーザーをグローバル・グループに追加し、複数のユーザーに対して同じセキュリティ設定を簡単に適用できるようにする。(2)ある特定のリソースへのアクセス権をドメイン・ローカル・グループで制御する。このドメイン・ローカル・グループに含まれるグループ(やユーザー)のみがリソースへアクセスできる。(3)ドメイン・ローカル・グループに対して特定のリソースへのアクセス権を与える。リソースの側から見ると、特定のドメイン・ローカル・グループからのアクセスだけを許可すればよい。以上は、ドメイン・ローカル・グループとグローバル・グループに関する説明である。ユニバーサル・グループはどのような場面で使うのかという疑問がわいてくるだろう。これについては、先ほどの表のうち、グローバル・グループに含むことができるメンバーとユニバーサル・グループに含むことができるメンバーに注目していただきたい。メンバーの範囲が異なることが分かるだろう。ドメインをまたがる組織化を行いたい場合にはユニバーサル・グループを利用するということだ。Directoryを構成している場合には、ネイティブ・モードであってもユニバーサル・グループを利用する必要はない。グループ・オブジェクトは、次のようなケースでは作成する必要はない。管理者ならば経験したことがあるだろうが、長い間ドメインを運用していると、メンバーの追加や削除を繰り返すうちに、メンバーが1人もいないグループや、何もセキュリティ設定をしていないグループなどができてしまうことがある。そのようなグループは必要ないので、定期的に整理することも考える必要がある。localgroup」コマンドを利用すれば、ある特定のグループに属しているメンバーの一覧を出力させることができる。定期的にグループのメンバーを確認するときに利用するとよいだろう。メールマガジンをご購読ください。申し込みページへITmediaはアイティメディア株式会社の登録商標です。