Active Directory Management：よくあるミス7選

Active Directory の管理ミスは、セキュリティリスク、ダウンタイム、コンプライアンス上の問題につながる可能性があります。よくある誤りとして、日常業務に管理者アカウントを使うこと、権限委譲を行わずに Domain Admins を使いすぎること、そして復旧（回復）計画がないことが挙げられます。ほかのエラーには、ドメインコントローラーから直接 AD を管理すること、古い（放置された）アカウントを有効のままにすること、弱い password policies を適用すること、変更を監査（audit）しないことが含まれます。最小特権を徹底し、強力なポリシーを適用し、継続的に監視することで、セキュリティが強化され、Active Directory の管理が効率化されます。

Managing Active Directory は簡単な作業ではありませんが、誰かがやらなければなりません。この「誰か」があなたであるなら、ADの達人であっても人間はミスをするものだ、ということを常に念頭に置いておくべきです。

こうしたミスがあなたの管理下で起きないようにするために、最もよくあるものを順を追って説明し、二度と同じことを繰り返さないようにお手伝いします。

ミス #1：日常利用に管理者権限のあるアカウントを使うこと

必要のない場合は、ログインにドメイン管理者アカウント、あるいはローカルのドメインアカウントさえ使わないでください。通常のアカウントでマシンにログオンし、権限昇格が必要な場合は特権／管理者アカウントを使います。この分離が必要な理由は、権限昇格された資格情報でアカウントにログオンしている間に、スピアフィッシング攻撃やマルウェア注入などのセキュリティ侵害を防ぐためです。

ミス #2：アクセスを委譲する代わりに、ユーザーを Domain Admins グループに追加すること

最小権限（least privilege）の概念を無視することは、重大なセキュリティ上の問題です。委任された Active Directory security モデルを検討してください。特に、アカウントのロック解除やパスワードのリセットといった一般的な管理タスクに有効です。ADで作業する必要があるすべての人の職務（業務内容）を慎重に評価する必要があります。自動化できる具体的なプロセスについて考えてください。たとえば、ヘルプデスクの役割には、ユーザーのパスワードをリセットする権限、コンピューターをドメインに接続する権限、特定のセキュリティグループを変更する権限が含まれる場合があります。AD Delegation Best Practices を使うことで、AD委任をより効率的に管理できます。

ミス #3. バックアップ/復旧計画が不十分

誰かが Active Directory オブジェクトを削除した場合、この不正な変更からどれくらいの速さで復旧できますか？復旧オプションの計画とテストは、組織がミスから迅速に復旧するために必須です。AD の tombstone または recycle bin を構成して使用し、 recover AD objects . とくに、アカウントのロック解除やパスワードのリセットのような一般的な管理タスクについては、委任された Active Directory security モデルを検討してください

ミス #4. ドメインコントローラーから Active Directory を管理する

これは、管理者がドメインコントローラーに物理的にログインして、サーバー上から管理ツールを起動することを意味します。この悪い習慣は、通常の AD オブジェクト管理に限りません。Group Policy Management、DHCP、そして DNS コンソールでも起こり得ます。ベストプラクティスが示すとおり、ドメインコントローラーはドメインサービスに必要な役割だけを実行すべきです（DNS ロールは含みますが、DNS のために DC を決して使用しないでください。常に別の DC を参照するようにします）。また、すべての日常的な管理は保護された管理用マシンで実施する必要があります。

ミス #5：無効化（終了）されていない古いアカウント

古い（放置された）アカウントは無効化してから削除するべきです。放置した場合、退職した従業員や悪意のあるユーザーがそれらを使ってデータの持ち出し（data exfiltration）を行える可能性があるためです。健康な AD 環境とは、きれいな AD 環境です。管理者が古いユーザー、コンピューター、グループ、さらには GPO をそのまま残してしまうと、環境が不必要に複雑になります。

ミス #6：不十分なパスワードポリシーを設定している

パスワードの脆弱性をユーザーの悪い習慣にだけ結びつける前に、コンプライアンスやパスワードのベストプラクティスと照らし合わせて、自社のポリシーを確認してみてください。ここでは、ほんの一部のヒントを紹介します：

• ユーザーのパスワードを「期限なし（永遠に期限切れなし）」に設定しないでください。
• サービスアカウントのパスワードは期限切れにならないように設定し、その後、定期的にリセットするスケジュールを組みます。
• 複数のアカウントで同じパスワードを使うと、攻撃者が1つのサービスを侵害した時点で、いわば“マスターキー”を手に入れることになります。
• 仕事用、個人のメールアドレス、Facebook アカウントなどには、それぞれ別のパスワードを使用してください。
• 「Password Best Practices 」に従って、パスワードをより適切に管理しましょう。

ミス #7. Active Directory の監査と監視を行っていない

AD の正常性を監視し、障害が発生したら迅速に切り分けてトラブルシューティングを行いましょう。ドメイン コントローラーのイベント ログ サイズを最大に拡張します。Active Directory 内の変更を常に追跡し、特に Domain Admins グループへの変更を追跡してください。変更を追跡するには 監査ポリシー を有効にし、適切に構成するためのベスト プラクティスに従ってください。変更を追跡すれば、調査とトラブルシューティングのプロセスが確実に楽になります。

挙げられているミスのうち、いくつかがあなたのドメインでもよくあるものだと感じましたか？内緒にしてすぐに直し、「ずっと Active Directory をプロのように管理してきた」ように振る舞いましょう！