初心者向け Active Directory チュートリアル

このActive Directory初心者向けチュートリアルでは、Active Directoryのインストール方法、構成方法、および使用方法を示します。メールアドレスを提供することで、このActive Directory eBook PDFを取得でき、ADチュートリアルがメールで送信されます。

アクティブディレクトリとは何ですか？

このActive Directoryチュートリアルを始めるにあたり、Active Directoryが正確に何であるかを定義しましょう。Microsoft Active Directory (AD)は、サーバーオペレーティングシステムのコアコンポーネントです。これは、ネットワーク化されたWindows環境内のリソースへの安全なアクセスを可能にするディレクトリ（データベース）およびサービスのセットです。他のタイプの環境には異なるディレクトリサービスがあります。たとえば、OpenLDAPはさまざまなUnix/Linux環境で使用されます。

アクティブディレクトリの利点

アクティブディレクトリは、すべての規模の組織に幅広い利点を提供するため、多くのITインフラの基本的なコンポーネントです。以下は、アクティブディレクトリを使用する際の主な利点です:

• Active Directoryは、ユーザーがネットワークにログインし、管理者がアクセス権を付与したリソースにアクセスできるようにする集中認証および認可サービスを提供します。
• Active Directoryはシングルサインオン（SSO）をサポートしており、ユーザーは各リソースに個別にログインすることなく、ネットワーク全体の複数のリソースにアクセスできます。
• ADにはグループポリシーが含まれており、管理者がネットワーク内の複数のコンピュータやユーザーに対してセキュリティ設定、構成、およびポリシーを定義および強制することを可能にします。
• アクティブディレクトリは、ユーザー、グループ、コンピュータ、プリンタ、ネットワークデバイスなどのネットワークリソースを管理するための中央リポジトリとして機能します。
• ADは、ユーザー、グループ、コンピュータ、プリンタなどのネットワークオブジェクトに関する情報を構造化された階層データベースに保存します。
• アクティブディレクトリは、機密情報を保護し、セキュリティ基準への準拠を確保するために、暗号化、アクセス制御、監査などのセキュリティ機能を提供します。
• アクティブディレクトリは、組織の成長に合わせてスケールするように設計されており、単一のディレクトリ内で数千または数百万のユーザー、コンピューター、グループ、およびその他のオブジェクトをサポートします。
• Active Directoryは、Microsoft Exchange Server、SharePoint、Microsoft 365（以前のOffice 365）、Azureサービスなど、他のMicrosoft製品やサービスとシームレスに統合され、Microsoftエコシステム全体で統一されたアイデンティティとアクセス管理ソリューションを提供します。

アクティブディレクトリは何をしますか？

ADが提供またはサポートするサービスには、以下が含まれます:

