Active Directory Users and Computers (ADUC) のインストールと使用方法

ADUC は、管理者が Active Directory のオブジェクトとその属性を管理できる Microsoft Management Console（MMC）スナップインです。たとえば、次のことができます:

• パスワードを変更します。
• ユーザー アカウントをリセットします。
• ユーザーをセキュリティグループに追加します。
• 組織単位（OU）の作成と削除
• RID Master、PDC Emulator、Infrastructure Master などの FSMO ロールをドメイン コントローラーに割り当てます。
• コンピューター、グループ、ユーザー、およびそれらの属性を作成して管理します
• オブジェクトの管理権限を委任します。
• AD で高度なセキュリティと監査を定義します。

Active Directory についての詳細は、AD 初心者向けチュートリアル をご覧ください。主に、Active Directory ドメイン コントローラーには、Windows で既定で ADUC がインストールされています。ただし、場合によっては存在しないこともあります。その場合は、現在の Windows のバージョンに応じて、それらを追加するための別の方法を選択する必要があります。

以下は、現在の Windows バージョンで Active Directory のユーザーとコンピューターを追加する方法です。

Remote Server Administration Tools (RSAT) を使用して ADUC を追加する

現在の Windows バージョンでは、Remote Server Administration Tools に ADUC が含まれています。そのため、現在の Windows バージョンで ADUC を有効にするには、Remote Server Administration Tools (RSAT) をインストールしてください。

注記: RSATは、WindowsのProfessionalまたはEnterpriseバージョンを実行しているコンピューターにのみインストールできます。

RSATは、管理者がリモートサーバーまたはその他のコンピューター上で機能、ロール、およびロールサービスを制御するために、スナップインやツールを実行できるようにします。RSATはWindows Server 2008 R2以降、OSに同梱されています。Windows Serverのそれ以前のバージョン、ならびにWindows 7およびWindows 8では、RSATはインストール手順付きのダウンロード用パッケージとして利用できます。

RSATパッケージに含まれるリモート管理ツールは、次のとおりです。

• Active Directory Users and Computers (ADUC) — Active Directoryオブジェクトの作成および管理に、システム管理者が広く使用
• Active Directory Administrative Center — ADのごみ箱を管理し、パスワードポリシー およびPowerShellの履歴を表示するために使用します
• Windows PowerShell 用 Active Directory モジュール — AD を管理するための PowerShell コマンドレットを提供します
• Active Directory ドメインと信頼 — 機能レベル、フォレスト機能レベル、ユーザー プリンシパル名（UPN）に加え、フォレスト間およびドメイン間の信頼を管理できます
• Active Directory サイトとサービス — サイトとサービスを表示し、管理できます
• ADSI Edit — AD オブジェクトを管理するための一部の機能を提供しますが、多くの専門家は ADUC の使用を推奨しています

Windows 10 で RSAT エラーを修正する方法

RSAT は、更新の失敗、インストール ファイルの破損、または OS（オペレーティング システム）との非互換など、さまざまな理由でクラッシュする可能性があります。さらに、サーバー管理者が RSAT の管理ツール（特に RSAT の Active Directory Administrative Center (ADAC) コンポーネント）を変更しようとすると、問題が発生することもあります。以下に、トラブルシューティングのヒントをいくつか示します：

まず、OS に対応した正しい RSAT バージョンを使用していることを確認してください。違う場合は、RSAT をアンインストールして正しいバージョンをインストールしてください。

RSAT のインストールでエラー 0x800f0954：

1. 「Start」ボタンを右クリックし、「Run」を選択して、mscと入力し、「OK」をクリックします。
2. ローカルの グループ ポリシー エディターで、コンピューターの構成（Computer Configuration） > 管理用テンプレート（Administrative Templates） > システム（System） に移動します。
3. 次を右クリックします。「オプション機能のインストールおよびコンポーネントの修復の設定を指定する」 ポリシー > 「有効」に設定し、「Windows Server Update Services (WSUS) の代わりに、Windows Update から修復コンテンツとオプション機能を直接ダウンロードする」をオンにしてチェックします。
4. クリック ［適用］ > クリック ［OK］。
5. 「スタート」ボタンを右クリック >「ファイル名を指定して実行」を選択 > 「gpupdate」と入力 > 「OK」をクリックします。

RSAT のインストール エラー 0x80070003 は、通常あまり一般的でない場所からのインストールに関連しています。インストール ファイルを対象マシンのローカル ドライブにコピーしてから、続行してください。

Windows のメンバーサーバに ADUC をインストールする方法

ADUC をインストールするには、Windows Server に含まれている管理ツールである Server Manager のウィザードを、次の手順で使用します。

1. 次のいずれかの方法で Server Manager を起動します。

• 下図のように、タスクバーの Server Manager アイコンをクリックします。

• Windows の Start ボタンをクリックして、Server Manager を検索ボックスに入力します。次に、Server Manager のアイコンをクリックします。

2. ウィザードを開くには、ロールと機能の追加 をクリックします。

3. 最初のページでは、ウィザードで実行できる内容と、その使用に必要な前提条件について説明します。続行するには Next をクリックします。

4. 次のページで Role-based or feature-based installation を選択し、Next をクリックします。

5. サーバープールからサーバーを選択するか、仮想ハードディスクを選択します。Next をクリックします。

6. 次のページには、インストールできるロールが一覧表示されます。ここはスキップして、Next をクリックするだけにします。

7. 次のページで Remote Server Administration Tools と AD DS and AD LDS Tools を選択すると、他の Active Directory management tools も自動的に選択されます。Next をクリックします。

8. 次のページには、インストールされるツールの概要が表示されます。 必要に応じて、宛先サーバーを自動的に再起動する チェックボックスを選択します。いくつかのロールと機能では、サーバーの再起動が必要です。 インストール をクリックしてインストールを開始します。

