Windows Serverで学ぶサーバOS入門 第8回

小規模向けのAUPと大規模環境向けのAGUDLPについても学ぼう

「機能レベル」でActive Directoryの互換性を確保しよう

ユニバーサルグループのメンバを抑える

　理由は後述するが、ユニバーサルグループのメンバ数はなるべく少なく抑えたい。そのため、ユーザーを直接ユニバーサルグループのメンバにするのではなく、同一ドメイン内のユーザーをいったんグローバルグループにまとめて、そのグローバルグループをユニバーサルグループのメンバにする。これを「AGUDLPポリシー」と呼ぶ（図1）。

図1●AGUDLPポリシーの例

　ユニバーサルグループは、グループ名だけではなくそのメンバ一覧もグローバルカタログに複製される。そのため、ユニバーサルグループを多用すると、グローバルカタログへの複製トラフィックが増える。ユニバーサルグループのメンバ数を抑えるのはそのためだ。

　なお、ユニバーサルグループのメンバ一覧がグローバルカタログに複製されるには理由がある。グローバルグループのメンバは、そのグローバルグループが登録されているドメインのドメインコントローラに問い合わせればすぐわかる。グローバルグループのメンバは同一ドメイン内に限られるからだ。ドメインローカルグループは、別ドメインのグローバルグループがメンバとなっている可能性があるが、グローバルグループなので1回の問い合わせでメンバ一覧を入手できる。ところが、ユニバーサルグループの場合は、ユニバーサルグループのメンバが別ドメインのユニバーサルグループの可能性があるため、複数の再帰的な問い合わせが必要になる。Active Directoryではこうした問題を避けるため、ユニバーサルグループのメンバはすべてグローバルカタログに登録する。これにより、グローバルカタログに対する問い合わせをするだけで完全なメンバリストが得られる。

組織単位（OU）

　Active DirectoryにはOU（Organizational Unit : 組織単位）という機能がある。しばしばグループと間違えられるが、OUは純粋なユーザーの分類のために使われる。OUのおもな目的は、以下の3つである。

1. 管理者がユーザーをわかりやすく分類する
2. 特定のユーザーに、OUの管理権限の一部を委任
3. ユーザーに対して特定のポリシーを強制（グループポリシー）

　OUの詳細については回を改めて解説する。ドメイン階層と異なり、いったん作成したOUの構成変更は難しくない。現時点では「Active Directoryオブジェクトの分類」、つまり(1)の意味だけと考えてもらってかまわない。

（次ページ、「Active Directoryの機能レベル」に続く）