質問: お世話になっております。 現在WindowsSever2012R2の ActiveDirectory設定で迷っております。 現在業務を引き継いだのですが 「ActiveDirectoryユーザーとコンピューター」 には ``` +DOMAIN +営業 OU +開発 OU +G_Eigyou セキュリティグループ +G_Kaihatsu セキュリティグループ +Users コンテナー +ユーザーA +ユーザーB : ``` との構成になっていました。 現在まとめようとしているのですが 例えば営業のユーザーAがいた場合 ouの営業に入れるか G_Eigyouに入れるか どちらの方がよいのでしょうか? また G_Eigyouを利用する場合は Usersに入れた方が良いのではないでしょうか? ADはファイルサーバーのアクセス権に利用しております。 基本的な事で申し訳ないのですが上記お問い合わせいたします。
回答: Active DirectoryにおいてOUを利用するメリットはGPOの制御をOU単位で行えることにあります。 ※他にもあるかもしれませんが... セキュリティグループにおいては、GPOの制御単位としては使用できず、アクセス権の制御単位として使用します。 > > 現在まとめようとしているのですが > > > 従って、OUとセキュリティグループでは単位のコンテキストが全くことなるものであり、纏められるものではありません。 > > ouの営業に入れるか > > G_Eigyouに入れるか > > > オブジェクトはOU間の移行はできますが、セキュリティグループに追加したからといって、OUの所属を外れるものではありません。 例えば、オブジェクトAが「OUの営業」にあったとして、オブジェクトAをセキュリティグループ「G_Eigyou」に追加したとしても、「OUの営業」から移動するものではなく、所属は「OUの営業」のままです。 > > G_Eigyouを利用する場合は > > Usersに入れた方が良いのではないでしょうか? > > > 比べる単位が違うので、ここで比較対象となるのは、「OUの営業」と「Users」が相応しいでしょう。 GPOエディタで確認されてみては如何でしょうか。 前任者が「OUの営業」といわれるものにGPOを割り当てているのであれば、対象のユーザオブジェクト(またはコンピュータオブジェクト)を所属から外した場合に、GPOの恩恵を受けられなくなります。