Active Directory 委任の概要

理解 Active Directory（AD）の権限は、サイバーセキュリティ、コンプライアンス、そしてビジネスの継続性にとって不可欠です。この記事では、高いレベルの視点から、Active Directory の権限がドメイン内でどのように適用され、またそれをネイティブに確認する方法について説明します。

Active Directory の権限を適用する最も一般的な方法は、ツール Active Directory Users and Computers（ADUC）を使用することです。ADUC には、権限を適用する方法が2つあります。

Active Directory 委任ウィザード

Active Directory の委任ウィザードは、ユーザーまたはグループに対して特定のタスクを実行するための権限を付与する、使いやすいUIです。ここでは、特定のOU内のすべてのユーザーに対してパスワードリセットを担当できるように「Help Desk」グループを有効化する必要がある管理者として、手順を確認していきましょう。

1. OU またはコンテナーを右クリックし、「委任コントロール…」を選択してウィザードを起動します。

Active Directory の委任（委任コントロール）ウィザードが開きます。

2. ウィザードの最初の手順では、権限を付与したいユーザーまたはグループを選択します。

3. 次に、これらのオブジェクトが実行できるべきタスクを指定します。一般的なタスクのリストから選択することもできますし、実行のためのアクセス権を委任するカスタムタスクを作成することも可能です。この例では、先ほど挙げたシナリオどおりに進め、ユーザーのパスワードをリセットすることにします。

4. 最後に、次をクリックして選択内容を確認する必要があります。Finish:

ご覧のとおり、‘SB Test Area’OU のすべての子ユーザーに対して、‘Help Desk’ グループに ‘ユーザー パスワードをリセットし、次回ログオン時にパスワード変更を強制する’ 権限を付与しています。

セキュリティ タブ

権限の確認

委任ウィザードで指定した権限が正しく適用されたことを確認するために、‘SB Test Area’ OU の [セキュリティ(Security)] タブを確認します。

1. オブジェクトの [セキュリティ(Security)] タブを表示するには、ADUC で [Advanced Features] を有効にする必要があります。View のドロップダウン メニューから ‘Advanced Features’ を選択します:

2. 次に、‘SB Test Area’ OU を右クリックして ‘Properties’ を選択し、その後 [セキュリティ(Security)] タブへ移動します:

3. このタブには、‘SB Test Area’ オブジェクトの Access Control List (ACL) が表示されます。ACL は Access Control Entries (ACEs) で構成されています。‘SB Test Area’ OU の ACL に適用されているグループとユーザー アカウントを確認すると、追加した Help Desk グループが見つかります:

4. このアカウントには ‘Special Permissions’ が付与されていることが分かります。そのため、適用したセキュリティ権限を表示するには、[Advanced] をクリックする必要があります。下のスクリーンショットから、‘Help Desk’ プリンシパルの ACE が ‘SB Test Area’ OU の ‘Descendant User objects’ に対して ‘Reset Password’ 権限を付与していることが確認できます。

5. ここで Edit をクリックすると、SB Test Area OU にある Help Desk のプリンシパルに対する ACE を確認できます。

上記から、SB Test Area OU 上の Help Desk アカウントに付与した権限が「Reset password」だけだったことがわかります。

権限を直接適用する

委任ウィザードを使って権限を適用する方法を見てきたところで、次は「セキュリティ」タブから直接権限を適用する方法を説明します。

たとえば、特定の OU 内にあるグループのメンバーを変更する権限を自分のアカウントに付与したいとします。

1. 希望する OU（KevinJSandbox）を右クリックし、「プロパティ（Properties）」に移動してから「セキュリティ」タブを開きます:

2. 下へスクロールして、アカウント名の Kevin Joyce を選択します:

3. 次に「追加…」をクリックします。ご覧のとおり、これは私のアカウントに KevinJSandbox OU への「読み取り（Read）」アクセス権を付与しましたが、この画面（インターフェイス）からは、グループの変更をきめ細かく許可することができません。そのために「詳細設定（Advanced）」をクリックします。次に、今アクセス権を付与したオブジェクトの ACE で「編集（Edit）」をクリックします:

4. ユーザーアカウントを追加したときに作成されたデフォルトの ACE が表示されます。これは KevinJSandbox オブジェクトに対してのみ、コンテンツの一覧表示、すべてのプロパティの読み取り、および権限の読み取りを許可します。次に、KevinJSandbox OU 内の子孫グループのメンバーシップも変更できるように、この設定を変更します。そのために、まず「適用先（Applies to）」のドロップダウンから「子孫グループ オブジェクト（descendant group objects）」を選択します:

「適用先（Applies to）」フィールドで選択したオブジェクト（複数可）によって、適用可能な権限の一覧が変わります:

5. 上のリストから分かるとおり、「Permissions（権限）」の項目には「Modify group membership（グループ メンバーシップの変更）」権限がありません。プリンシパルに、特定のグループのメンバーのみを変更できる機能を付与するには、下にスクロールして、次のスクリーンショットに示されている「Write Members（メンバーの書き込み）」プロパティを選択する必要があります：

結論

ご覧のとおり、Active Directory の権限を理解し、適用し、分析し、削除することは非常に複雑になる場合があります。とはいえ、権限の管理や監査を支援してくれるツールがあります。特に、ぜひ Netwrix Active Directory Security Solution もチェックしてみてください。

よくある質問

Active Directory の委任とは何ですか？

管理者権限を委任することで、Domain Admins や Account Operators のような非常に特権の高いグループにユーザーを割り当てることなく、昇格された権限を必要とするタスクを実行できる権限を付与できます。

Active Directory で管理者権限を委任するにはどうすればよいですか？

Active Directory の権限を委任するには、Active Directory Users and Computers コンソールを開き、組織単位 (OU) またはコンテナーを右クリックして「Delegate Control…」を選択することで、AD 委任ウィザードを起動します。

Active Directory で委任を確認するにはどうすればよいですか？

「ユーザーとコンピューター」コンソールで［表示］メニューに移動し、［高度な機能（Advanced Features）］がチェックされていることを確認します。次に、OUを右クリックして［プロパティ］を選択し、［セキュリティ］タブに移動して委任された権限を表示します。