VPN接続ができないといった経験はないでしょうか。Plusを使用した場合のパスワードリセットにかかる時間について紹介いたします。紙ベースでの申請・問い合わせがおこなわれます。この問い合わせこそ、もっとも時間がかかります。1点が、実際にリセットを実行するヘルプデスク担当者や管理者のおこなうリセット作業の時間です。以下の実行手順の場合、2分弱の時間を要します。スキーマ]を起動します。スキーマ]を右クリックして、[操作マスター]をクリックします。表示されているサーバーが現在スキーママスタの役割を持つサーバーです。ドメインやフォレスト内には、いくつかの特別な役割を持ったドメインコントローラーが存在しており、このようなドメインコントローラーは、「FSMO」や「操作マスター」と呼ばれます。複数のドメインコントローラーが存在するドメインで特定のユーザーのパスワードが変更された場合、全てのドメインコントローラーに変更情報が行きわたるまでに時間が掛かる場合があります。すると、変更情報がまだ届いていないドメインコントローラーからユーザーがログオンしようとした場合、パスワードが間違っていると判断され、ユーザーがログオンできないという状態になってしまいます。Directoryではパスワードが変更された際、まず特別な役割を持つドメインコントローラーに情報を伝えます。ドメインコントローラーとユーザーの入力した認証情報が異なる場合、特別な役割をもつドメインコントローラーに問い合わせを行うことで、ユーザーがログインできる、という仕組みなのです。具体的に特別な役割をもつドメインコントローラーというのが何なのか、ご紹介していきます。操作マスターには5つの種類があり、さらに以下の2つに分けられます。Server2012から導入された「ダイナミックアクセス制御」についてご紹介していきたいと思います。ここでさらに、複数部署の課長クラス以上のみにアクセス許可を与える場合はどうでしょう。新しくセキュリティグループを設定するという手段もありますが、毎回セキュリティグループを作成して設定を行っていては、管理が大変になってしまいます。Server2012の新機能である「ダイナミックアクセス制御」を使用するにより、従来の制御方法に加えて属性によるアクセス制御の設定が可能になります。Directoryのアクセス制御機能についてご紹介します。システム上には、さまざまな共通リソースが存在しているかと思います。そのようなWindowsの共通リソースに対して、誰でも好き勝手にアクセス出来てしまったら、社内セキュリティ上問題があります。(アクセス制御リスト)」機能を使用して、リソースに対するアクセスの有無をあらかじめ設定することにより、適切なユーザーやグループのみがリソースにアクセスできるように、管理を行うことが可能です。アクセス制御リストの設定方法について記載する前に、まず、関連用語をご紹介していきたいと思います。システム上のセキュリティ向上を目的とした機能で、対象リソースに対するアクセス権利の有無を設定します。「DACL」と「SACL」の2種類があります。今回はユーザーアカウントと並んで欠かすことのできない要素である、「グループアカウント」についてご紹介します。プリンターや共有フォルダといったリソースに対するアクセス許可を設定するとき、ユーザー一人ひとりに対して設定を行っていては大変時間がかかってしまいます。そこで登場するのが「グループアカウント」です。グループアカウントを活用することで、アクセス許可を効率よく設定することが出来ます。グループアカウントには、以下の2種類があります。リソースに対するアクセス許可の設定が可能です。電子メールアドレス属性を設定することで、電子メールの宛先として利用することが出来ます。電子メールの宛先としてのみ使用が可能です。(アクセス許可の設定で使用することは出来ません。配布グループではなくセキュリティグループの方を作成する必要があります。ドメイン内には多くのOUが存在しており、さらに各OUには多くのユーザーやグループといったオブジェクトが存在しています。そんなOUに対する管理変更(パスワードリセットやユーザー作成や削除など)を、ドメイン管理者が全て行っている場合、ドメイン管理者の負担は大変大きくなりがちです。Directoryの機能の一つである「制御の委任」を行うことにより、OU単位で、特定の管理作業だけを任せることができるようになります。Directory内の管理作業を分担することが出来るため、ドメイン管理者の負担を軽減することが可能です。今回はセキュリティ管理者にとって、特に負担が大きくなりがちな「パスワードリセット」の権限委任を例に、委任の設定方法をご紹介していきたいと思います。Directoryユーザーとコンピュータ」を起動します。2.制御の委任を行うOUを右クリックして、「制御の委任」を選択します。3.「オブジェクト制御の委任ウィザード」が起動します。4.[追加]ボタンをクリックして、権限委任を行うユーザーまたはグループを選択します。(今回は[委任するカスタムタスクを作成する]を選択します。