• 認証 — Active Directoryは認証を提供し、これはユーザーが自分が主張する通りの人物であることを確認するプロセスです。Active Directoryはシングルサインオンをサポートしており、ユーザーは一度認証を受けると、ネットワーク全体の複数のリソースにアクセスできるようになります。
• 認証 — Active Directoryは認証も管理しており、これはユーザーが役割やセキュリティグループのメンバーシップなどの基準を使用して要求されたリソースにアクセスを許可するかどうかを決定するプロセスです。
• リソース管理 — Active Directoryは、コンピュータ、サーバー、プリンター、ネットワークデバイスなどのネットワークリソースを管理するための中央リポジトリとして機能します。これにより、管理者はこれらのリソースを論理的なグループに整理でき、ネットワーク内でリソースをより簡単に管理および割り当てることができます。
• グループポリシー — ADにはグループポリシーが含まれており、管理者がネットワーク内の複数のコンピューターとユーザーにわたってセキュリティポリシー、設定、および構成を定義および強制することを可能にします。これにより、構成の一貫性が確保され、セキュリティ基準が強制されるのに役立ちます。
• ディレクトリサービス — Active Directoryは、ユーザー、グループ、コンピュータ、プリンタなどのネットワークオブジェクトに関する情報を、ディレクトリと呼ばれる構造化された階層データベースに格納します。このディレクトリサービスは、ネットワークリソースに関する情報を整理し、アクセスするためのスケーラブルで効率的な方法を提供します。
• LDAP — Active Directoryは軽量ディレクトリアクセスプロトコル（LDAP）をサポートしており、ディレクトリデータにアクセスし、クエリを実行するための標準的な方法を提供します。LDAPは、アプリケーションやサービスが認証、情報取得、その他の目的のためにディレクトリと対話できるようにします。
• DNS — Active Directoryは、ネットワーク内で名前解決サービスを提供するために、ドメインネームシステム（DNS）と統合されています。DNSは、ユーザーとコンピュータがIPアドレスの代わりに、親しみやすい名前（ホスト名など）を使用してドメインコントローラやその他のネットワークリソースを見つけることを可能にします。
• 信頼関係 - Active Directoryは、1つのドメインのユーザーとリソースが別のドメインのリソースにアクセスできるようにするために、ドメイン間の信頼関係をサポートしています。信頼関係は、フォレスト内のすべてのドメイン間で自動的に確立され、ユーザーはドメイン間でリソースにシームレスにアクセスできます。管理者は、1つのActive Directoryドメインのユーザーが別のフォレストの別のドメインのリソースにアクセスできるようにするために、外部信頼を確立することもできます。信頼は、一方向または双方向のいずれかです。一方向の信頼では、1つのドメインのユーザーが別のドメインのリソースにアクセスできますが、その逆は成り立ちません。双方向の信頼では、両方のドメインのユーザーが他のドメインのリソースにアクセスできます。たとえば、外部の双方向信頼は、協力を促進するためにパートナー組織間で確立されることがあります。両方のタイプの信頼は、推移的または非推移的である可能性があります。非推移的信頼は、関与する特定のドメインに制限されます。推移的信頼は、同じフォレスト内の他の信頼されたドメインのリソースへのアクセスを許可します。たとえば、ドメインAとドメインBの間に推移的信頼があると仮定します。ドメインBがドメインCを信頼している場合、ドメインAもドメインCを信頼します。
• レプリケーション — Active Directoryはマルチマスターレプリケーションを使用して、ディレクトリデータがドメイン内のすべてのドメインコントローラー間で同期されることを保証します。レプリケーションはデータの一貫性とフォールトトレランスを確保し、一部のドメインコントローラーが利用できなくてもユーザーがディレクトリ情報にアクセスできるようにします。

アクティブディレクトリ構造

アクティブディレクトリは、次のコンポーネントを持つ階層構造を持っています:

• フォレスト — フォレストはActive Directoryの最上位コンテナであり、セキュリティ境界です。1つ以上のドメインを含み、すべてのドメインは共通のスキーマ、構成、およびグローバルカタログを共有します。フォレストで作成された最初のドメインはフォレストルートドメインであり、後にフォレストに追加されたドメインは子ドメインと呼ばれます。組織は通常、単一のフォレストを持っていますが、より多くのフォレストを持つこともできます。
• ツリー — ツリーは、ADフォレスト内の階層構造であり、連続したネームスペースに配置された1つ以上のドメインで構成されています。ツリーのルートドメインは、ツリー内で作成された最初のドメインです。ルートドメインの下に作成されたサブドメインは子ドメインと呼ばれ、これらの子ドメインの下に追加の子ドメインを作成することができ、階層的なツリー構造を形成します。同じツリー内のドメインは連続したネームスペースを共有し、遷移的な信頼関係によって接続されているため、ユーザーやリソースは同じツリー内のドメイン間でリソースにアクセスできます。
• ドメイン — ドメインは、単一のActive Directoryデータベースに保存され、一緒に管理できるユーザー、コンピューター、およびその他のオブジェクトのグループです。各ドメインには独自のセキュリティポリシー、信頼関係、およびドメインコントローラーがあります。たとえば、組織は各ロケーションに対してドメインを持ち、地元のITチームによって管理されることがあります。
• 組織単位 (OU) — 組織単位は、ドメイン内のADオブジェクトのサブセットを整理および管理するために使用されるコンテナです。たとえば、会社のサンフランシスコ支店のドメインには、販売や財務などの各部門のOUがあるかもしれません。
• ADオブジェクト — Active Directoryオブジェクトには、ユーザーアカウント、コンピューターアカウント、セキュリティおよび配布グループが含まれます。各ADオブジェクトには属性のセットがあります。たとえば、ユーザーアカウントの属性には、ユーザー名、パスワード、連絡先情報、役割およびグループが含まれます。

アクティブディレクトリドメインコントローラー

各ドメインには1つ以上のドメインコントローラーがあります。DCはActive Directoryデータベースを保存し、認証や認可などのディレクトリサービスを提供するサーバーです。すべてのドメインコントローラーはWindows Serverオペレーティングシステムを実行します。
ドメインに複数のDCがある場合、1つのDCでのADデータベースの変更は他のDCに複製されます。この冗長性は、DCに問題が発生した場合のフォールトトレランスを提供します。

ドメインコントローラーの立ち上げ方

ドメインコントローラーを作成するには、2つのステップを実行する必要があります:

• Windows Server マシンに Active Directory ドメイン サービス (AD DS) ロールをインストールします。
• サーバーをドメインコントローラーに昇格させます。

これらのステップは以下に詳しく説明されています。

Windows ServerにActive Directoryドメインサービスの役割をインストールする

1. 管理者権限を持つアカウントを使用してWindows Serverにログインします。タスクバーのServer Managerアイコンをクリックするか、スタートメニューで「Server Manager」を検索してServer Managerを開きます。
2. 上部メニューで「管理」をクリックし、「役割と機能の追加」を選択します。
3. 役割ベースまたは機能ベースのインストールを選択し、次へをクリックします。
4. 正しいサーバーが選択されていることを確認し、次へをクリックしてください。
5. 「サーバーの役割を選択」ページで、Active Directory ドメイン サービスをクリックします。ポップアップ ウィンドウで、機能の追加をクリックします。
6. 「機能の選択」ページでは、追加の機能を選択しないでください。次へクリックしてください。
7. 「Active Directory Domain Services」ページで情報を確認し、次へをクリックします。
8. インストールの選択を確認し、インストールをクリックしてください。
9. インストールプロセスが完了するまで待ちます。数分かかる場合があります。その後、ウィザードを終了するには「閉じる」をクリックします。

サーバーをドメインコントローラーに昇格させる

1. インストールが完了すると、サーバーマネージャーに通知が表示されます。通知内でこのサーバーをドメインコントローラーに昇格させるをクリックします。
2. Active Directory ドメインサービス構成ウィザードが開きます。最初に、既存のドメインにドメインコントローラーを追加するか、既存のフォレストに新しいドメインを追加するか、新しいフォレストを追加するかを指定します。この例では、新しいフォレストを追加を選択し、ルートドメインの名前を入力して次へをクリックします。
3. フォレストとそのルートドメインの機能レベルを選択し、DNSなどの機能を追加し、ディレクトリサービス復元モード（DSRM）パスワードを設定します。続行するには「次へ」をクリックしてください。
4. DNSオプションを選択した場合、「DNSオプション」ページに警告が表示されることがあります。新しいフォレストを作成しているため、この警告は無視しても安全です。続行するには「次へ」をクリックしてください。
5. ウィザードはドメイン上のネットワークを検索し、自動的にNetBIOSドメイン名を割り当てます。必要に応じて変更できます。続行するには[次へ]をクリックしてください。
6. 「パス」ページで、AD DSデータベース、ログファイル、およびSYSVOLファイルの場所を指定します。提供されたデフォルトの場所を変更できます。大規模な環境では、システムドライブが破損した場合にActive Directoryを復元できるように、別のドライブに保管することをお勧めします。続行するには「次へ」をクリックしてください。
7. 選択内容の要約を確認し、次へ進んでください。
8. ウィザードはコンピュータが前提条件を満たしているかどうかを確認します。コンピュータが合格したという確認が表示されたら、インストールをクリックしてください。
9. インストールが完了すると、サーバーは自動的に再起動します。再起動後、サーバーはActive Directoryドメインサービスがインストールされたドメインコントローラーになります。
10. ドメイン構造が作成されたことを確認するには、サーバーマネージャーを開き、ツールをクリックし、Active Directoryユーザーとコンピューターをクリックします。