9. 次のページで、インストールの進行状況を確認できます。 閉じる をいつでもクリックしてウィザードを閉じることができます。インストールは実行中のタスクとして継続されます。

10. インストールが成功したら、Server Manager を開き、ツール（Tools）メニューをクリックして、インストールされたツールを確認します。以下のスクリーンショットは、Active Directory Users and Computers とその他の管理ツールを示しています：

ADUC をインストールする前に Windows のバージョンを確認する方法

以下の手順のいずれかに従って、Windows のバージョンを確認できます。

• 左側のナビゲーション ウィンドウで、Startをクリックし、Settings > System > About をクリックします。次のようなエディション、バージョン、および OS のビルド情報が表示されます:

「Start」メニューを右クリックし、System をクリックします。次のようなエディション、バージョン、および OS のビルド情報が表示されます:

Windows 10 バージョン 1809 以降に ADUC をインストールする

以下は、Windows 10 バージョン 1809 以降に ADUC をインストールする手順です:

1. Start メニューをクリックし、次に Settings > Apps をクリックします。

2. Optional Features をクリックし、次に Add a feature をクリックします。

3. RSAT: Active Directory Domain Services and Lightweight Directory Services Tools をクリックします。

4. Install をクリックします。

インストールが完了すると、Start メニューの「Windows Administrative Tools」の下に新しい項目が表示されます。

コマンドラインを使用して ADUC をインストールする

別の方法として、Windows 10 のバージョン 1809 以降を使用している場合は、以下の手順でコマンドラインから ADUC をインストールできます。

1. 「スタート」をクリック（または Win+R を押す） 。cmd と入力して Enter を押します。
2. 次のコマンドを実行します。

dism /online /enable-feature /featurename:RSATClient-Roles-AD

dism /online /enable-feature /featurename:RSATClient-Roles-AD-DS

dism /online /enable-feature /featurename:RSATClient-Roles-AD-DS-SnapIn

Windows 8 または Windows 10 バージョン 1803 以下に ADUC をインストールします

1. Microsoft の Download Center から、Windows 10 バージョン 1803 以下用の Remote Server Administrator Tools をダウンロードしてインストールします。

2. Windows の スタート ボタンをクリックし、次に コントロール パネル > プログラム をクリックします。 プログラムと機能 の下で、Windows の機能の有効化または無効化 をクリックします。

3. 機能の一覧で下にスクロールし、次に Role Administration Tools -> AD DS and AD LDS Tools を展開します。 AD DS Tools. をチェックし、次に OK をクリックします。

4. システムがツールをインストールしたら、Restart now をクリックします。

インストールが完了すると、Windows Administrative Tools フォルダーが Start メニューに表示され、このフォルダー内に ADUC があります。

古いバージョンの Windows に ADUC をインストールする

古いバージョンの Windows をお使いの場合は、適切な RSAT package をダウンロードしてから、Add Windows features をコントロール パネルで使用して、必要な MMC スナップインを追加します。

Windows 7 を実行しているコンピューターに RSAT をインストールする場合は、RSAT のインストール後にツールを手動で有効にする必要があります。

次の場所へ移動します：スタート > コントロール パネル > プログラムと機能、そして Windows の機能の有効化または無効化。

ADUC コンソールの構成要素

「Active Directory ユーザーとコンピューター」コンソールには、システム管理者がオブジェクトを管理しやすくするための重要なコンポーネントがいくつかあります。

• メニューバー： 「ファイル」「操作」「表示」「ヘルプ」メニューが含まれます
• ツールバー：新しいユーザーまたはグループを作成したり、「ディレクトリ」と「アクション」ペインを表示/非表示にしたりするなど、クイック操作を実行するためのボタンが含まれています
• ディレクトリ（コンソール ツリー）ペイン：接続しているドメインの階層と、利用可能なコンテナーおよびOUの一覧を表示します
• オブジェクト ペイン：オブジェクトとその属性を表示します。［表示］メニューを使って列を編集できます
• アクション ペイン：選択したオブジェクトの詳細を表示し、［その他の操作］ のオプションを提供します

ADUC の詳細設定

デフォルトでは、ADUC はいくつかの OU とその他のコンテナーを表示します。ほかのコンテナーで作業するには、 View メニューをクリックし、Advanced Features をクリックします。

すると追加のプロパティが表示されます。以下では、通常表示（左）で利用できるタブと、詳細表示（右）で利用できるタブを比較できます：

Active Directory Users and Computers（ADUC）の使い方

組織単位（OU）を作成する

次の手順に従って組織単位を作成します：

1. 目的の OU を作成する対象のドメインまたは OU を右クリックし、次に 新規作成 > 組織単位 。

2. 新しい OU の名前を「名前」フィールドに入力し、OU を誤って削除されないよう保護するかどうかを指定します。 OK をクリックして組織単位を作成します。

ユーザー アカウントを追加

1. ユーザーを追加するドメインを選択し、その内容を展開します。
2. ユーザーを追加したいコンテナー（通常は Users）を右クリックし、［新規］を選択してから［ユーザー］をクリックします。

3. 新しいユーザーの名、姓、およびログオン名を入力します。次に次へをクリックします。

4. ユーザーの新しいパスワードを入力して確認します。ユーザーがパスワードをどのように管理する必要があるかを制御するために、次のオプションのいずれかを必ず有効にしてください：

• ユーザーは次回のログオン時にパスワードを変更する必要があります
• ユーザーはパスワードを変更できません
• パスワードは期限切れになりません
• アカウントは無効化されています
  クリック 次へ。

