ADドメインは、Active Directory内に保持されるオブジェクトの論理的なグループだ。オブジェクトとは、ユーザー、コンピュータ、または組織単位（OU）などの最小単位を指す。ドメイン内のオブジェクトは、管理ポリシーやセキュリティ設定、保護動作を共有し、通常は同じネットワーク内に配置される。企業は多数のドメインを設定でき、IT担当者はドメイン内のオブジェクト管理を担う。

　ADドメインの集合は「フォレスト」と呼ばれる。ドメインとフォレストはActive Directoryの論理構造の基礎を形成する。フォレストはこの構造のセキュリティ境界として機能する。ドメインをフォレスト内に構造化することで、データとサービスの独立性を確保できる他、論理構造を使用してデータを「区分化」し、アクセスを制御することもできる。

ADドメインはどのように機能するか

　ドメインは、Active Directoryが管理するオブジェクトまたはリソースの論理的なグループを表すラベルやカテゴリーだ。ドメインは通常、長期間維持され、めったに変更されないため、ほとんどの企業管理者はドメインを頻繁に作成することはない。ただし、企業が成長し、組織の要求が進化するにつれて、定期的に新しいドメインの追加が必要になってくる可能性がある。例えば、オフィススイート「Microsoft 365」を採用している企業は、Active Directoryに代替UPNサフィックス（デフォルトとは異なるドメイン名でのログインを可能にするドメイン名）を設定する必要がある場合がある。

　代替UPNサフィックスを追加することで、Microsoft 365をはじめとするクラウドサービスへのログイン時に、デフォルトのドメイン名とは異なるドメイン名を使用できるようになる。代替UPNサフィックスを追加してもユーザーの操作には影響せず、必要に応じて新しいユーザーアカウントやオブジェクトに適用できる。

ADドメインは何に使われるのか

　Active Directoryは基本的に、企業ネットワーク全体のユーザーとネットワークリソース（サーバやストレージなど）についての全ての関連情報を保持するために設計されたデータベースだ。Active Directoryは、これらのネットワークリソースを、DNS（ドメインネームシステム）と連携してネットワークアドレスに関連付けるディレクトリサービスを提供し、情報をネットワーク全体で確実に利用できるようにする。正当なユーザーだけがネットワークにアクセスできるようにする認証や、正当なユーザーが権限を持つリソースにのみアクセスできるよう保証する許可などのセキュリティも、Active Directoryが処理する。

　Microsoftの「Active Directoryドメインサービス」（以下、AD DS）は、ディレクトリデータを保存し、管理者が利用できるようにする方法を提供する。このデータには、名前やパスワードなどのユーザーアカウントデータが含まれる場合がある。AD DSは Windows ServerのOSの一部として提供される。

Active Directoryでドメインを管理するツール

　「Active Directoryドメインと信頼関係」は、ドメインとActive Directoryを管理するために利用できるツールの一つだ。管理者は「Microsoft Management Console」（MMC）を使用して、ドメイン信頼、機能レベル（ドメインとフォレスト）、UPNサフィックスを管理することができる。

　Microsoftが提供するその他のAD管理ツールは、「Remote Server Administration Tools」（RSAT）を使用してインストールできる。そうしたネイティブAD管理ツールには、以下のようなものがある。

• Active Directory Administrative Center（ADAC）
  • 複数のバージョンのWindows Serverで利用できるツールで、フォレスト全体の複数のADドメインの管理を簡素化する。
• Active Directory サイトとサービス。
  • 大規模なマルチサイトネットワークでサイトと関連コンポーネントを管理するための Microsoft MMCスナップイン（MMCでホストされるツール）を含む管理ツール。
• Active Directoryユーザーとコンピューター（ADUC）
  • パスワード変更、ユーザーアカウントのリセット、OU（組織単位）の作成（または削除）、オブジェクト制御の委任など、ADオブジェクトに関連するさまざまなタスクを管理するためのMMCスナップイン。
• Active Directoryサービスインタフェース（ADSI）
  • ADの編集（アイテムの作成や変更など）、属性の操作、ADオブジェクトプロパティに関連する問題のトラブルシューティングを行うツール。
• Windows PowerShell用Active Directoryモジュール
  • コマンドレットのグループを統合してADドメインを管理するモジュール。

Active Directoryとドメインコントローラーの比較

　全てのActive Directoryドメインには、AD DSソフトウェアとWindows Server OSのバージョンを実行する従来のコンピュータサーバである「ドメインコントローラー」（DC）が必要だ。ドメインコントローラーは、Active Directoryに保存されているデータの認証、認可、ポリシー管理、グループ管理のための処理を担う。ドメインコントローラーは、フォレスト内の全てのドメインの主要な属性をグローバルカタログ（GC）に保存してグローバル検索を可能にする。このDCはグローバルカタログサーバと呼ばれる。

　ドメインコントローラーはミッションクリティカルなビジネスリソースである点に留意することが重要だ。ドメインコントローラーサーバやデータベースに障害が発生すると、ユーザーはネットワークとそのリソースにアクセスできなくなる可能性がある。組織は通常、ネットワークトラフィックの負荷を共有し、運用のレジリエンス（障害発生時の回復力）を提供するために、2つ以上のドメインコントローラーを連携させて実行する。ドメインコントローラーはそれぞれADデータベースのコピーを保持しており、レプリケーション（複製）によって自動的に同期されるため、あるドメインコントローラーでディレクトリに加えられた変更は他のドメインコントローラーにも複製される。

　次回は、Active Directoryの構造を解説する。