AD管理のためのリモートサーバー管理ツール（RSAT）のインストール方法

Active Directoryを管理するには、クライアントマシンに管理ツールをインストールする必要があります。Windows 11にRSATをインストールするには、次の手順に従ってください:

1. 設定を開き、左のサイドバーでアプリをクリックし、その後オプション機能をクリックします。
2. 機能を表示をクリックします。
3. 「RSAT」を検索するか、単に下にスクロールして、RSAT: Active Directory ドメイン サービスおよび Lightweight Directory Services ツールの横にあるボックスをチェックします。その後、次へクリックします。
4. インストールプロセスを開始するには、インストールボタンをクリックしてください。
5. インストールが完了するまでお待ちください。数分かかる場合があります。コンピュータが再起動したら、スタートメニューからActive DirectoryユーザーとコンピュータなどのRSATツールを検索して、RSATがインストールされていることを確認できます。

監視するアクティブディレクトリエベント

アクティブディレクトリは、ディレクトリサービスのセキュリティ、整合性、およびパフォーマンスを維持するためのログ機能を提供します。Windowsイベントビューアのようなツールを使用してこれらのイベントを監視することで、疑わしい活動を検出し、問題を迅速にトラブルシューティングし、セキュリティ侵害に対応できます。以下は、探すべき一般的なイベントのいくつかです。

ユーザーアカウント管理

• アカウント作成: イベントID 4720
• アカウント削除: イベントID 4726
• アカウントの有効化/無効化: イベントID 4722, 4725
• パスワードの変更/リセット: イベントID 4723, 4724, 4725
• アカウントロック: イベントID 4740

グループ管理

• グループの作成/削除: イベントID 4727, 4731
• グループメンバーシップの変更：イベントID 4728、4729、4732、4733。

アクティブ ディレクトリ レプリケーション

• 複製の成功/失敗: イベントID 4928, 4929, 4932, 4933

ドメインコントローラーの操作

• ドメインコントローラー/システムの起動/シャットダウン: イベントID 6005, 6006, 6008, 1074
• ディレクトリサービスアクセス：イベントID 2889、2887

認証と認可

• 成功したログイン: イベントID 4624, 4648, 4768
• 失敗したログイン: イベントID 4625
• 特権アクセス: イベントID 4672

ディレクトリサービスの変更

• LDAPの変更: イベントID 5136、5137、5138
• スキーマの変更: イベント ID 5139

Active Directory は、組織がネットワーク全体でアクセスを管理し、ポリシーを適用し、ユーザーを認証する方法の中心に位置しています。

Windows 環境に初めて入る IT プロフェッショナル、またはより幅広い管理責任を担う立場になった方にとって、Active Directory がどのように動作するかを理解することは必須です。

Windows 環境で行うほぼすべての作業は、新入社員のオンボーディングからセキュリティ イベントの調査まで、すべてこれにたどり着きます。

このチュートリアルでは、手順を順番に説明します。Active Directory とは何か、どのように構成されているか、それが何を行うのか、どのように稼働させるのか、どのように管理を開始するのか、そして稼働後にどのイベントを監視すべきかを取り上げます。

Active Directory とは？

Microsoft Active Directory (AD) は、Windows Server オペレーティング システムの基本となるコンポーネントです。ディレクトリ データベースと、一連のサービスで構成されており、ネットワーク接続された Windows 環境にあるリソースに対して安全にアクセスできるようにします。

ほかの環境では、異なるディレクトリ サービスが使われます。たとえば、OpenLDAP は Unix および Linux 環境で同様の機能を提供します。

Active Directory は本質的に、次の2つの質問に答えます。 この人物は誰か、そしてその人物は何を許可されているのか？

Active Directory は、すべてのログイン、ファイルアクセス、ポリシー変更のたびにバックグラウンドで実行される一連の中核サービスによってこれを実現します。

