ずさんな管理はセキュリティリスクに発展
Active Directoryで前任者が残した「交通渋滞」を整理する方法（1/2 ページ）
「Active Directory」のグループ構成など、前任の管理者が行った作業の後始末をしなければならないことがIT分野ではよくある。本稿はその後片付けのコツを紹介する。
まずは前任者が残した「渋滞」を整理することから？
前任の管理者がよく考えずに設定した「Active Directory」（以下、AD）を引き継ぐことがある。それは、もしかしたらユーザーのことを考えていない設定になっているかもしれない。もし管理者がADの組織とグループを首尾一貫した方法で整理していれば、管理が容易になり、管理者の仕事はシンプルになる。
本稿では、AD管理者の作業効率を上げ、セキュリティコンプライアンス責任者をサポートするための実用的なヒントと手法を紹介する。
併せて読みたいお薦め記事
Windows Server 2016から読み解くActive Directry
- Windows Server 2016の新機能をチェックする――Active Directory管理編
- Windows Server 2016評価版をインストールする――Active DirectoryでDNSの設定編
- Windows Server 2016評価版をインストールする――Active Directory設定編
アクセス管理の最適解は？
Active Directoryの従来の設計パターン
必ず、個々のユーザーアカウントをグループに編成することから始める。個別のユーザーアカウントにアクセス許可を与える手法には拡張性がないため、避けるべきだ。
ADのユーザーアカウントを整理するために、Microsoftが推奨するセキュリティモデル
この図はリソースへのアクセスを目的として、ADのユーザーアカウントを編成するMicrosoft推奨の方法を示している。
アカウント、グローバル、ドメインローカル、アクセス許可をまとめたAGDLP（Account、Global、Domain Local、Permission）モデルは、次の手順で進める。
- 部門や所在地などのビジネス条件を基に、ユーザーをグローバルグループに編成する。
- 同じリソースアクセス要件を基に、適切なグローバルグループをドメインローカルグループに配置する。
- リソースへのアクセス許可をドメインローカルグループのみに許可する。
このモデルが2つの異なるスコープをどのように使うのか注意する必要がある。グローバルグループは、ADのユーザーをドメインレベルで編成する。これに対して、ドメインローカルグループは、ファイルサーバやプリントサーバなど、アクセスレベルでグローバルグループを編成する。
ロールベースアクセス制御の原則を採用する
ロールベースアクセス制御（RBAC）では、職務に基づいてグループにアクセス許可を与える。例として、ネットワークプリンタへのアクセスについて考えてみよう。
- ほとんどのユーザーには、自身の印刷ジョブを送信、管理する機能しか必要ない。
- 一部のユーザーには、印刷キュー全体を管理する特権が委任されている。
- 限られたユーザーが、プリンタのハードウェアとソフトウェアへの完全な管理アクセス権を持つ。
RBACの役割（ロール）を事前にADへ設定すると作業が効率的になる仕組みをMicrosoftは提供している。例えば、ドメインネームサービスの役割をインストールすると、ADにサブ管理グループが幾つか作成される。
担当者は事前に作成されているグループを利用するのではなく、ユーザーの役割の分布状況や、グローバルグループやドメインローカルグループの設計方法を考えた方がよい。そして、グローバルグループはビジネスルールに従って、ドメインローカルグループはアクセスロールに基づいた編成を試みるべきだろう。
グローバルグループは、IT、財務、法務、製造、人事など、事業部門ごとに定義できる。ドメインローカルグループは、具体的な職務に基づいて用意できる。例えば、印刷キューの管理者、印刷のユーザー、ファイルアクセスの管理者、ファイルを読み取るだけのユーザー、レポートの作成担当者、データベースの開発担当者などが考えられる。
ADを編成する際の目標は、ユーザーの役割の分布とそのリソースアクセス要件を完全かつ正確に表現することだ。同時に、グローバルグループとドメインローカルグループの数をできるだけ少なくして管理の作業負荷を軽減しよう。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社MatrixFlow] 「物流リソース最適化」ガイド：人員・配車・傭車を出庫依頼の確定前に決めきる -
製品資料
[株式会社キーエンス] なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは -
製品資料
[株式会社セールスフォース・ジャパン] 「CRMは設計と無関係」は本当か？ PLMとの融合で実現する高速開発 -
事例
[日本ヒューレット・パッカード合同会社] AIエージェントの時代にどう備える？ 「新たな働き手」を支える3要素とは -
製品資料
[日本ヒューレット・パッカード合同会社] “横並びの自動化”から脱却、AI活用で生産性と競争力を高める秘訣
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
法務と開発者で「言葉が通じない」問題 トヨタやソニーが語るOSS管理の真実
-
2
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
3
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
4
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
5
肥大化した「SFA」の沼 4カ月でBigQuery×AppSheetの新システムを構築した方法
-
6
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
7
次世代RPA「ハイパーオートメーション」が急成長か Gartnerが予測
-
8
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
-
9
昭和大学病院がeICUを導入、ICUの患者情報を遠隔地で一括管理
-
10
「何から始めればいい？」 情報漏えい対策で悲鳴を上げる中小企業のリアル
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
3
プログラミング不要で誰でも実現できる、ネットワーク運用管理の自動化とは
-
4
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
5
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
-
6
LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント
-
7
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
-
8
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
-
9
“あのファイル転送”で暗躍するノーウェアランサム
-
10
「オンプレミス回帰」せざるを得ない“合理的な理由”
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー