Active Directoryについてまとめてみた

# はじめに
業務でWindwos ServerのActiveDirectrｙを構築する機会があったので調べてみました。

# 参考
[日経ITエンジニアスクール Active Directory 最強の指南書](https://www.amazon.co.jp/%E6%97%A5%E7%B5%8CIT%E3%82%A8%E3%83%B3%E3%82%B8%E3%83%8B%E3%82%A2%E3%82%B9%E3%82%AF%E3%83%BC%E3%83%AB-Active-Directory-%E6%9C%80%E5%BC%B7%E3%81%AE%E6%8C%87%E5%8D%97%E6%9B%B8-%E6%97%A5%E7%B5%8CNETWORK-ebook/dp/B01M0TW4C7/ref=sr_1_6?__mk_ja_JP=%E3%82%AB%E3%82%BF%E3%82%AB%E3%83%8A&keywords=windows+server&qid=1579601170&sr=8-6)

# Active Directoryとは
* Windowsサーバーが備えるITリソース管理機能。Windows 2000サーバーから導入された
* ユーザーに対してどの操作を許可するのかなどを定義してそのルールを各ユーザー、端末に適用する

# Active Directoryはなぜ必要なのか
https://www.atmarkit.co.jp/ait/articles/1404/11/news028.html


# 中心的な役割 ドメインコントローラ
クライアントパソコンやサーバー、ユーザー情報を登録したDBを持っている

## グループポリシーで強制的なルールの適用
グループポリシーでコンピューターやそのユーザーの設定を細かく制御できる

**ログイン時にドメインコントローラで一回認証すればあらかじめドメインコントローラに許可された範囲の複数のITリソースを利用可能になる**


## グループポリシー基本設定、グループポリシーオブジェクト
### グループポリシーオブジェクト(GPO)


### グループアカウント
複数のコンピュータ/ユーザアカウントを束ねたもの


### グループポリシーの適用範囲
* ドメイン、サイト、OUなど
* OUはドメインよりも小さい管理単位


# ドメイン、サイト、フォレスト
ADが管理のために作成される範囲

## フォレスト
複数のドメインが所属できる範囲
新規にActive Directoryをインストールすると、フォレストが1つ構成されたことになり、1台目のドメイン・コントローラは“フォレスト・ルート・ドメイン”を構成する

## ルートドメイン
https://news.mynavi.jp/itsearch/article/hardware/706

ドメインの階層、すなわちドメインツリーは、インターネットにおけるDNSドメインと同様の命名・表記ルールを使用している。そのため、階層ごとにピリオドで区切るようになっており、階層が深くなるほど、ピリオドで区切られたパートが左側に向かって増えることになる。

ドメインツリーの最上階層に位置するドメインのことを「ルートドメイン」という。たとえば、ルートドメインの名前が「ad-domain.company.local」となっていた場合、この下にサブドメイン(子ドメイン)を追加して階層構造を構成できる。そして、サブドメインとして「tokyo.ad-domain.company.local」や「sapporo.ad-domain.company.local」といったものを設置できる。さらに階層を深くすると、「chiyoda.tokyo.ad-domain.company.local」といった具合になる。

## NetBios名
https://windowsadmin.ebisuda.com/2009/02/10/netbios%E5%90%8D%E3%81%A8%E3%83%9B%E3%82%B9%E3%83%88%E5%90%8D%E3%81%AE%E9%81%95%E3%81%84/

Windowsネットワークもインターネット普及の流れに乗るためにTCP/IPを標準のプロトコルに採用します。時代の流れです。ですが、単純にTCP/IPに移行してしまうと今まで使っていたNETBIEUI+NETBIOSのAPIをつかったWindowsファイル共有やプリンタ共有が使えなくなってしまいますし、Windowsネットワークの特徴であった「とりあえず名前だけ決めておけば繋がる」という利点が失われてしまいます。

そこでマイクロソフトがとったのはTCP/IPの上でNETBIOSのAPIを使えるようにする、という戦略です。これをNETBIOS over TCP/IPといいます。TCP/IP上でNETBOISを使えるようにしたわけです。これにより、NETBIOSのアプリケーションそのままに、TCP/IPを使って複数セグメントに分かれた大規模なネットワークにも対応可能になりました。