• 認証： Active Directory はユーザーの身元を確認し、シングル サインオン（SSO）をサポートします。そのため、ユーザーは1回だけ認証すれば、各リソースに個別にログインすることなく、許可されたすべてのリソースにアクセスできます。
• 認可： Active Directory は、セキュリティ グループのメンバーシップと割り当てられたロールを使って判断を行い、認証済みのユーザーが特定のリソースにアクセスできるかどうかを決定します。
• リソース管理： Active Directory は、コンピューター、サーバー、プリンター、デバイスなどのネットワーク リソースのための中央リポジトリとして機能します。管理者は、それらを論理的なグループに整理し、1か所から一元的に管理できます。
• グループポリシー： Group Policy 管理者は、単一の場所からドメイン内のすべてのコンピューターとユーザーにわたって、セキュリティ設定、構成、およびソフトウェアポリシーを定義し、適用できます。
• ディレクトリサービス： Active Directory は、ネットワークオブジェクトに関するすべての情報を構造化された階層型データベースに格納し、ユーザー、グループ、コンピューター、デバイスに関する情報を整理して取得するための、拡張性があり効率的な方法を提供します。
• 軽量ディレクトリアクセスプロトコル（LDAP）： Active Directory は LDAP をサポートしており、アプリケーションやサービスが認証、情報の取得などの目的でディレクトリに問い合わせたり連携したりするための標準的な方法を提供します。
• ドメインネームシステム（DNS）： Active Directory は DNS と統合し、ネットワーク全体で名前解決を提供します。これにより、ユーザーやコンピューターは IP アドレスではなく、人間が読める名前を使ってドメインコントローラーやリソースを見つけられます。
• 信頼関係： Active Directory は trust relationships をドメイン間でサポートしているため、あるドメインのユーザーは別のドメインのリソースにアクセスできます。フォレスト内では自動的に、または構成された信頼を通じて外部からアクセスできます。
• レプリケーション：Active Directory はマルチマスター レプリケーションを使用して、すべてのドメイン コントローラー間でディレクトリ データを同期した状態に保ちます。個々のコントローラーがオフラインになっても、可用性が確保されます。

Active Directory の組織（構成）

Active Directory は、リソースを階層構造で整理します。これらの構成要素を理解することで、ディレクトリを効率的にたどり、設計や管理の方針について十分に検討した判断ができるようになります。

• フォレスト： フォレストは Active Directory における最上位のコンテナーであり、セキュリティ境界でもあります。共通のスキーマ、構成、およびグローバル カタログ（global catalog）を共有する 1 つ以上のドメインを含みます。最初に作成されたドメインがフォレスト ルートです。ほとんどの組織は単一のフォレストを運用します。
• ツリー： ツリーは、フォレスト内の 1 つ以上のドメインを、隣接する名前空間（contiguous namespace）の下に配置して階層的にまとめたものです。同じツリー内のドメインは、自動の推移的信頼関係（automatic transitive trust relationships）によって接続されています。
• ドメイン: ドメインとは、単一の Active Directory データベースに保存され、まとめて管理されるユーザー、コンピューター、およびその他のオブジェクトのグループです。各ドメインには、それぞれ独自のセキュリティポリシー、信頼関係、そして domain controllers があります。組織によっては、拠点ごとに別のドメインを用意し、それをローカルの IT チームが管理する場合があります。
• 組織単位（OU）: OU は、AD オブジェクトの一部を整理して管理するために、ドメイン内にあるコンテナーです。たとえば、会社のサンフランシスコ拠点向けのドメインでは、営業と財務それぞれに対して別々の OU を用意し、各 OU には独自のポリシーと委任された管理者が設定されている場合があります。
• AD オブジェクト: AD オブジェクトとは、ディレクトリに保存されているあらゆるエンティティのことです。これにはユーザーアカウント、コンピューターアカウント、セキュリティグループ、配布グループが含まれます。各オブジェクトには一連の属性（アトリビュート）が含まれます。たとえば、ユーザーアカウントのオブジェクトには、ユーザー名、パスワード、連絡先情報、ロール、グループ所属が保存されます。