5. 入力した内容がすべて正しいことを確認してから 完了 をクリックします。

ユーザー アカウントを有効化/無効化する

ADUC のコンテキスト メニューを使用して、ユーザー アカウントを簡単に無効化または有効化できます。

ユーザー アカウントを有効にするには：

• 無効になっているユーザーを右クリックし、「Enable Account」をクリックします。

ユーザー アカウントを無効にするには：

• 無効にしたいユーザー オブジェクトを右クリックし、「Disable Account」をクリックします。

グループ オブジェクトを作成する

ADUC を使用してグループを作成するには、次の手順に従います：

1. 新しいグループを作成するドメインまたは OU を右クリックします。
2. 次の項目を指定します：

• グループの名前と、Windows 2000 より前の名前
• グループの種類：配布またはセキュリティ
• グループのスコープ：ドメインローカル、グローバル、またはユニバーサル

3. OK をクリックしてグループを作成します。

ユーザーをグループに追加する

1. ユーザーをグループに追加したいドメインを右クリックし、次に Find を選択します。
2. 次のドロップダウン リストの「Users, Contacts, and Groups」を選択します：Find。
3. ユーザーを追加したいグループ名を入力し、クリックします Find Now。検索結果から目的のグループを選択して、クリックします OK。

4. Action > Propertiesに移動し、Members タブをクリックします。Add をクリックします。

5. 追加したいユーザー名を入力し、Check Names をクリックします。（または、Advanced ボタンを使って、ユーザーを1人ずつ検索することもできます。複数のユーザーを指定する場合は、名前をセミコロンで区切ってください。） その後、OK をクリックして 追加を確定します。

グループからユーザーを削除する

1. ユーザーを削除したいドメインを右クリックし、Findを選択します。
2. 「Users, Contacts, and Groups」をFindのドロップダウン リストから選択します。
3. ユーザーを削除したいグループ名を入力して、Find Nowをクリックします。
4. 目的のグループを右クリックして、Propertiesを選択します。
5. 「Members」タブに移動し、ユーザーを選択してRemoveをクリックします。

ユーザーのパスワードをリセットする

1. ユーザーのドメインの Users フォルダーに移動します。
2. ユーザー名を右クリックし、All Tasks を選択して、Reset Password を選択します。

3. 新しいパスワードを入力し、Confirm password ボックスにもう一度入力してから OK をクリックします。

ユーザーを別の OU に移動する

1. 「Active Directory Users and Computers」を右クリックし、Connect to Domain を選択します。
2. ユーザーのドメイン名を入力してから OK をクリックします。
3. ユーザーを右クリックし、Move を選択します。
4. ユーザーを移動する先のコンテナーを選択してから OK をクリックします。

ユーザーのデータを変更する

1. 「Active Directory Users and Computers」を右クリックし、Connect to Domain を選択します。
2. ユーザーのドメイン名を入力してから OK をクリックします。
3. ユーザーを右クリックして Properties を選択します。
4. 変更したいデータがあるタブに移動し、編集してから OK.

グループの種類とスコープを変更する

グループの種類またはスコープを変更するには、次の手順を実行します：

1. 目的のグループを右クリックして、Propertiesを選択します。

［全般］タブで、新しいグループの種類および/またはスコープを指定します。次に OK.

ディレクトリ内のオブジェクトを検索する

ADUC には、ディレクトリ全体からオブジェクトを見つけるための強力な検索機能があります。［検索］ダイアログ ボックスを使用して、ユーザー、連絡先、グループ、OU を見つけることができます：

1. ドメインまたは OU のいずれかを右クリックして、Find をクリックします。

2.［検索（Find）］ダイアログ ボックスで、次の内容を指定します：

• ドロップダウンの Find で ［ユーザー、連絡先、およびグループ］を選択します。
• ドロップダウンの In を使用して、検索場所を選択します。ドメイン、またはディレクトリ全体のいずれかを指定します。
• 検索を絞り込むには、Browse ボタンを使用して特定の OU を選択します。
• ［Name ］フィールドに、検索したいユーザーの名（名のみまたはフル ネーム）またはグループ名を入力します。
  ［Find Now］をクリックします。

3. 検索結果を確認します。オブジェクトをダブルクリックすると、そのプロパティを表示できます。

ユーザーに制御を委任する

Active Directory の委任ウィザードを使用すると、ユーザーやグループが、ユーザー オブジェクトの作成や特定のドメイン コントローラーの管理などの特定のタスクを実行できるようにすることができます。

次の手順に従って、特定のユーザーに権限を委任します。

1. オブジェクトに権限を割り当てたいドメインまたは OU を右クリックします。制御の委任 をクリックして「制御の委任」ウィザードを起動します。

2. ウェルカム(Welcome)ページでは、このウィザードでできることを説明します。Next をクリックします。

3. 次のページで Add をクリックし、権限を適用したいユーザーまたはグループのオブジェクトを検索します。

4. 委任先のユーザーまたはグループの名前を入力し、Check Names をクリックします。OK。

5. これで、オブジェクトが Selected users and groups フィールドに表示されます。Next をクリックします。

7. 委任のスコープを選択します：

• 次のいずれかの選択: このフォルダー、このフォルダー内の既存オブジェクト、およびこのフォルダー内での新しいオブジェクトの作成 これにより、選択したフォルダーまたは OU 上のオブジェクトに対してすべての権限が付与されます。
• 次を選択: このフォルダー内の次のオブジェクトのみ にすると、指定したフォルダー内のオブジェクトに対してのみ権限を委任できます。
  次へ。

