ドメイン コントローラーの展開・セットアップ ベストプラクティス

Windows 2000 Server でこの技術が導入されて以来、IT 管理者は Active Directory を中心に、その周辺も含めて運用・対応してきました。Windows 2000 Server は 2000 年 2 月 17 日にリリースされましたが、多くの管理者は 1999 年後半から Active Directory の作業を始めました。これは、1999 年 12 月 15 日に製造（RTM）向けとしてリリースされたことがきっかけです。

DC を展開する際には、従うべきいくつかの適切なベストプラクティスがあります。これらのベストプラクティスの多くは文書化されていますが、実際に導入している組織は多くありません。

ドメイン コントローラーのデプロイとセットアップ方法

ここでは、Active Directory database を1つのディスク スピンドル群に置き、ログ ファイルは別のディスク スピンドル群に置き、オペレーティング システムはそれ専用のディスク スピンドル群に置く、といったよく知られたベスト プラクティスについては省略します。

ドメイン コントローラーであまり実装されていないものの、役立つベスト プラクティスには次のようなものがあります。

オペレーティング システムの Server Core インストールを実行する.

多くの管理者は変更を避けます。特に、安定性が非常に高い AD DS のようなシステムではなおさらです。そのため、新しい管理者が Server Core のインストールへ切り替える提案をすると、しばしば冷たい視線を向けられます。しかし現実には、ほとんどの管理者は ADUC または PowerShell をクライアントまたは管理用コンピューターで起動して、リモートから AD DS を管理しています。Active Directory Administrative Center (ADAC) や Windows PowerShell を含むすべての主要な管理ツールは、DC 上でローカルに使用する場合でも、クライアント コンピューターまたは管理用コンピューターからリモートで使用する場合でも、ほぼ同じように動作します。したがって、Server Core のインストールへ移行しても管理体験は損なわれません。さらに、セキュリティの強化と、わずかなパフォーマンス向上も得られます。

DC（ドメイン コントローラー）上で他のソフトウェアやサービスを実行しないでください。

昔、たとえば 10 年ほど前は、仮想化がまだ黎明期だったため、多くの組織が物理サーバーを使っていました。そのため、新しいファイル サーバー、DHCP サーバー、またはプリント サーバーを用意する時期になると、管理者は既存のサーバーをそのまま流用することがよくありました。DC もよく一緒に使われていました。ところが 2015 年に進むと、仮想化が事実上の標準になり、自動プロビジョニングによって数分で新しい VM を提供できるようになったことで、昔ながらのやり方の魅力は大幅に薄れていきました。現在では、ファイル サーバー、DHCP サーバー、プリント サーバー、あるいはその他のアプリケーション サーバーを置く必要がある場合、新しい VM をプロビジョニングできます。さらに言えば、新しい VM をユーティリティ サーバーとしてプロビジョニングすることもできます。ユーティリティ サーバーとは、専用サーバーを用意するほどの規模ではないアプリケーションやサービスをすべてホストするサーバーです。これにより、DC は専用サービスに集中でき、より高い安定性を得られます。

起動順序を調整し、BIOS パスワードを設定します。

すべての読み書き可能な DC は必ず安全なデータセンターに置くべきですが、データセンターには IT／非 IT を問わずアクセスできる人がたくさんいます。たとえば、冷却システムに作業する委託の電気工事担当者は、データセンターへのアクセス権を持っています。さらに、ネットワーク担当、配線担当、そしてデータセンターにアクセスできる IT 管理者がいる可能性もあります。DC に物理的にアクセスできる人であれば、データセンターのコンソールで数分で物理 DC にアクセスできてしまいます。ディスクが暗号化されていないという前提で、起動してパスワードをリセットしたり、マルウェアをインストールしたり、ディスク上のデータにアクセスしたりできる専用のフリーウェア起動イメージも利用可能です。これを防ぐには、次の設定を実施してください：

• すべての取り外し可能な媒体が BIOS の起動順序に含まれないようにしてください。代わりに、起動順序には、OS がインストールされているハードディスクのみを含める必要があります。仮想 DC がある場合は、仮想化ホスト サーバーにも同様に当てはまります。
• 強固な BIOS パスワードを設定してください。BIOS パスワードを設定しない場合、誰かが起動順序を更新したり、Windows Server のインストール メディア、または多数のフリーウェア ツールキットで起動したりして、修復を実行し、コマンド プロンプトに到達することができます。コマンド プロンプトに入った後は、混乱を引き起こし、ドメイン アカウントのパスワードを素早くリセットできます。
• DC を施錠されたキャビネット内に保管してください。BIOS パスワードはセキュリティの一層ではありますが、攻撃者がある程度の能力を持っている場合、構成がリセットされパスワードが解除されるように BIOS をリセットする方法を知っている可能性が高いです。多くの場合、そのためにはマザーボードへのアクセスが必要になります。このような攻撃のリスクは、DC を施錠されたキャビネット内に保管することで低減できます。中にはシャーシ ロックに対応しているサーバーもあります。高いセキュリティ環境では、両方を選択すべきです。

すべてのドメイン コントローラーの構成を標準化してください。

各 DC の構成設定をできるだけ揃えるようにしてください。System Center Configuration Manager のようなデプロイ ツールを使ってビルドの自動化を行うことで、その一部を実現できます。DC で注目すべき項目としては、監査およびセキュリティ関連情報を記録できるようにイベント ログのサイズを十分に大きく設定すること、物理サーバーで OS 選択を待機するタイムアウトなどのブート設定、ファームウェアおよび BIOS のバージョンと設定、そしてハードウェア構成などがあります。もちろん、Group Policy を使って標準化すべき他にも多くの構成項目があります。主な目的は、DC を同一の設定にすることです。

Active Directory の基礎についての詳細は、弊社の 初心者向け AD チュートリアルをご覧ください。