Active Directory のセットアップ方法

Active Directory のセットアップには 2 つの手順が必要です。まず、Windows Server マシンに Active Directory Domain Services（AD DS）ロールをインストールし、次にそのサーバーをドメイン コントローラーに昇格します。以下の手順では、両方を順に説明します。

Active Directory Domain Services ロールをインストールする

1. 管理者権限を持つアカウントで Windows サーバーにログインします。タスクバーの「Server Manager」アイコンをクリックするか、スタート メニューで「Server Manager」を検索して Server Manager を開きます。
2. 上部メニューで Manage をクリックし、 Add Roles and Features を選択します。
3. Add Roles and Features ウィザードで Role-based or feature-based installation を選択し、 Next をクリックします。
4. 正しいサーバーが選択されていることを確認し、次へをクリックします。
5. 「サーバーの役割の選択」ページで Active Directory Domain Services をクリックします。ポップアップ ウィンドウで 機能の追加 をクリックします。
6. 「機能の選択」ページで、追加の機能は選択しません。次へ をクリックします。
7. 「Active Directory Domain Services」ページで情報を確認し、次へ をクリックします。
8. インストールの選択内容を確認し、インストール をクリックします。
9. インストール処理が完了するまで待機してください（完了までに数分かかる場合があります）。次に 閉じる をクリックしてウィザードを終了します。

サーバーをドメイン コントローラーに昇格する

1. インストールが完了すると、Server Manager に通知が表示されます。このサーバーをドメイン コントローラーに昇格する をクリックします。
2. Active Directory ドメイン サービスの構成ウィザードが開きます。既存のドメインにドメイン コントローラーを追加するのか、既存のフォレストに新しいドメインを追加するのか、または新しいフォレストを追加するのかを指定してください。この例では 新しいフォレストを追加 を選択し、ルート ドメインの名前を入力して 次へ をクリックします。
3. フォレストおよびそのルート ドメインの機能レベルを選択し、DNS などの機能を追加して、ディレクトリ サービス復元モード（DSRM）のパスワードを設定します。続行するには 次へ をクリックします。
4. DNS オプションを選択した場合、「DNS Options」ページに警告が表示されることがあります。新しいフォレストを作成しているため、この警告は安全に無視できます。クリック 次へ 続行します。
5. ウィザードはネットワークを検索し、NetBIOS のドメイン名を自動的に割り当てます。必要に応じて変更できます。クリック 次へ 続行します。
6. 「Paths」ページで、AD DS データベース、ログ ファイル、および SYSVOL ファイルの場所を指定します。大規模な環境では、これらを別のドライブに保持しておくことで、システム ドライブが破損した場合に Active Directory を復元できます。クリック 次へ 続行します。
7. 選択内容の概要を確認して、次へ をクリックします。
8. ウィザードは、コンピューターが前提条件を満たしているかどうかを確認します。確認が完了したら、インストール をクリックします。
9. インストールが完了すると、サーバーは自動的に再起動します。再起動後、そのサーバーは Active Directory Domain Services がインストールされたドメインコントローラーになります。

ドメイン構造が作成されたことを確認するには、Server Managerを開き、Toolsをクリックし、Active Directory Users and Computersをクリックします。

Active Directory を管理する方法

ドメインコントローラーが起動したら、次のステップとして管理用ワークステーションを接続し、最初のオブジェクトを作成します。

リモート サーバー管理ツール（RSAT）をインストールする

RSAT により、クライアント マシン上で AD 管理ツールを利用できるため、サーバー上で直接作業する必要はありません。Windows 11 に RSAT をインストールするには：