8. 委任する権限を選択し、次へ をクリックします。

9. 変更内容を確認し、完了 をクリックします。

クエリを作成して保存する

ADUC コンソールの Saved Queries 機能を使って、複雑な LDAP クエリを作成できます。これらのクエリを保存し、次の用途に活用できます：

• AD オブジェクトをすばやく見つけます。
• 特定の Exchange サーバー上にメールボックスを持つ会社の全従業員を選択する、またはドメイン内のすべての無効なアカウントの一覧を表示するなど、日常的な AD オブジェクト管理作業を素早く完了できます。
• 異なる Active Directory OU からのオブジェクトに対して操作を実行します。
• 一括でロック/ロック解除、有効化/無効化、移動、削除、名前の変更などの操作を実行します。
• Active Directory の OU 階層をバイパスし、必要なすべてのオブジェクトをフラットなテーブル表示にまとめます。

次の手順で、操作のためのクエリを作成します。

1. 検索操作を実行したいドメインまたは OU を右クリックし、New -> Query を選択します。

2. クエリの名前と説明を入力します。 （別の OU を選択したい場合は Browse をクリックします。）次に Define Query をクリックして、クエリを定義するための別のダイアログ ボックスを開きます。

3. Find のドロップダウンを使って、たとえば次のような一般的なクエリを選択します。

• ユーザー、連絡先、およびグループ
• コンピューター
• プリンター
• 共有フォルダー
• 組織単位
• カスタム検索
• よく使うクエリ

4. ユーザー、 コンピューター または グループ タブを使用してクエリを定義します。たとえば「ユーザー」タブでは、次の条件でクエリを絞り込むためのオプションが表示されます：

• 無効化されたアカウント
• 有効期限のないパスワード
• ユーザーが最後にドメインにログオンしてからの日数
  クリック OK でクエリを作成します。

コンテキスト メニューを使って他の操作を実行します

ADUC のコンテキスト メニューは、オブジェクトをクリックするか、空いている領域で中央のウィンドウ ペインをクリックすると表示されます。このメニューには、選択したオブジェクトの種類に応じた一般的なコマンドとオプションが表示されます。以下は、さまざまな種類のオブジェクトに対するコンテキスト メニューの例です。

ドメイン

OU

ユーザー

グループ

コンピューター

連絡先

Netwrix がどのように支援できるか

ADUCは管理者にとって有用なツールになり得ますが、ヘルプデスク担当者やビジネスユーザーにとっては、アクセスすることさえ難しく、まして使うことはさらに困難です。 Netwrix Directory Manager 管理者の支援なしに、グループやユーザーの作成・編集などの作業を簡単に行えるWebベースのポータルを、手軽に作成できるようになります。

各ユーザーが役割に応じて何を閲覧し、何を変更できるかを制御できます。データの整合性を確保するために、変更が適用される前に提供された情報を検証するワークフローを定義できます。

管理者はコンソールをこれら3つのタスク以上に使用します。その全範囲は以下を含みます：

Active Directory Users and Computers (ADUC) は、ほとんどの日常的なディレクトリ作業の背後にある Microsoft Management Console (MMC) スナップインであり、パスワードのリセット、ユーザーおよびグループの作成と削除、ディレクトリオブジェクトの管理権限の委任を行います。

• パスワードをリセットし、アカウントのロックを解除します。
• ユーザー、グループ、およびコンピューターオブジェクトを作成、変更、削除します。

MicrosoftがRemote Server Administration Tools (RSAT)の提供方法を変更したため、ワークステーションへの導入手順が古くなり、昨年のガイドで設定したワークステーションにはコンソールがまったくないことがよくあります。

• セキュリティグループのメンバーを追加および削除します。
• 組織単位（OU）を作成および削除します。
• ディレクトリオブジェクトの管理を委任します。
• 個々のオブジェクトに対してセキュリティおよび監査オプションを設定します。

ADUCのOperations Mastersダイアログは、ドメインコントローラー間で5つのFlexible Single Master Operations（FSMO）ロールのうち3つ、すなわちRelative ID（RID）Master、プライマリドメインコントローラー（PDC）エミュレーター、およびInfrastructure Masterを転送します。

Remote Server Administration Toolsに含まれるもの

Schema Master と Domain Naming Master の転送は、Active Directory Schema スナップインおよび Active Directory Domains and Trusts を通じて別の場所で行われます。コンソールファイルは dsa.msc で、RSAT Active Directory Domain Services および Lightweight Directory Services ツールに含まれています。

ADUCの別インストーラーをMicrosoftで探しても見つかりません。ドメインコントローラーにはすでにコンソールがあります。他のマシンでは、Windowsのバージョンに合った方法で追加してください。

RSATはWindowsのPro、Enterprise、Education、およびPro for Workstationsエディションにのみインストールされます。Windows 11 HomeおよびWindows 10 Homeはサポートしていません。

パッケージは複数のコンソールをカバーします：

• Active Directory Users and Computers (ADUC)：ディレクトリオブジェクトを作成および管理します。ほとんどの管理者がこのコンソールを毎日使用しています。

RSATは管理者がリモートサーバー上で役割、役割サービス、および機能を管理するスナップインやツールを実行できるようにします。Windows Server 2008 R2以降、OSに標準搭載されています。Windows 10 バージョン1809以降、Microsoftはこれをダウンロード可能なパッケージではなく、Windowsクライアントに Features on Demand のセットとして提供しています。

Active Directoryのインストールと比較したADUCのインストール

• Active Directory Sites and Services：サイトのトポロジー、サブネット、およびレプリケーションを管理します。
• Active Directory Service Interfaces (ADSI) Edit：他のコンソールが表示しない属性を含む、オブジェクトと属性を直接編集します。
• Windows PowerShell 用 Active Directory モジュール：スクリプトによるディレクトリ管理のためのコマンドレットを提供します。
• Active Directory Administrative Center (ADAC)：ADのごみ箱と詳細なパスワードポリシーを管理し、各操作の背後にあるPowerShellの履歴を表示します。
• Active Directory Domains and Trusts：ドメインおよびフォレストの機能レベル、ユーザープリンシパル名（UPN）、およびドメイン間およびフォレスト間のトラストを管理します。

