ADのユーザーアカウントを整理するために、Microsoftが推奨するセキュリティモデル

　この図はリソースへのアクセスを目的として、ADのユーザーアカウントを編成するMicrosoft推奨の方法を示している。

　アカウント、グローバル、ドメインローカル、アクセス許可をまとめたAGDLP（Account、Global、Domain Local、Permission）モデルは、次の手順で進める。

• 部門や所在地などのビジネス条件を基に、ユーザーをグローバルグループに編成する。
• 同じリソースアクセス要件を基に、適切なグローバルグループをドメインローカルグループに配置する。
• リソースへのアクセス許可をドメインローカルグループのみに許可する。

　このモデルが2つの異なるスコープをどのように使うのか注意する必要がある。グローバルグループは、ADのユーザーをドメインレベルで編成する。これに対して、ドメインローカルグループは、ファイルサーバやプリントサーバなど、アクセスレベルでグローバルグループを編成する。

ロールベースアクセス制御の原則を採用する

　ロールベースアクセス制御（RBAC）では、職務に基づいてグループにアクセス許可を与える。例として、ネットワークプリンタへのアクセスについて考えてみよう。

• ほとんどのユーザーには、自身の印刷ジョブを送信、管理する機能しか必要ない。
• 一部のユーザーには、印刷キュー全体を管理する特権が委任されている。
• 限られたユーザーが、プリンタのハードウェアとソフトウェアへの完全な管理アクセス権を持つ。

　RBACの役割（ロール）を事前にADへ設定すると作業が効率的になる仕組みをMicrosoftは提供している。例えば、ドメインネームサービスの役割をインストールすると、ADにサブ管理グループが幾つか作成される。

　担当者は事前に作成されているグループを利用するのではなく、ユーザーの役割の分布状況や、グローバルグループやドメインローカルグループの設計方法を考えた方がよい。そして、グローバルグループはビジネスルールに従って、ドメインローカルグループはアクセスロールに基づいた編成を試みるべきだろう。

　グローバルグループは、IT、財務、法務、製造、人事など、事業部門ごとに定義できる。ドメインローカルグループは、具体的な職務に基づいて用意できる。例えば、印刷キューの管理者、印刷のユーザー、ファイルアクセスの管理者、ファイルを読み取るだけのユーザー、レポートの作成担当者、データベースの開発担当者などが考えられる。

　ADを編成する際の目標は、ユーザーの役割の分布とそのリソースアクセス要件を完全かつ正確に表現することだ。同時に、グローバルグループとドメインローカルグループの数をできるだけ少なくして管理の作業負荷を軽減しよう。