制御を委任できる共通タスクは次の通りです。今回はグループポリシーで設定できるポリシーの中でも、特にセキュリティに深く関係している「アカウントポリシー」について説明していきます。セキュリティ設定の一つで、パスワードとアカウントロックアウトに関するポリシーを指します。パスワードの有効期間や、アカウントロックアウトの回数などを設定できます。[コンピューターの構成]->[ポリシー]->[Windowsの設定]->[セキュリティの設定]->[アカウントポリシー]から設定します。この「パスワードポリシー」と「アカウントロックアウトのポリシー」を社内ルールに基づき正しく構成することにより、ドメイン内のセキュリティ設定を強化することができます。アカウントポリシーはドメインに対してのみ適用されます。アカウントポリシーを定義したGPOを作成し、サイトやOUにリンクしたとしてもドメインユーザーには適用されません。以下ではアカウントポリシーの構成について詳しく解説していきます。Directoryのグループポリシーについて説明してきます。Directoryが提供している機能の一つであり、ドメインに所属するコンピューターの使用環境を制限することが可能となっています。近年、大企業の顧客情報流出など、セキュリティ関係の事件が増加しています。情報が流出する経路や要因は様々あり、ネットワークを介して流出するケース、あるいは盗難や紛失による物理的な要因などが挙げられます。ネットワークから流出するケースとしては、例えば特定の社員に対してコンピューターウイルスを添付したメールを送信する「標的型サイバー攻撃」や、辞書などに掲載されている単語を組み合わせて、パスワードなどを推測する「辞書攻撃」などがあります。それらの攻撃は、企業の規模の大小に関係なく、常に攻撃の標的となる危険があるのです。万が一、そのような攻撃にあり情報流出などの事件が起きた場合、企業は社会的な信頼を著しく失うことになり、最悪倒産につながります。そのような惨事を未然に防ぐため、多くの企業は、何かしらの対策を打っているのではないかと思います。Directoryにおける対策の一つとして、用意されている機能が「グループポリシー」です。グループポリシーを使用するメリットは2つあります。1つ目は、上で述べたように、使用環境を制限することによるセキュリティ面の強化です。2つ目は、コンピューターを、より便利に、より効率よく使用するための環境が設定可能という点です。プリンタの場合、通常はパソコンを起動し、ログオンした時点ではプリンタの設定は行われていないので、ユーザーが各自でプリンタを追加する必要があります。管理者が予め使用して欲しいプリンタをグループポリシーで定義することにより、ドメインに所属するユーザーはログオン後、すぐにプリンタを使用することが可能になるのです。このようにユーザー一人ひとりがプリンタを追加する必要がないというのは、作業の効率化にもつながりますね。グループポリシーを使用することで様々なルールや制限を定義することが出来ますが、一つ一つのルールや制限のことを「ポリシー」といい、さらにポリシーの集合体を「グループポリシーオブジェクト(GPO)」と呼びます。GPOは作成しただけではユーザーやコンピューターにルールや制限が適用されません。作成したGPOを適用対象に「リンク」させることにより、初めてグループポリシーが対象に適用されるのです。ここでいう「リンク」とは、グループポリシーの適用対象に対するGPOの関連付けをいいます。DirectoryにおけるDNSの役割についてご紹介していきます。DNSとは、FQDNとIPアドレスの対応付けを行う、つまりIPアドレスをホスト名に変換する名前解決サービスです。コンピューターがTCP/IP通信を行う際、接続先コンピューターのIPアドレスで通信相手を特定しています。数字の羅列であるIPアドレスは人間にとって覚えづらく、人間にとって親しみやすい文字や記号の並びを使用してアクセスできるようにする仕組みが必要になりました。DNSにはFQDN(ホスト名+DNSドメイン名)が登録されています。test.localというDNSドメインに所属するdemo-adというコンピューターには、FQDNとして「demo.ad.test.local」が登録されています。DNSはそのFQDNをIPアドレスに変換、あるいはIPアドレスをFQDNに変換する役割をもちます。ユーザーが「demo.ad.test.local」と指定すると、コンピューターはDNSにそのFQDNのIPアドレスを問い合わせ、DNSサーバーはDNS内に登録されている情報から検索を行い、IPアドレスを返してくれます。この仕組みによりユーザーはIPアドレスをいちいち覚える必要がなく、FQDNを指定することで通信を行うことが可能となっています。Directoryのドメイン階層は、そのままDNSドメインの階層として登録されます。このようにドメインに参加しているコンピューターのIPアドレスとホスト名はDNSドメインに自動的に登録されるのです。