ADUCがインストールされたマシンはメンバーマシンのままです。ディレクトリデータベースのコピーは保持せず、既存のディレクトリにアクセスする必要があります。

まずWindowsのエディションとバージョンを確認する方法

ADUCをインストールすると、ワークステーションまたはメンバーサーバーに管理コンソールが追加されます。Active Directory Domain Servicesを展開すると、フォレスト、ドメイン、およびドメインコントローラーが作成されます。両方の作業で用語が共通しているため、管理者は誤ったガイドにたどり着くことがあります。

RSATはPro、Enterprise、Education、またはPro for Workstationsが必要です。Homeと報告されるマシンはコンソールへのサポートされたパスがありません。Windows 10バージョン1809以降のビルドはFeatures on Demand方式を使用し、それ以前のビルドは廃止されたスタンドアロンパッケージが必要です。

新しいドメインを立ち上げるには、次のガイドを参照してください：展開および設定 ドメインコントローラー。ディレクトリ自体の構成については、次の入門書を参照してください：Active Directory basics。

Windows 11でのADUCのインストール方法

インストール方法を決定するエディションとバージョンを、開始前に両方確認してください。 スタート > 設定 > システム > バージョン情報 をクリックするか、スタートメニューを右クリックして System を選択します。

設定からADUCをインストールする

1. 設定 > システム > オプション機能 を開きます。

オプション機能のペインを確認してください。手動でセットアップしているマシンで最短のルートです。

Windows 11はADUCをオンデマンド機能として提供します。ダウンロードを探したりパッケージを解凍したりする必要はありません。エディションがPro、Enterprise、Education、またはPro for Workstationsであることを確認し、ローカル管理者権限でサインインしてから、以下の方法のいずれかを使用してください。

1. 検索ボックスにRSATと入力します。
2. オプション機能の追加の横にある「機能の表示」をクリックします。
3. RSAT を選択してください: Active Directory Domain Services と Lightweight Directory Services Tools。

実行ダイアログからoptionalfeatures.exeを実行すると、古いWindows Featuresパネルが開き、使い方を知っていればより速いルートです。

1. 次へをクリックし、次に追加をクリックします。

PowerShellでADUCをインストールする

結果を次のもので確認してください：

機能名は連続した4つのチルダ文字を使用しており、コピー時に誤って変更されやすいです。コマンドが認識されない機能を報告した場合は、まずそれらを確認してください。

capability コマンドはサポートされているすべてのビルドで動作し、スクリプト化または繰り返しのインストールに適しています。管理者として PowerShell を開き、次を実行してください:

Deployment Image Servicing and Management (DISM) は、昇格したコマンドプロンプトからその機能をインストールし、スクリプト化されたビルドやイメージングに適しています:

Arm64デバイスは例外です

Installed はツールが存在することを意味します。 NotPresent はWindowsが機能を認識しているがまだインストールしていないことを意味します。インストールは通常RestartNeeded: Falseを報告するため、通常は再起動は必要ありません。

古い dism /online /enable-feature /featurename: RSATClient-Roles-AD-DS-SnapInExpand 構文は、Microsoft が Windows 10 バージョン 1803 以降に廃止したスタンドアロンの RSAT パッケージに属します。Windows 11 および最新の Windows 10 ビルドでは動作しません。

Windows 10でのADUCのインストール方法

ARMハードウェアは異なる経路をたどり、上記のコマンドは出発点ではありません。Microsoftは2026年2月の非セキュリティプレビューアップデートでWindows 11の24H2および25H2バージョンにArm64 RSATサポートを追加し、2026年3月の累積更新プログラムで安定したサービスチャネルに移行しました。

Windows 10では、設定はシステムではなくアプリの下にあります。

Windows 10 バージョン1809以降：上記のFeatures on Demand方式を使用してください。Windows 10は サポート終了が2025年10月14日に予定されているため、このセクションはまだ使用している環境向けのガイダンスとして扱ってください。

2. オプション機能を選択し、次に機能を追加をクリックします。

Arm64では、両バージョンともAD DSおよびAD LDSツールをFeatures on Demandではなくオプションコンポーネントとして提供するため、エントリはコントロールパネル > プログラム > プログラムと機能 > Windowsの機能の有効化または無効化にあります。バージョン26H1ではこれらをFeatures on Demandとして統合し、設定にリスト表示してx64の動作に合わせています。24H2または25H2を実行しているARMデバイスでは、この分割が原因で、前提条件を満たしているにもかかわらず設定にエントリが表示されません。

1. 開く 設定 > アプリ。

4. スタートメニューを開き、Windows Administrative Tools の下にあるコンソールを見つけます。これはWindows 10がWindows Toolsの代わりに使うフォルダーです。

3. RSATを検索し、RSAT: Active Directory Domain Services and Lightweight Directory Services Toolsを選択して、インストールをクリックします。

WindowsメンバーサーバーにADUCをインストールする方法

上記のAdd-WindowsCapabilityおよびDISMコマンドは、1809以降のすべてのビルドで同じように動作します。

Server Manager は Windows Server でこれを処理し、以下のウィザードは Windows Server 2012 R2 から Windows Server 2022 および Windows Server 2025 に適用されます。

2. 「Add roles and features」をクリックしてウィザードを開きます。

1. タスクバーのアイコンからServer Managerを起動するか、スタート をクリックして、Server Managerと検索ボックスに入力します。

4. サーバープールからサーバーまたは仮想ハードディスクを選択し、次に Next をクリックします。

5. サーバーロールのページでNextをクリックします。

3. Next をクリックして前提条件のページを進み、次に Role-based or feature-based installation を選択します。

8. 進行状況ページを確認するか、インストールがバックグラウンドで続行されている間に閉じてください。

6. Remote Server Administration Tools、AD DS and AD LDS Toolsを選択します。これにより、他のActive Directory管理コンソールが自動的に選択されます。[次へ]をクリックしてください。

