Directoryを運用する際に、ぜひ知っておきたい用語について解説。ドメイン/ツリー/フォレスト/信頼関係/スキーマ。Serverを対象とした連載です。2003向けの連載は以下のリンクから参照できます。Directoryの実際の導入に入る前に、ぜひ知っておきたい重要な用語について解説しておく。Directoryを構築するときに注意すべきポイントも記しておいたので、実際に導入する場合にも参考にしていただきたい。Directoryの論理構造の基本単位を「ドメイン(domain。領域とか範囲という意味)」という。NTの場合と大きな違いはない。「同じディレクトリ・データベースを共有する範囲」である。言い換えると、同じドメインのすべてのサーバは、そのドメインのユーザーを正しく識別し、そのサーバが持つリソースへのアクセスを提供することができる。ドメイン構造ドメインとは、同じディレクトリ・データベースを共有する範囲であり、ドメイン全体に対して統一されたセキュリティ設定を適用することができる。ドメインに登録されたコンピュータは、ドメインに登録されたユーザーを正しく認識し、各サーバの持つリソースへのアクセスを提供できる。ドメインには共通の「セキュリティ・ポリシー」が設定される。セキュリティ・ポリシーとは、例えばユーザーのパスワードの文字数(文字数が少ないとパスワードが破られやすいので、ある文字数以上に強制する)や変更禁止期間(変更禁止期間がないと、ユーザーがすぐに元のパスワードに戻せてしまうため、変更を強制する意味がなくなってしまう)、最大有効期間(同じパスワードを長く使い続けるのは望ましくないので、ある期間ごとにパスワードの変更を強制する)などの原則となる「ルール」のことである。これらのポリシーは、ドメイン単位でしか設定できないため、ドメインの範囲はセキュリティの境界ともいえる。controller)」と呼ぶ。Directoryドメインをインストールする場合、1台以上のドメイン・コントローラが必要となる。Editionはドメイン・コントローラにはなれない)。ドメイン・コントローラの最大の目的は「認可(Authorize)」と「認証(Authentication)」を行うことである。認可とは、ユーザーとコンピュータをディレクトリ・データベースに登録する作業であり、認証とは、そのデータベースに基づいて正当な利用者かどうかを判定する作業である。認可されたユーザーが、認証を受けて、初めてドメイン内のリソースを利用できるようになる。これをつかさどるのがドメイン・コントローラの役目である。Directoryドメインは、ただ1台のドメイン・コントローラがあれば構築できるが、複数台のドメイン・コントローラがあれば、フォールト・トレランス(耐障害性。システムの一部に障害が発生しても、処理を続けることができる機能や性能のこと)や負荷分散が実現できる。通常は、最低でも2台、できればネットワークの拠点ごとに1台以上のドメイン・コントローラを配置しておきたい。ドメイン・コントローラは、ログオン時やサーバへのアクセス時など、ひんぱんに利用されるからだ。複数のドメイン・コントローラがある場合、ドメイン・コントローラが持っているディレクトリ・データベースは、自動的にほかのドメイン・コントローラへ複製されるようになっている。Directoryデータベースに格納し、ログオン認証要求があれば、ユーザー名やパスワードなどの情報がデータベース内の情報と一致しているかどうかを調べるという認証作業を行い、それにパスすればドメインへの参加を許可する。Directoryドメインの階層構造を意味している。Directoryのドメイン階層はDNSの名前階層を流用するため、DNSの規則に従って階層を構成する。子ドメインは親ドメインの名前を継承する。このとき、ツリーに参加するすべてのドメイン間には双方向の推移する信頼関係が結ばれる。実際にドメイン・ツリーを作成する場合は、必ずツリーの末端にドメインを追加する必要がある。親(上位)ドメインを後から追加することはできない。ドメインのツリー構造ドメイン・ツリーは、DNSの名前付け規則に従って、階層的に構築される。1つの親ドメインの下に、(1つ以上の)子ドメインを置き、これを繰り返して連続的なDNS名前空間を構成する。同じツリーに参加するドメインは必ず親ドメインの名前を継承する。同じドメイン・ツリーに属するドメイン間には双方向の推移する信頼関係が結ばれるため、ほかのドメインの資源へのアクセスも提供される。フォレスト「フォレスト(forest。Directoryにおける最も大きな管理単位である。組織内に異なる名前空間にしたいドメイン・ツリーが複数あり、それぞれのドメイン・ツリーから別ツリーのドメインの資源にアクセスするには、ドメイン間に信頼関係を結ぶ必要がある。それぞれのドメイン・ツリーのルート・ドメインが同じフォレストに参加するようにインストールすれば、双方向に推移する信頼関係が結ばれる(単一フォレスト複数ツリー)。そのため、ユーザーはフォレストに参加するすべてのドメインの資源へアクセスが提供されるようになる。Directoryにおける最も大きな管理単位である。同じフォレストに参加するようにドメイン・ツリーをインストールすれば、双方向に推移する信頼関係が結ばれ、ユーザーはフォレストに参加するすべてのドメインの資源へアクセスできるようになる。同じドメイン名を継承したくない場合には、別の名前階層を定義できるが、フォレストに参加することにより推移する信頼関係が結ばれ、同じグローバル・カタログが利用できるため、組織全体の検索機能が提供される。Directoryをインストールすると、フォレストが1つ構成されたことになり、1台目のドメイン・コントローラは“フォレスト・ルート・ドメイン”を構成する。Directoryデータベースの初期値を生成する非常に重要なドメインであり、それ以降にインストールするドメインはすべてフォレスト・ルート・ドメインを基準に構成される。フォレストには特別な名前はない。単一ツリーなら、ツリーの最上位のドメインがフォレスト・ルート・ドメインであることは明確だが、複数のツリーがある場合、フォレスト・ルート・ドメインの判別は難しい。Adminsグループが登録されたドメインを探せばよい。このグループを持つドメインがフォレスト・ルート・ドメインである。フォレスト・ルート・ドメイン一番最初にインストールしたドメイン・ツリーがフォレスト・ルート・ドメインとなる。2番目以降のドメイン・ツリーは、フォレスト・ルート・ドメインを指定してインストールする。するとそれぞれのドメイン・ツリー間で双方向に推移する信頼関係が結ばれる。マルチ・ツリーのフォレストでは、パッと見ただけでは、どれがフォレスト・ルート・ドメインか判断できない。フォレストに参加させたいドメインをインストールするときには、フォレスト・ルート・ドメインを指定するため、管理者はどのドメインがフォレスト・ルート・ドメインかを知っておく必要がある。Admins」グループが存在する。このグループは、ほかのツリーのルート・ドメインには存在しない。Directoryの操作範囲はフォレスト内に限られるため、可能な限り単一フォレストで運用すべきである。Directoryを構成すると、グローバル・カタログ(GC。後編で解説)も分かれてしまい、組織全体の検索ができなくなってしまう。Directoryフォレストの設計は非常に重要な作業となる。メールマガジンをご購読ください。申し込みページへITmediaはアイティメディア株式会社の登録商標です。