1. 「設定」を開き、左側の アプリ をクリックしてから オプション機能 をクリックします。
2. 「機能の表示」をクリックします。
3. "RSAT" を検索し、RSAT: Active Directory ドメイン サービスおよび Lightweight Directory Services ツール の横にあるチェックボックスをオンにします。次に 次へ をクリックします。
4. 「インストール」をクリックしてインストールを開始します。
5. インストールが完了するまで待ちます。コンピューターが再起動したら、［スタート］メニューから Active Directory Users and Computers を検索して、RSAT がインストールされていることを確認してください。

最初のユーザーを作成します

RSAT をインストールしたら、ワークステーションからユーザーを作成および管理できます。Active Directory Users and Computers でユーザーを作成するには：

1. ［スタート］メニューから Active Directory Users and Computers を開きます。
2. 左側のパネルでドメインを展開し、新しいユーザーを配置する OU に移動します。
3. OU を右クリックし、New を選択してから、User をクリックします。
4. ユーザーの名、姓、およびログオン名を入力します。Next をクリックします。
5. 一時パスワードを設定し、ユーザーが次回ログオン時にパスワードを変更する必要があるかどうかを選択します。Next をクリックしてから、Finish をクリックします。

大量のユーザー作成や、プロビジョニング（Provisioning）作業を繰り返す場合は、PowerShell のほうが実用的です。:

Active Directory でパスワードをリセットする

Active Directory のユーザーとコンピューターを通じてユーザーのパスワードをリセットするには、ユーザー アカウントを右クリックし、Reset Password を選択して、新しい一時パスワードを入力し、次回ログイン時にユーザーに変更させるよう求めるボックスをオンにします。

PowerShell で同じ操作を行うには：

監視すべき Active Directory イベント

Active Directory は、ディレクトリ内で発生したすべての重要な変更、認証の試行、および構成の変更内容を記録するイベントをログに残します。

Windows イベント ビューアを使ってこれらのイベントを監視することで、不審な活動を検知し、問題を迅速に切り分け、セキュリティ インシデントが拡大する前に対応できます。

ユーザー アカウント管理

ユーザー アカウントのイベントは、アカウントが作成・変更・無効化されたときの記録です。これらは identity lifecycle management とアクセス制御の適切な運用（アクセスコントロールの衛生状態）に最も関係するイベントです。プロビジョニング プロセスの外で作成されたアカウント、または承認なしで再有効化されたアカウントは、直ちに調査してください。

• アカウント作成： ドメイン内で新しいユーザー アカウントが作成されるたびに、イベント ID 4720 が記録されます。
• アカウント削除： ユーザー アカウントが完全に削除されたときに、イベント ID 4726 が記録されます。
• アカウントの有効化/無効化： アカウントがそれぞれ有効化または無効化されたときに、イベント ID 4722 と 4725 が記録されます。
• パスワードの変更/リセット: イベント ID 4723 および 4724 は、ユーザーが開始したパスワード変更と、管理者が開始したリセットを記録します。
• アカウントのロックアウト: イベント ID 4740 は、ログイン試行の失敗が多すぎてアカウントがロックされたときに発生します。これは、ブルートフォース攻撃の可能性や、設定が誤っているサービスを示している場合があります。

Security ログ全体でアカウント作成イベントを照会するには：

グループ管理

グループのメンバーシップ変更は、ユーザーがアクセスできる内容に直接影響するため優先度の高いイベントです。正式な変更プロセスを経ずに Domain Admins にアカウントを追加することは、権限昇格 の試みを示す最も一般的な兆候の1つです。

• グループの作成または削除： イベント ID 4727 および 4731 は、セキュリティ グループと配布グループの作成と削除を記録します。
• グループ メンバーシップの変更： イベント ID 4728、4729、4732、4733 は、セキュリティ グループへの追加と削除を記録します。

最近のグループ メンバーシップの変更を把握するには：

Active Directory のレプリケーション

複製の失敗は、ドメイン コントローラーが同期していないことを意味します。これが起きると、異なるサイトのユーザーは一貫性のないディレクトリ データを見たり、認証に失敗したり、グループ ポリシーが正しく適用されない可能性があります。

• 複製の成功/失敗： イベント ID 4928、4929、4932、4933 は、ドメイン コントローラー間の複製サイクルの開始、終了、および結果を記録します。