7. 要約を確認し、Restart the destination server automatically if required チェックボックスを選択して、インストールをクリックします。

PowerShellは昇格したセッションから一行でこれらのツールをインストールします：

古いバージョンのWindowsにADUCをインストールする方法

9. Server Managerを開き、Tools メニューをクリックしてインストールされているコンソールを表示します。

コンソールなしでPowerShell用のActive Directoryモジュールのみをインストールするには、代わりにInstall-WindowsFeature RSAT-AD-PowerShellを使用してください。ドメインコントローラーにはすでにADUCがあるため、これらの手順は適用されません。

Windows 8、Windows 10 バージョン1803以前では、RSATは組み込み機能ではなく別途ダウンロードが必要です。これは実際のダウンロードが必要な2つの状況のうちの1つであり、もう1つはFeatures on Demand ISOからのオフラインインストールです。

インストール後にADUCを開く方法

Windows 7 はパッケージのインストール後にそのダイアログを使用します。

1. そのWindowsバージョン用のRSATパッケージをインストールし、次にスタート > コントロールパネル > プログラム > Windowsの機能の有効化または無効化をクリックします。

3つのルートでコンソールを開けますが、実行ダイアログがどのキーボードからでも最速です。

2. 展開します Role Administration Tools > AD DS and AD LDS Tools、AD DS Tools にチェックを入れて再起動します。

ADUCのインストールおよび接続問題のトラブルシューティング

コンソールが開くがディレクトリが表示されない場合、またはインストールが完了していない場合は、以下のセクションで両方を説明します。

• スタートメニュー：Windows 11ではADUCがWindows Toolsの下にリストされており、これは旧Windows Administrative Toolsフォルダーに代わるものです。Windows 10はまだ古いフォルダー名を使用しています。

RSATのインストールがエラー0x800f0954で失敗しました

• Server Manager：Windows ServerでServer Managerを開き、Active Directory Users and ComputersをToolsメニューから選択します。

1. スタートボタンを右クリックし、「ファイル名を指定して実行」を選択して、gpedit.mscと入力し、OKをクリックします。

インストールと接続の失敗は原因が異なるため、以下のセクションはその順序に従っています。最初の3つはインストールが完了しないか、コンソールが表示されない場合について説明し、最後の2つはコンソールは開くがディレクトリに到達しない場合について説明します。見ている症状に合ったものを順に確認してください。

このエラーは、通常、ポリシーがマシンを内部更新サービスに向けているため、WindowsがFeatures on Demandペイロードに到達できなかったことを意味します。まず、オペレーティングシステムに適したRSATバージョンを確認し、その後ポリシーを変更してください。

• ファイル名を指定して実行：Win+Rを押し、dsa.mscと入力して、Enterキーを押します。これがインストールが成功したことを確認する最速の方法です。

管理対象デバイスおよびポリシー変更が許可されていない隔離ネットワークでは、代わりにローカルソースからインストールしてください。対象マシンの正確なWindowsバージョンに対応するLanguages and Optional FeaturesのISOをダウンロードし、マウントして実行します：

1. ローカル Group Policy エディターで、次の場所に移動します: コンピューターの構成 > 管理用テンプレート > システム.
2. 右クリック オプションコンポーネントのインストールとコンポーネント修復の設定を指定します ポリシーを Enabled に設定し、修復コンテンツとオプション機能を内部更新サービスではなくWindows Updateから直接取得するためにチェックボックスをオンにします。
3. クリックしてApply、次にOKをクリックします。

-LimitAccess スイッチは、Windows が Windows Update にアクセスするのを停止します。ソースはインストールされているビルド、アーキテクチャ、言語と一致する必要があります。ポリシーとネットワークアクセスを除外した後、ミスマッチした ISO が最も一般的な失敗原因です。

1. 「Start」ボタンを右クリックし、Runを選択し、gpupdate /forceと入力して、OKをクリックします。

このエラーは通常、一般的でない場所からのインストールが原因です。インストールファイルを対象マシンのローカルドライブにコピーし、再度インストールを実行してください。破損したインストールファイルやオペレーティングシステムの不一致も同じ結果を引き起こすため、ローカルコピーが失敗した場合は両方を確認してください。

RSATのインストールが成功した後にADUCが見つかりません

ADUCは開きますが、ドメインに接続できません

RSATのインストールがエラー0x80070003で失敗しました

インストールが失敗したと仮定する前に、上記のPowerShellセクションのGet-WindowsCapabilityクエリを使用して実際の機能状態を確認してください。状態がInstalledの場合、ツールは存在しており、コンソールが通常リストされている場所にないだけです。C:\Windows\System32\dsa.mscのファイルを確認するか、[ファイル名を指定して実行]ダイアログからdsa.mscを実行してください。ADUCとActive Directory Administrative Centerは一部のビルドで別々のエントリであるため、片方だけが存在する場合があります。

ディレクトリにアクセスするには、インストールが一切触れない条件に依存します。次の順序で確認してください：

1. ドメインコントローラーの到達可能性。少なくとも1台のコントローラーがオンラインで応答しています。
2. ドメインネームシステム（DNS）。マシンのDNSがパブリックリゾルバーではなくドメインコントローラーを指しています。これが最も一般的な原因です。
3. ファイアウォール。Lightweight Directory Access Protocol (LDAP) および Kerberos のトラフィックはコントローラーへのブロック対象ではありません。
4. ドメインメンバーシップ。マシンはドメインに参加しているか、リモートの場合はVPNに接続されています。
5. 権限。あなたのアカウントは閲覧しているOUに対する読み取り権限を持っています。

