ずさんな管理はセキュリティリスクに発展
Active Directoryで前任者が残した「交通渋滞」を整理する方法（1/2 ページ）
「Active Directory」のグループ構成など、前任の管理者が行った作業の後始末をしなければならないことがIT分野ではよくある。本稿はその後片付けのコツを紹介する。
まずは前任者が残した「渋滞」を整理することから？
前任の管理者がよく考えずに設定した「Active Directory」（以下、AD）を引き継ぐことがある。それは、もしかしたらユーザーのことを考えていない設定になっているかもしれない。もし管理者がADの組織とグループを首尾一貫した方法で整理していれば、管理が容易になり、管理者の仕事はシンプルになる。
本稿では、AD管理者の作業効率を上げ、セキュリティコンプライアンス責任者をサポートするための実用的なヒントと手法を紹介する。
併せて読みたいお薦め記事
Windows Server 2016から読み解くActive Directry
- Windows Server 2016の新機能をチェックする――Active Directory管理編
- Windows Server 2016評価版をインストールする――Active DirectoryでDNSの設定編
- Windows Server 2016評価版をインストールする――Active Directory設定編
アクセス管理の最適解は？
Active Directoryの従来の設計パターン
必ず、個々のユーザーアカウントをグループに編成することから始める。個別のユーザーアカウントにアクセス許可を与える手法には拡張性がないため、避けるべきだ。
ADのユーザーアカウントを整理するために、Microsoftが推奨するセキュリティモデル
この図はリソースへのアクセスを目的として、ADのユーザーアカウントを編成するMicrosoft推奨の方法を示している。
アカウント、グローバル、ドメインローカル、アクセス許可をまとめたAGDLP（Account、Global、Domain Local、Permission）モデルは、次の手順で進める。
- 部門や所在地などのビジネス条件を基に、ユーザーをグローバルグループに編成する。
- 同じリソースアクセス要件を基に、適切なグローバルグループをドメインローカルグループに配置する。
- リソースへのアクセス許可をドメインローカルグループのみに許可する。
このモデルが2つの異なるスコープをどのように使うのか注意する必要がある。グローバルグループは、ADのユーザーをドメインレベルで編成する。これに対して、ドメインローカルグループは、ファイルサーバやプリントサーバなど、アクセスレベルでグローバルグループを編成する。
ロールベースアクセス制御の原則を採用する
ロールベースアクセス制御（RBAC）では、職務に基づいてグループにアクセス許可を与える。例として、ネットワークプリンタへのアクセスについて考えてみよう。
- ほとんどのユーザーには、自身の印刷ジョブを送信、管理する機能しか必要ない。
- 一部のユーザーには、印刷キュー全体を管理する特権が委任されている。
- 限られたユーザーが、プリンタのハードウェアとソフトウェアへの完全な管理アクセス権を持つ。
RBACの役割（ロール）を事前にADへ設定すると作業が効率的になる仕組みをMicrosoftは提供している。例えば、ドメインネームサービスの役割をインストールすると、ADにサブ管理グループが幾つか作成される。
担当者は事前に作成されているグループを利用するのではなく、ユーザーの役割の分布状況や、グローバルグループやドメインローカルグループの設計方法を考えた方がよい。そして、グローバルグループはビジネスルールに従って、ドメインローカルグループはアクセスロールに基づいた編成を試みるべきだろう。
グローバルグループは、IT、財務、法務、製造、人事など、事業部門ごとに定義できる。ドメインローカルグループは、具体的な職務に基づいて用意できる。例えば、印刷キューの管理者、印刷のユーザー、ファイルアクセスの管理者、ファイルを読み取るだけのユーザー、レポートの作成担当者、データベースの開発担当者などが考えられる。
ADを編成する際の目標は、ユーザーの役割の分布とそのリソースアクセス要件を完全かつ正確に表現することだ。同時に、グローバルグループとドメインローカルグループの数をできるだけ少なくして管理の作業負荷を軽減しよう。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社うるる] 「入札市場」攻略ガイド：効率的に落札するためのポイントを徹底解説 -
製品資料
[株式会社うるる] 入札情報に特化した「販路拡大」「効率化」のためのサポートツールとは？ -
市場調査・トレンド
[株式会社うるる] 公共入札に成功する企業と失敗する企業の「5つの違い」 -
製品資料
[日本ビジネスシステムズ株式会社] 専門家が教える、Microsoft 365の「テナント統合／分離」を成功に導く秘訣 -
製品資料
[rakumo株式会社] Microsoft 365での情報埋没を防ぐ、社内ナレッジを資産化する情報ポータル活用
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
「Microsoft 365」が乗っ取られる MFAを破る“本物の画面”の恐怖
-
2
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
3
PHP脆弱性「PHP2Shell」で2260万件に影響 情シスの緊急チェックリスト
-
4
「テザリング依存」に潜む落とし穴 “遅いVPN”を解消するネット構築術
-
5
「Windows」の不要なファイルを安全に消して容量を空ける方法
-
6
「IT運用・情報システム業務」に関するアンケート
-
7
Claude利用8割のGMO、AI人材の評価軸が「トークン管理」に変わった
-
8
AI導入が失敗する“真犯人”は現場のマニュアル 7割が陥る「標準化」のわな
-
9
被害額は過去最高額 それでも「サイバー犯罪者が捕まらない」3つの理由
-
10
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
ホワイトペーパーランキング PR
-
1
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
2
2026年のサイバーセキュリティには何が必要か？ 最新データに学ぶ傾向と対策
-
3
経験豊富な即戦力人材に直接アプローチできる、「攻めの採用」への転換術
-
4
「IT史に名を残すシステム障害」8選
-
5
最速72分でデータが流出？ 最新の脅威トレンドや侵入手法から分かった防衛策
-
6
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
7
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
-
8
AI駆動開発のスピードと安全性を両立 「品質・セキュリティ管理」の実践ガイド
-
9
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
-
10
「標的型攻撃メール」事例・サンプル集
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー