Active Directory Domain Services（AD DS）のグループを使うと、ユーザーを部署・役割ごとにまとめ、共有フォルダーなどのアクセス許可を管理しやすくなります。本記事では、グループの種類・スコープの選び方と、「Active Directoryユーザーとコンピューター」での作成・メンバー追加を説明します。Microsoft Entra IDのグループとは管理画面が異なります。
掲載画像は2018年当時の操作例です。現在の環境では表示名などが異なる場合があります。グループ作成やメンバー追加はアクセス権に影響するため、管理者の承認を得た検証用OU・グループで確認し、対象OUの管理を委任されたアカウントを使ってください。Domain Adminsなどの強い権限を作業のためだけに付与する必要はありません。
グループアカウントとは？（活用のメリット）
ここでいう「グループアカウント」は、ユーザー・コンピューター・別のグループをまとめるAD DSのグループです。グループ自体でサインインするためのユーザー名・パスワードを作るものではありません。
下の絵を見てください、グループ１がグループアカウントです。ユーザーA～Dはグループ１に所属していることになります。
グループアカウントのメリットです。
共有フォルダのアクセス権限を設定する場合を想定します。
「グループアカウントが無い場合」だとユーザーA～Dを全て登録する必要があります。また、対象ユーザーが増えた場合は都度追加をしていかなくてはなりません。
「グループアカウントがある場合」では、アクセス権限にグループ１のみ追加すれば良いわけです。
これが、グループアカウントを活用するメリットです。楽なんです。
グループアカウントの作成方法
グループアカウントの作成方法を説明していきます。
まずは、Active Directoryの「Active Directoryユーザーとコンピューター」を開きます。
グループアカウントを作成したいOUで右クリックをして、新規作成 ⇒ グループ を選択します。
グループ名を入力してください。
【グループの種類】共有フォルダーなどへのアクセス許可に使う場合は「セキュリティ」を選びます。「配布」はメール配布用で、リソースのアクセス許可に使うDACLへは登録できません。
【グループのスコープ】「誰をメンバーにできるか」と「どの範囲のリソースに許可を付けられるか」を分けて判断します。すべてグローバルに統一すればよい、というものではありません。
- グローバル：同一ドメインのアカウント・グローバルグループをまとめる用途。許可の割り当ては同じフォレスト内や、信頼関係で認められる別ドメイン・フォレストでも可能です。
- ドメインローカル：複数ドメインから受け入れ可能なメンバーをまとめ、そのグループがあるドメイン内のリソースに許可を付ける用途。
- ユニバーサル：同一フォレストの複数ドメインのアカウントなどをまとめる用途。許可の割り当ては同一フォレストや信頼するフォレストにも及び得ます。
詳細な入れ子・信頼関係・変換条件は、Microsoftのグループスコープ表で確認してください。スコープの選択だけで、信頼関係やリソースのアクセス許可が自動作成されるわけではありません。
設計例は、ユーザーA～D → 部署のグローバルグループ → 共有フォルダーの読み取り用ドメインローカルグループ → 読み取り許可、という分担です。所属とリソースの権限を分けると、異動時の変更箇所を把握しやすくなります。既存の組織ルールと必要な権限範囲を優先してください。
この画面例では、同一ドメインのユーザーをまとめる検証用グループとして「グローバル」「セキュリティ」を選びます。用途が分かる名前と説明を付け、保存前に対象ドメイン・OUを確認します。
追加されました。
グループアカウントへのユーザー追加方法
グループアカウントへのユーザー追加方法は２パターンあります。以下の参考では、上記で作成した検証グループにユーザーAを追加します。
ユーザー追加パターン１（ユーザーのプロパティから追加）
追加したいユーザーのプロパティを開きます。「所属するグループ」タブを開きます。追加ボタンをクリックします。
追加先のグループ名とドメインを確認し、名前の解決結果が目的の検証グループであることを確認してOKをクリックします。
所属するグループに検証用グループが追加されました。
ユーザー追加パターン２（グループアカウントのプロパティから追加）
追加先のグループアカウントのプロパティを開きます。「メンバー」タブを開きます。追加ボタンをクリックします。（既に検証グループにユーザーBが登録されています。）
グループアカウントに追加したいユーザー（ユーザーA）を選択してOKをクリック
検証用グループにメンバーとしてユーザーAが追加されました。
追加後に確認すること
グループの「メンバー」とユーザーの「所属するグループ」で、直接の所属を確認します。グループを入れ子にした場合、これらの画面にすべての間接的な所属が展開されるわけではありません。新しい空のグループを作成しただけでは、共有フォルダーへの権限は付きません。既存の権限グループへ追加する場合は、入れ子の先を含む権限の範囲を先に確認してください。
確認には管理者ではなく対象のテストユーザーを使い、必要な操作だけ許可され、不要な編集・削除などが許可されていないかを確認します。Windowsのアクセストークンにはサインイン時のグループ情報が含まれるため、変更後は作業を保存してサインアウト・再サインインし、新しいセッションで確認することが基本です。ADの複製や接続先サービスのセッションにも左右されるため、追加直後の画面だけで反映完了と判断しないでください。
対象を誤った場合は、今回追加した所属を管理者の手順に沿って戻します。グループを丸ごと削除したり、アクセスできないことを理由にDomain Adminsへ追加したりせず、所属・スコープ・リソース側の許可を順に確認します。
コメント