ドメインに参加していないコンピューターでのADUCの使用

ドメインに属さないマシンでも、起動時にドメイン資格情報を提供すればコンソールを実行できます：

ADUCコンソールの操作方法

/netonly スイッチは、ローカルセッションをそのままにしてネットワークアクセスにその資格情報を適用します。マシンは引き続きドメインのDNSを解決し、ドメインコントローラーに到達する必要があるため、DNSをコントローラーに向けるか、まずVPN経由で接続してください。Windowsは/netonlyではローカルでパスワードを検証できないため、タイプミスはプロンプトではなく接続失敗として現れます。

コンソールコンポーネント

ADUCはデフォルトでサインイン中のセッションのActive Directory domainに接続します。別のドメインを指定するには、Active Directory Users and Computersのルートを右クリックし、Change Domainを選択してください。

インターフェースは次の領域に分かれています:

レイアウトはWindowsのバージョンを通じて同じですが、表示メニューの設定の一つがディレクトリの表示範囲を変更します。

• メニューバー：File、Action、View、Helpメニューを含みます。
• ツールバー: ユーザーやグループの作成、他のペインの表示・非表示などのクイックアクション用のボタンを保持します。
• Directory (console tree) ペイン：接続されたドメインの階層構造（コンテナおよびOUを含む）を表示します。

システムコンテナと属性エディターを表示

• アクションペイン：選択したオブジェクトの詳細を表示し、その他のアクションオプションを提供します。
• オブジェクトペイン：オブジェクトとその属性を表示し、表示メニューから列の設定が可能です。

既定では、ADUCは複数のコンテナとオブジェクトのプロパティタブを非表示にします。表示メニューを開き、「詳細機能」をクリックして表示してください。

Active Directory Users and Computers の使い方

組織単位を作成する

2. 名前フィールドに名前を入力し、OUを誤って削除から保護するかどうかを指定して、OKをクリックします。

1. 新しいOUを含むドメインまたはOUを右クリックし、「新規作成」>「組織単位」をクリックします。

以下のタスクは、コンソールがドメインに接続されており、サインインしているアカウントが各操作に必要な権限を持っていることを前提としています。権限がない場合、メニューオプションは表示されたままで、変更を確定すると操作が失敗します。

ユーザーアカウントを追加

大量のOU作業については、PowerShellを使ったOU管理の手順をご覧ください PowerShellでのOU管理.

この設定を有効にすると、Attribute Editor タブとディレクトリのシステムコンテナが表示されます。以下の比較は、左側のデフォルトビューと右側の拡張ビューで利用可能なプロパティタブを示しています。

5. 要約を確認して、「完了」をクリックします。

3. ユーザーの名、姓、ログオン名を入力し、次へをクリックします。

1. 対象のコンテナ（通常はUsers）を右クリックし、新規作成を選択してUserをクリックします。

複数のアカウントがある場合は、こちらの 一括ユーザー作成 に関するガイドをご覧ください。

4. パスワードを入力して確認し、ダイアログで4つのパスワードオプションのいずれかを設定します。これらのオプションは、次回ログオン時に変更を強制したり、ユーザーによる変更をブロックしたり、有効期限の対象外にしたり、アカウントを無効のままにします。次へをクリックしてください。

ユーザーアカウントの有効化と無効化

アクティブなユーザーを右クリックし、アカウントを無効にするをクリックして権限を取り消します。

グループオブジェクトを作成する

コンテキストメニューは両方向に対応しているため、無効化されたユーザーを右クリックして「アカウントを有効にする」をクリックし、アクセスを復元します。

1. ユーザーが所属するドメインを選択し、その内容を展開します。

定期的なクリーンアップには、次の手順をご覧ください：非アクティブユーザーアカウントの無効化 をPowerShellで行います。

1. 新しいグループを含むドメインまたはOUを右クリックし、「新規作成 > グループ」をクリックします。

3. グループを作成するには「OK」をクリックします。

グループの種類と範囲は作成時に設定され、後で範囲を変更すると、既存のメンバーシップによっては失敗することがあります。

1. 名前とpre-Windows 2000の名前、グループの種類（配布またはセキュリティ）、およびグループの範囲（ドメインローカル、グローバル、またはユニバーサル）を指定します。

ユーザーのパスワードをリセットする

4. メンバーを削除するには、メンバータブでユーザーを選択し、削除をクリックします。

2. 結果のグループを右クリックし、プロパティを選択して、メンバータブを開きます。

1. グループがあるドメインを右クリックし、「Find」を選択します。FindのドロップダウンリストでUsers、Contacts、Groupsを選択し、グループ名を入力して「Find Now」をクリックします。
2. ユーザーのドメインフォルダーに移動します。

3. メンバーを追加するには、[追加] をクリックし、ユーザー名を入力して [名前の確認] をクリックし、[OK] をクリックして追加を確定します。複数の名前を直接入力する場合はセミコロンで区切り、同じダイアログの拡張検索オプションでユーザーを1人ずつ検索します。

グループにユーザーを追加および削除する

3. 新しいパスワードを入力し、確認用パスワード欄に再入力して、OKをクリックします。

1. ユーザー名を右クリックし、「すべてのタスク」を選択してから「パスワードのリセット」を選びます。

ユーザーを別の組織単位に移動する

1. ユーザーを右クリックして、移動を選択します。

オブジェクトを移動すると、適用されるOUの委任権限とグループポリシーが変わるため、実行前に移動先を確認してください。

1. ユーザーを右クリックし、プロパティを選択します。
2. 変更したい属性があるタブに移動し、編集を行ってからOKをクリックしてください。
3. 宛先コンテナを選択し、OKをクリックします。

