Windows NT編24 - 信頼関係とドメインモデル

第二十六章信頼関係とドメインモデル

26-1、信頼関係

小規模な組織では、アカウントと資源を 1 つのドメインで管理できるが、大規模な組織では、一般に複数のドメインを設定する。通常、複数のドメインを設定する場合は、アカウントを 1 つのドメインに格納し、資源を別のドメインに置く。Windows NT Server ディレクトリサービスでは、信頼関係を通じて、複数のドメインにまたがるセキュリティを提供している。信頼関係とは、2 つのドメインを結合して 1 つの管理単位として扱うためのリンクのことで、これにより、両方のドメインの資源へのアクセスに対して権限を付与できる。

信頼関係には、次の 2 つの種類がある

一方向の信頼関係：一方向の信頼関係では、一方のドメインがもう一方のドメインのユーザーを信頼し、これらのユーザーがそのリソースを使えるようにする。利用できるようになるリソースは、信頼する側のドメインのものであり、リソースを使用できるアカウントは、信頼される側のドメインのアカウントである。ただし、信頼する側のドメインのユーザーアカウントを使って、信頼される側のドメインのリソースを使う必要がある場合は、双方向の信頼関係が必要になる。

双方向の信頼関係：双方向の信頼関係は、一方向の信頼関係が対になったもので、2 つのドメインが互いに信頼し合うものである。ユーザーは、どちらのドメインのコンピューターからでも、アカウントのあるドメインにログオンできる。

注：信頼関係は、Windows NT Server ドメイン間でだけ作成できる

○2 つのドメイン間で信頼関係を作成する

ドメインユーザーマネージャ＞[原則] メニュー＞ [信頼関係]

信頼される側となるドメインで、そのドメインを信頼するドメインの一覧に、信頼する側となるドメインを追加する
信頼する側となるドメインで、そのドメインが信頼するドメインの一覧に、信頼される側となるドメインを追加する

マイクロソフトは[信頼する側のドメイン] の関係を確立してから、[信頼される側のドメイン] の関係を確立することを勧めている。この順序で信頼関係を作成すると、初めて信頼関係を使うときに、信頼関係の設定のために使われるパスワードがすぐに検証されるようである。

26-2、ドメインモデル

a) シングルドメインモデル

シングルドメインモデルでは、ネットワーク上に 1 つしかドメインがない。シングルドメインには、1 台のプライマリドメインコントローラと 1 つまたは複数台のバックアップドメインコントローラがある。プライマリドメインコントローラとバックアップドメインコントローラは、2,000 から 2,500 のユーザーアカウントをサポートできる。

シングルドメインモデルは、ユーザーアカウントの集中管理と管理のしやすさの両方を求める組織にとって、適切な選択である。Domain Admins グループのメンバーはだれでも、すべてのネットワークサーバーと、プライマリドメインコントローラ上のすべてのドメインアカウントを管理できる。ネットワークのユーザー数とグループ数が少なく、良好なパフォーマンスを確保できる場合は、ネットワークでシングルドメインモデルを使用できる。シングルドメインモデルで対応できる正確なユーザー数とグループ数は、ドメイン内のサーバー数とサーバーのハードウェアによって異なる。

b) マスタドメインモデル

マスタドメインモデルでは、1 つのドメイン (マスタドメイン) が、ユーザーアカウントとグループアカウントを集中的に管理する単位として機能する。すべてのユーザーは、マスタドメインにある自分のアカウントにログオンする。プリンタやファイルサーバーなどのリソースは、別のドメインに置かれる。それぞれのリソースドメインは、マスタドメインとの間に一方向の信頼関係を確立するため、マスタドメインにユーザーアカウントのあるユーザーは、他の全てのドメインのリソースを使用できる。

シングルマスタドメインモデルは、次のような必要性がある場合に適している

	アカウントの集中管理：1 か所でユーザーアカウントを追加、削除、および変更でき、ユーザーアカウントを集中的に管理できる
	リソースの分散管理：リソースのあるドメインで、そのリソースを管理する独自の管理者を設けることができる

c) マルチマスタドメインモデル

マルチマスタドメインモデルでは、2 つ以上のシングルマスタドメインがある。シングルマスタドメインモデルの場合と同じように、マスタドメインは、アカウントドメインとして機能する。マルチマスタドメインモデルでは、どのマスタドメインも、他の全てのマスタドメインと双方向の信頼関係を確立する。また、どのリソースドメインも、全てのマスタドメインを一方向の信頼関係によって信頼する。

マルチマスタドメインモデルは、シングルマスタドメインモデルのすべての機能を持ち、ユーザー数が 40,000 を超える組織のようなケースにも対応できる。

26-3、アカウントデータベースサイズ計算

ドメインが要求するアカウントタイプの数により、ディレクトリーサービスアカウントによって使用される、ディスクスペースの合計を計算する

ユーザーアカウント：1.0 KB

コンピューターアカウント：0.5 KB

グローバルグループアカウント：0.5KB+メンバー一人あたり12バイト

ローカルグループアカウント：0.5KB+メンバー一人あたり36バイト

ディレクトリーサービスデータベースは40MBを超過してはならない

26-4、WANの効率運用

バックアップドメインコントローラの分散

LAN と WAN の相互運用を容易にするために、バックアップドメインコントローラをサイト間で分散できる。ドメインがWANリンクでつながっている場合、個々の遠隔のサイトに常にBDCを装備するべきである。WANリンクの他の端にあるドメインコントローラーに接続せずにユーザは個々の遠隔のサイトでローカルのBDCによってログオンすることができる。これはログオンのスピードアップとともにWANリンク上のログオン認証のトラフィックを減少することができる。