Active Directory セキュリティ グループ vs 配布グループ

グループを使用することは Active Directory の管理におけるベストプラクティスです。この記事では Active Directory グループ ——セキュリティ グループと配布グループ——を説明し、それらを効果的に活用するためのガイダンスを提供します。

セキュリティ グループと配布リスト（Distribution Lists）の主な違い

セキュリティ グループと配布グループ（より一般的には配布リストと呼ばれます）はどちらも Active Directory のグループですが、用途は非常に異なります。

• セキュリティ グループ は、データやアプリケーションなどの共有 IT リソースに対するユーザーおよびコンピューターのアクセスを管理するために使用されます。権限はセキュリティ グループに割り当てられ、そのグループのメンバーであるすべてのユーザーおよびコンピューター アカウントは、その権限を自動的に持ちます。
• 配布グループ（配布リスト） は、送信者が各受信者のメール アドレスを個別に入力することなく、ユーザーの集合に対してメールを送るために使用されます。

セキュリティ グループをメール配布に使うことはできますが、配布リストを使って権限を割り当てることはできない点に注意してください。

では、AD グループの各種類をさらに詳しく見ていきましょう。

セキュリティ グループ

Active Directory のセキュリティ グループは、フォルダー、アプリケーション、プリンターなどの共有リソースに対するユーザーおよびコンピューターのアクセスを管理するために使用されます。これにより、プロビジョニングがより簡単で正確になります。たとえば、新しい人が組織に入社したとき、IT チームは、その人を所属部署のグループや特定プロジェクトのグループなど、適切なセキュリティ グループに追加するだけで、仕事をするために必要なリソースへのアクセスをすばやく付与できます。セキュリティ グループは、特定のリソースへのアクセスをユーザーの特定の集合に対して拒否するように設定することもできます。

セキュリティ グループには主に次の 2 つの機能があります。

• ユーザー権限の割り当て：セキュリティ グループにユーザー権限を割り当てることで、そのグループのメンバーがドメインの範囲内で実行できることが決まります。たとえば、「Backup Operators（バックアップ オペレータ）」グループに追加されたユーザーは、ドメイン内の各ドメイン コントローラーに存在するファイルやディレクトリをバックアップおよび復元できます。このグループのメンバーになることで、グループに割り当てられたユーザー権限が継承されます。
• リソースに対する権限の割り当て：これはユーザー権限とは異なります。ユーザー権限はドメイン全体に適用されるのに対し、権限は特定のエンティティ（対象）に向けて付与されます。権限は、誰がそのリソースにアクセスできるか、またアクセス レベル（例：フル コントロールまたは読み取り専用）を決定します。

要するに、ユーザー権利はユーザー アカウントに適用される一方で、権限（permissions）はオブジェクトに関連付けられます。

管理者は、セキュリティ グループを作成し、複数の方法を通じてその権限とメンバーシップを管理できます。たとえば Active Directory Users and Computers（ADUC）コンソール、Windows PowerShell、サードパーティのグループ管理ソフトウェア ソリューションなどがあります。

Active Directory のセキュリティ グループ権限とは？

Active Directory の権限とは、ディレクトリ内の別のオブジェクトやファイルを表示または変更できる範囲など、オブジェクトがどの程度の権限を持つかを定義する一連のルールおよび規則です。ユーザーが必要なリソースにのみアクセスできるようにするため、IT 管理者は Access Control Lists（ACLs）を通じて権限を割り当てます。

Access Control Lists（ACLs）とは？

Access Control Lists（アクセス制御リスト）は、あるオブジェクトにアクセスできるエンティティと、そのアクセスの種類を定義します。これらのエンティティは、ユーザーアカウント、コンピューターアカウント、またはグループにすることができます。たとえば、ファイルオブジェクトに（Mary: read; Sarah: read, write）を含む ACL が設定されている場合、Mary はそのファイルを読み取ることができ、Sarah は読み取りと書き込みの両方を行えるようになります。

Access Control List は、個々のオブジェクトまたは組織単位（OU）に対して設定できます。つまり、OU のすべての子孫オブジェクトが、その ACL を継承します。

Access Control Lists の種類

ACL には 2 種類あり、それぞれ異なる機能を果たします。

• Discretionary access control list（DACL）： このリストは、あるオブジェクトに対してエンティティに割り当てられたアクセス権を示します。エンティティまたはプロセスがオブジェクトにアクセスしようとすると、システムは次の内容に基づいてアクセスを判断します：
  • オブジェクトに DACL がない場合、システムはすべてのユーザーに対してそのオブジェクトへの完全なアクセスを許可します。
  • オブジェクトに DACL がある場合、システムは DACL 内のアクセス制御エントリ（ACE）で明示的に許可されているアクセスのみを許可します。
  • DACL に、特定のユーザーまたはグループのみにアクセスを許可する ACE がある場合、システムは ACE に含まれていないすべてのユーザーへのアクセスを暗黙的に拒否します。
  • オブジェクトの DACL に ACE がない場合、システムは誰にもアクセスを許可しません。
• システム アクセス制御リスト（System access control list（SACL））： この一覧は、どのエンティティがオブジェクトへのアクセスを試みたのかを示す監査レポートを生成します。また、そのエンティティがそのオブジェクトに対してアクセスを拒否されたのか、アクセスを許可されたのか、さらに提供されたアクセスの種類も示します。

ヒント：メール送信にはセキュリティグループを使わないでください

通常の設定では、Exchange と Microsoft 365 で作成した配布グループには既定でメールアドレスが割り当てられますが、セキュリティグループには割り当てられません。したがって、セキュリティグループは通常、メール配布に使用できません。ただし、セキュリティグループをメール対応にすることで、リソースへのアクセス権を付与すると同時にメールの送信にも利用することは可能です。

とはいえ、セキュリティを損なう可能性があるため、セキュリティグループをメール用途に使うのは良い実践とは言えません。メール対応のセキュリティグループは、まず自分自身に対するなりすまし（アイデンティティ盗難）のリスクを高め、その侵害が起きたグループのメンバーである他のセキュリティグループへと広がる可能性があります。たとえば、メール対応のセキュリティグループがメッセージ内の悪意あるリンクを受け取った場合、特定の設定を妨げることで組織のプライバシーに侵入する（侵害する）恐れがあります。

セキュリティグループの全メンバーにメールを送信する必要がある場合は、セキュリティグループと同じメンバー構成の配布グループを作成するのが最善です。

ディストリビューション グループ

Active Directory のディストリビューション グループは、個々の受信者に 1 件ずつ送るのではなく、ユーザーのグループにまとめてメールを送るために使用されます。たとえば、会社では、全従業員向けの配布リスト、全管理者向けの別の配布リスト、そして各部署ごとの個別の配布リストを設定することがあります。これらのグループのいずれかにメールを送信したい場合は、受信者をすべて個別に追加する代わりに、ディストリビューション グループを選ぶだけで済みます。これにより時間を節約でき、精度も向上します。

前述のとおり、ディストリビューション リストには権限を割り当てることはできません。

ディストリビューション グループと共有メールボックスの違い

ディストリビューション リストは、共有メールボックスとはかなり異なります。共有メールボックスは、複数の人が同じメールボックスにアクセスする必要がある場合に使用します。たとえば、ヘルプデスク チームや IT サポート チームが共有メールボックスを利用して、タスクを共同で進められるようにすることがあります。さらに、チームのメンバーであれば誰でも、チームを代表してメールを送受信できます。一般的に共有メールボックスには「ITsupport@company.com」のような汎用的なアドレスが割り当てられており、担当チームの構成が時間の経過とともに入れ替わっても、アドレスは同じまま維持されます。ユーザーが共有メールボックスからメールを送信すると、そのメールはユーザー自身のメールアドレスではなく、共有メールボックスのアドレスから送信されます。そして、そのメールのコピーは、他の全メンバーが確認できるように共有メールボックスへ送られます。

配布リストと共有メールボックスの違いを際立たせる一つのシナリオは、メールの削除です。ユーザーが共有メールボックスからメールを削除すると、そのメールは、そのメールボックスにアクセスできるすべての人に対して削除されます。しかし、配布リストのメンバーがグループに送信されたメールを削除しても、そのメールは他の受信者のメールボックスからは削除されません。

配布グループはセキュリティ グループで管理できますか？またその逆も可能ですか？

セキュリティ グループを配布グループの所有者にすることができます。そうすることで、セキュリティ グループのすべてのメンバーがその配布グループを管理できるようになります。たとえば、未達（配信不能）レポートの受信者や、送受信メッセージの制限などを管理できます。たとえば、プロジェクト チーム用に作成したセキュリティ グループが、関連する配布リストの所有者になる可能性があります。また、コーポレート コミュニケーション チームが、会社の複数の配布リストの所有者になる可能性もあります。

一方で、配布グループをセキュリティ グループの所有者にすることはできません。

配布グループやセキュリティ グループを削除しても安全ですか？

配布グループの削除は、組織のセキュリティに対する脅威にはなりません。ただし、誤って削除してしまうと、グループをバックアップから復元できるまで、または同じメンバーを追加した新しいグループを作成するまで、通信が中断される可能性があります。

一方で、セキュリティ グループを削除すると、たとえば次のように重大な影響が生じる可能性があります。

• セキュリティ — 特定のリソースへのメンバーのアクセスを制限しているセキュリティ グループを削除すると、それらのユーザーにそのリソースへのアクセス権が付与されてしまいます。
• 生産性 — 特定のリソースへのアクセスをメンバーに付与するセキュリティ グループを削除すると、ユーザーは業務を行うために必要なデータやアプリケーションにアクセスできなくなります。

そのため、セキュリティ グループを削除する際は注意してください。

結論

セキュリティ グループと配布リストを正確かつ最新の状態に保つことは、セキュリティとビジネスの継続性にとって非常に重要です。作業を簡単にするために、Netwrix Directory Manager のようなソリューションへの投資を検討してください。 Netwrix Directory Manager により、次のことを簡単に確実にできます：

• ディレクトリ内のすべてのグループには目的があります。
• すべてのグループには所有者がいます。
• ユーザーに対して、必要のないグループのメンバーシップが付与されないようにします。
• 過剰な権限を持つグループはありません。
• グループは本来の目的を超えて存続しません。
• 重複するグループはありません。