ユーザーの属性を変更する

グループの種類と範囲を変更する

両方の設定は［一般］タブにあり、現在のメンバーシップで許可されていない変換はWindowsでグレー表示されます。

ディレクトリ内のオブジェクトを検索する

1. グループを右クリックし、プロパティを選択します。

検索ダイアログは、単一のドメインまたはディレクトリ全体でユーザー、連絡先、グループ、およびOUを検索します。

2. [一般] タブで新しいグループの種類または範囲を指定し、[OK] をクリックします。

1. ドメインまたはOUを右クリックして、「検索」をクリックします。

ユーザーに制御を委任する

Delegation of Control ウィザードは、ユーザーまたはグループが、より広範な管理者グループのメンバーでなくても、ユーザーオブジェクトの作成や特定のドメインコントローラーの管理などの特定のタスクを実行できるようにします。

2. 「Find」ドロップダウンをオブジェクトタイプに設定し、「In」ドロップダウンでドメインまたはディレクトリ全体を選択し、「Browse」を使って特定のOUに検索を絞り込みます。名前フィールドにユーザーの名前またはフルネーム、またはグループ名を入力し、「Find Now」をクリックします。

1. ウェルカムページを過ぎて「次へ」をクリックし、権限を受け取るユーザーまたはグループを検索するには「追加」をクリックします。

3. ユーザーまたはグループ名を入力し、「名前の確認」をクリックします。候補リストからオブジェクトを選択し、「OK」をクリックして、「選択したユーザーとグループ」フィールドに表示されていることを確認し、「次へ」をクリックします。

1. 権限が適用されるドメインまたはOUを右クリックし、Delegate Controlをクリックしてウィザードを起動します。

3. 結果を確認します。オブジェクトをダブルクリックしてプロパティを開きます。

クエリを作成して保存する

5. 委任する権限を選択し、「次へ」をクリックしてから、概要を確認して「完了」をクリックします。

4. 範囲を選択します。このフォルダー、このフォルダー内の既存オブジェクト、およびこのフォルダーで作成された新しいオブジェクトは、選択したOU全体に権限を付与します。フォルダー内の次のオブジェクトのみが、指定したオブジェクトタイプに権限を絞り込みます。次へをクリックしてください。

1. 検索したいドメインまたはOUを右クリックし、新規 > クエリを選択します。

ウィザードは、ディレクトリ内の他の場所で既に委任されている内容を表示せずにOUに権限を書き込みます。追加する前に既存の状態を監査してください。以下の手順をご覧ください：委任された権限の検出 in Active Directory.

保存されたクエリはセッション間で持続するLDAPフィルターを保持し、OUをまたぐ作業に適しています。管理者はこれを使用して、階層の異なる部分からオブジェクトを一つのフラットなリストにまとめ、大量のロック、有効化、移動、名前変更操作を行ったり、ドメイン内のすべての無効アカウントなどの定期的な検索を保持したりします。

2. 名前と説明を入力します。参照ボタンはクエリが対象とするOUを変更し、クエリの定義はフィルターのダイアログを開きます。

3. Findドロップダウンを使用して、ユーザー、連絡先、グループ、コンピューター、プリンター、共有フォルダー、組織単位、一般的なクエリ、またはカスタム検索などのクエリタイプを選択します。

ADUCがActive Directory Administrative CenterおよびPowerShellと比較される方法

4. フィルターを設定するには、Users、Computers、または Groups タブを使用します。Users タブでは、無効なアカウント、期限切れでないパスワード、最後のドメインログオンからの日数でフィルターします。クエリを作成するには OK をクリックしてください。

RSATはADUC、Active Directory Administrative Center、およびPowerShellモジュールを1つのディレクトリにインストールし、どちらを使うかは操作するオブジェクトの数によります。

Netwrixが委任されたdirectory managementを支援する方法

ADUCは1人のユーザーまたは1つのグループを処理する最速の方法であり、ほとんどの管理者のデスクトップで開いたままになっています。複数のオブジェクトを扱う場合はPowerShellで行い、スクリプトを実行前に確認できます。

ADUCが委任する内容を記録してください

ADUCは、キーボードの前にいる人がディレクトリ全体の権限を持つ訓練された管理者であると想定しています。この前提が委任を難しくしています。1つのOUのヘルプデスクのパスワードリセットを任せるには、Delegation of Controlウィザードを実行する必要があり、誰がなぜ依頼したかの記録なしにOUに権限を書き込みます。委任を拒否すると、通常のリセットが少数の管理者の後ろに並ぶことになります。

Netwrix Directory Manager は、そのパスから最も多い2つのタスクを取り除きます。エンドユーザーはチケットを開く代わりにセルフサービスで自分のパスワードをリセットし、グループメンバーシップは技術者が手動でメンバータブを編集する代わりに属性ベースのルールに従います。どちらもActive DirectoryとMicrosoft Entra IDをカバーしています。

Netwrix Auditor はコンソールが記録しない記録を提供し、変更前後の値を含むディレクトリの変更を検索可能な履歴としてキャプチャします。これが AppRiver が250人のユーザーと6つのドメインにわたって従業員のアクセス権限を管理する方法です。

デモをリクエストして、Netwrix Directory ManagerとNetwrix AuditorがADUCの委任を管理され、監査可能なプロセスに変える方法をご覧ください。

ワークステーションにコンソールを配置する問題は解決済みであり、実際の作業は下流に移ります。Delegation of ControlウィザードがすでにOU全体に付与したものを読み返してください。その後、それらの付与のうち、常設の許可ではなくリクエストであるべきものを判断してください。ADUCではこれを制御しないため、ディレクトリ権限は累積し、レビューは別の場所から行う必要があります。