この一連のブログを書き始めて、改めて「よく知らない」ことを知らされる感じです。2008までのドメインの機能レベルについては「こんなこともあるのか...」と今更のように驚かされるばかりです。精進していきたいと思います。2012で追加された機能は1つ。説明文には長々と書いてあったのですがタイトルらしきものがなかったので勝手に付けました。Kerberos防御この機能自体の制御はグループポリシーの管理テンプレートにあります。既定は「無効」と同じです。Control)です。詳細についてはMSの安納さんのブログ記事にかなり詳細かつ分かりやすい内容があります。2012で追加された機能に合わせて機能拡張を行なっているような感じです。今までセキュリティグループでしかアクセス制御ができなかったことを考えると、ユーザーやデバイスの属性を使用してアクセス可否を制御できるのは画期的だと思います。Directory自体はどちらかと言うと認証(Authentication)に重きを置いていて、承認(Authorization)についてはあまり力点を置いていなかったように思います。ログオンの認証はするけど、ファイルサーバーなどリソースにアクセスするためにADから提供される情報は各ユーザーが所属するセキュリティグループくらいで、それ以外の属性はあまり積極的に活用してこなかったように思います(氏名、メールアドレス、電話番号くらい?)。上記のような機能を効率よく使用していくために、属性をしっかりと割り当ててやる必要があります。FIMなどのID管理製品と上手く連携していくことを意識しないといけないかもしれないですね。2003(上)こんにちは。