 
このNETBIOS over TCP/IPの機能があるため、何も設定していない状態で「ping コンピューター名」に応答が返ってくるわけです。

## サイト
ドメインコントローラの同期が即時に反映される範囲。**通常はLANを一つのサイトに設定**

## ドメイン
できれば一つの組織(企業)一つ


##　コンピューターアカウントとユーザーアカウント
現実のコンピュータと人

**ドメインコントローラはこのコンピュータ&ユーザーはどのドメインのどのITリソースににどんなアクセス権限があるかあるかの情報を管理します**

# グループポリシー
https://www.atmarkit.co.jp/ait/articles/1501/29/news032.html

コンピュータやユーザーアカウントに対して管理者が定めたポリシーを強制的に適用する

グループポリシーの設定はドメインやOU（Organizational Unit：組織単位）に割り当てるため、ドメイン／OUに含めるユーザーやコンピューターを事前に整理しておくことも重要だ。
グループポリシーの設定で利用するのが、「グループポリシーの管理」ツール（Group Policy Management Console：GPMC）

### グループポリシーの設定と適用

先ほど例に挙げた「支社のユーザーには［コントロールパネル］を利用させたくない」という設定は、GPOで「コントロールパネルを使わせない」という設定を行い、リンクでGPOと支社のユーザーOUを関連付けることになる。

## ポリシー設定流れ
[日経ITエンジニアスクール Active Directory 最強の指南書](https://www.amazon.co.jp/%E6%97%A5%E7%B5%8CIT%E3%82%A8%E3%83%B3%E3%82%B8%E3%83%8B%E3%82%A2%E3%82%B9%E3%82%AF%E3%83%BC%E3%83%AB-Active-Directory-%E6%9C%80%E5%BC%B7%E3%81%AE%E6%8C%87%E5%8D%97%E6%9B%B8-%E6%97%A5%E7%B5%8CNETWORK-ebook/dp/B01M0TW4C7/ref=sr_1_6?__mk_ja_JP=%E3%82%AB%E3%82%BF%E3%82%AB%E3%83%8A&keywords=windows+server&qid=1579601170&sr=8-6)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/273424/d193a95a-1c1b-99b9-625e-c8cf89ab4a18.png)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/273424/2724e63a-e133-92ee-68d5-80ed0134c9eb.png)




# ルール=ポリシー
GPOに入れるもの

# GPP グループポリシー基本設定
* ルール集
* ポリシーより細かい設定する場合に利用する
* ポリシーはルールが決まっているがGPPはルールが決まっていない

# セキュリティポリシーの
**各グループポリシーのセキュリティの箇所**

ローカルセキュリティポリシー
（＝ローカルグループポリシーオブジェクトのセキュリティ設定部分
　の[コンピュータの構成]-[Windowsの設定]-[セキュリティの設定]を抜き出したものが
　
ドメインセキュリティポリシー
(＝既定のドメインGPO（Default Domain Policy)-「コンピュータの構成」－「Windowsの設定」－「セキュリティの設定」の部分）


要件があったら使えそうなグループポリシーかGPPを探す


# ポリシーリンク対象
ドメイン　サイト　OU

# ポリシー適用の優先順位
低 サイト->ドメインサイト->OU 高

競合するポリシーは上書きされ、競合しないポリシーは継承される

ドメインで設定したものは上書きできないようにしたい

強制にしたポリシーは上書きできない

継承のブロック
上位から継承されるリンクを下位に継承しない

フィルター
適用対象を絞る

セキュリティフィルターとWMIフィルター

WMIフィルターはスクリプトを書かないといけない




# グループポリシー
* GPOを作成してOUなどにリンクして適用すること


# GPO
* 大きく2つの箱に大別される　「コンピューターの構成」と「ユーザーの構成」から
* ルールが入った箱
  - 例 ローカルセキュリティポリシー


# GPOの編集や新規作成


* GPOにルールの設定=GPOの新規作成と編集
  - 編集する場合 編集したいグループポリシーオブジェクト（GPO）を右クリックし、「編集」を選択することで起動
  - 新規の場合   グループポリシーオブジェクトで右クリック - 新規作成
グループポリシー管理エディターで新規作成と編集ができる
グループポリシー管理エディター開いていたら、既存/新規のGPOにルールを設定しているということ


