Windowsセキュリティインターナル ―PowerShellで理解するWindowsの認証、認可、監査の仕組み

11章Active Directory

前の章では、ローカルドメインの認証設定について解説しました。この章では、企業ネットワークドメインのユーザーとグループに関する構成情報をActive Directoryがどのように保存しているかを掘り下げます。まずは構成された信頼関係、ユーザー、グループを列挙できる様々なPowerShellコマンドを使用して、ドメイン構成を調査する方法の確認から始めます。その後、Active Directoryの構造と、ネットワーク経由で生の情報にアクセスする方法について詳しく説明します。

Active Directoryがどのような構造になっているかを理解したら、Windowsがどのようにその閲覧や変更が可能なユーザーを決定するのかを探ります。Active DirectoryはほとんどのWindowsプラットフォームと同様に、セキュリティ記述子を使用して設定へのアクセス可否を決定しています。

11.1　Active Directoryの歴史の概要

Windows 2000よりも古いWindowsシステムでは、企業ネットワークのユーザー構成情報はドメインコントローラーのSAMデータベースに保存されていました。ドメインコントローラーはMD4形式のパスワードハッシュ値に依存するNetlogonプロトコルでユーザーを認証していました。SAMデータベースの内容を変更するには、前の章で述べたようにSAMリモートサービスを使います。このサービスにより、管理者はドメインコントローラー上でユーザーやグループの追加や削除ができました。

しかし、企業ネットワークの複雑化に伴い、SAMデータベースによる運用に限界が見えてきました。よって、Windows 2000ではユーザーの構成情報をActive ...