コマンド ラインから複製状態を確認するには：

この操作により、すべてのドメイン コントローラーにわたる複製の健全性の概要が返されます。失敗があればそれも含まれ、発生からどれくらい前かも示されます。

ドメイン コントローラーの操作

これらのイベントは、ドメイン コントローラーの稼働状態を記録します。メンテナンス期間外の予期しない再起動またはシャットダウンは、調査対象としてフラグを立てるべきです。

• ドメイン コントローラーの開始/停止： イベント ID 6005、6006、6008、および 1074 は、システムの起動、シャットダウン、予期しないシャットダウン、ならびに開始された再起動を記録します。
• ディレクトリ サービスへのアクセス： イベント ID 2887 および 2889 は、未署名、または弱いバインドの LDAP クエリを記録します。これらは、設定ミスのあるアプリケーションや偵察活動を示している可能性があります。

認証と認可

認証イベントは、不正アクセスの検知と ラテラルムーブメント の調査における基盤です。単一アカウントまたは IP アドレスからの失敗したログオンが急増することは、 クリデンシャルスタッフィング またはブルートフォース攻撃の信頼できる初期兆候です。

• 成功したログオン： イベント ID 4624、4648、および 4768 は、対話型、明示的な資格情報、および Kerberos 認証の成功を記録します。
• 失敗したログオン： イベント ID 4625 は、失敗理由コードを含むすべての失敗した認証試行を記録します。
• 特権アクセス： Domain Admins などの昇格された権限を持つアカウントがログオンするたびに、イベント ID 4672 が記録されます。

過去 24 時間におけるアカウント別の失敗したログオン試行数を数えるには：

ディレクトリ サービスの変更

これらのイベントは、LDAP レベルでディレクトリ オブジェクトへの変更を記録します。スキーマの変更は、フォレスト全体に影響し、復旧手順なしでは元に戻せないため、特に重要です。

• LDAP の変更: イベント ID 5136、5137、5138 は、ディレクトリ内でのオブジェクト属性の変更、オブジェクトの作成、オブジェクトの移動を記録します。
• スキーマの変更: イベント ID 5139 は Active Directory のスキーマへの変更を記録します。これは計画され、承認された変更のときにのみ発生すべきものです。

Windows イベント ビューアーはこれらのすべてのイベントを取得しますが、複数のドメイン コントローラー間で相関付けし、時間範囲でフィルタリングして、コンプライアンス対応のレポートを作成するには、大きな手作業の負担が必要です。ログは存在します。ですが、それらを大規模に実行可能な形で活用する点で、ネイティブ ツールには限界があります。

Netwrix が Active Directory を監視し、セキュリティを強化する方法

AD イベントを収集することは、課題の半分にすぎません。時間に追われる状況で、複数のドメイン コントローラーにまたがる特定の変更を見つけることこそが、ネイティブ ツールの限界です。

Netwrix Auditor は Active Directory と Group Policy の変更にまたがる、検索可能な変更履歴を提供します。各変更を行ったのが誰か、変更前後の値、いつ発生したか、どのマシンから行われたかを記録します。

管理者は、特権グループの変更などの高リスクな変更に対してリアルタイムのアラートを受け取れます。完全なバックアップ復元を行わずに、未授权のディレクトリ変更を元に戻す必要がある環境では Netwrix Recovery for Active Directory が、オブジェクトおよび属性レベルでのきめ細かな復旧を処理します。

オンプレミスの Active Directory と Microsoft Entra ID にまたがるハイブリッド環境では、Netwrix 1Secure は単一のインターフェイスから SaaS ベースのアイデンティティ リスク監視を追加します。リスク ダッシュボードでは、非アクティブなアカウント、パスワードが「期限なし」に設定されているアカウント、不要な露出につながるオープンなグループ メンバーシップなどの衛生状態（hygiene）の問題が可視化されます。

無料の AD セキュリティ評価を実施して Netwrix PingCastle によって、現在の環境にある設定ミスやセキュリティ上の弱点を見つけましょう。