GPOを作成できる,

* 作成したGPOはドメイン、OUなどにリンクして適用する

GPOにはこういったものが適用されている
https://www.atmarkit.co.jp/ait/articles/1503/25/news032.html






# グループポリシーの適用
いつ適用されるか

* コンピューターの起動時やユーザーのログオン時の他、およそ90分間隔でドメインコントローラーが保持している最新の設定が割り当てられるようにな
* 「gpupdate /force」コマンドを実行




# グループポリシーのログの確認
https://www.atmarkit.co.jp/ait/articles/1503/06/news026.html

また、イベントビューアーの「アプリケーションとサービスログ」→「Microsoft」→「Windows」→「GroupPolicy」ログを参照すると、グループポリシーに関する詳細な内容を確認できる。

# グループポリシーの一覧の確認
「gpresult /r」コマンドを実行することで、そのコンピューターまたはユーザーに割り当てられたGPOの一覧を確認できる。




コンピュータへの適用は電源入れたログオン前に適用される
ログオンしたらユーザーへの適用がされる






# グループポリシーでできること、メリット
* 「グループポリシーオブジェクト（GPO）」を対象のドメインにリンクすれば、ドメインに参加している全てのユーザー／コンピューターにその設定が反映される。
* 社内にある複数のコンピューターに同じ設定をまとめて適用できること


* グループポリシーはActive Directoryドメインに参加しているユーザー／コンピューターに、さまざまな設定を一括で適用できる機能である。特に、複数の設定を一つにまとめた「グループポリシーオブジェクト（GPO）」を対象のドメインにリンクすれば、ドメインに参加している全てのユーザー／コンピューターにその設定が反映される。つまり、組織内（ドメイン内）の全ユーザー／コンピューターに漏れなく設定を強制することができるのだ。












ドメインコントローラはDomain Controllers OUに属している
つまり、既定では「Default Domain Policy」で定義されたアカウントポリシーだけが有効になる

# ドメインコントローラーのGPOの種類

* ローカルセキュリティポリシー
* Default Domain Policy
* Default Domain Controllers Policy



# ローカルセキュリティポリシー(LGPO)
https://tech.nikkeibp.co.jp/it/article/Keyword/20070209/261677/

コンピュータを直接操作できるユーザーを制限したり，そのマシンに登録してあるユーザー（ローカル・ユーザー）のアカウントの有効期限やパスワードの長さなどを指定したりできる。

secpol.msc

設定できるもの
アカウントポリシー
ローカルポリシー


# ドメイン内のサーバー、コンピュータに適用されるセキュリティポリシー
http://office-qa.com/win/win79.htm


* ローカルセキュリティポリシー(LGPO)
* ドメインセキュリティポリシー　競合した場合ドメインGPOが優先適用
* ドメインGPOで初期設定されているのは主に「アカウントポリシー（パスワードポリシー／アカウントロックアウトのポリシー／Kerberosポリシー）」である。

* ドメインに参加しているコンピュータでは、主にアカウントポリシー以外はローカルセキュリティポリシーで定義されている


ポリシーはドメイン又はOUのGPOで一括して定義 ・管理することが望ましい。


# Default Domain Policy
ドメイン参加したコンピュータにはDefault Domain Policyは LGPOを上書きする

# Default Domain Controllers Policy
ドメインセキュリティポリシーよりドメインコントローラセキュリティポリシーが優先適用


Default Domain PolicyやDefault Domain Controllers Policyに関して









# ログオンなどの許可のルール
https://www.atmarkit.co.jp/ait/articles/1508/12/news018.html



Windows Serverの既定の設定では、ローカルグループポリシーで「Administrators」「Backup Operators」「Users」のアカウントに対し、ログオンの許可が与えられている。つまり、一般ユーザーでもWindows Serverへのログオンが可能だ（なお、ドメインコントローラーへのログオンの許可は「Default Domain Controllers Policy」で定義されており、「Users」は許可されていない）。