DirectorySearcherおよびWMIによって取得できるドメイングループ情報の違いについて

Question

お世話になります。

ドメイングループ情報の取得に関して質問なのですが、C#のライブラリのDirectorySearcherを用いてドメインのグループ情報を取得した際に、WMIコマンドでグループ情報を取得した際にはなかったグループの情報(SID)が取得されることがあります。

(SIDを見る限りは、これ自体は検索対象のドメインのものではなさそうに見えます)

これらの手法により取得できるグループ情報の違いについてご教授いただければ幸いです。

よろしくお願いいたします。

Answer 1

NISHIGAKI Shuheiさん、こんにちは。

Microsoft Q&A フォーラムにご投稿くださいましてありがとうございます。

DirectorySearcherは System.DirectoryServices 名前空間の一部であり、AD (Active Directory) との対話に使用されます。DirectorySearcherを使用すると、ADに直接クエリを実行します。つまり、ドメインユーザー、ドメイングループ、およびそれらの属性に関する詳細情報を取得できます。

WMIは、ローカルおよびリモートのコンピューターシステムに関する情報をクエリできる、より汎用的なシステム管理テクノロジです。WMIを使用してグループ情報を取得する際、DirectorySearcherのようにActive Directoryと深く統合されていない可能性があります。

SIDの相違点:

DirectorySearcher: ADからSIDを直接取得し、それが正しいドメインSIDであることを保証できます。

WMI: ローカルシステムのSIDやドメインコンテキストを正確に反映していない可能性のあるSIDが返されることがあります。

ドメインメンバーシップ:

DirectorySearcher: グループとそのSIDがドメインに正しく関連付けられていることを保証します。

WMI: 特に、ドメインと適切に統合されていないローカル システムで実行されている場合、ドメイン メンバーシップが正しく反映されないことがあります。

結論：

DirectorySearcher は、ドメイングループとその SID に関する正確かつ詳細な情報が求められる際に利用されます。一方でWMI は、ローカル グループ情報や、システム管理タスクが優先される場合に利用されますが、ドメイン特定のグループの詳細を正確に提供できないことがあります。

つまり、正確なSIDを含むドメイングループ情報を取得したい場合、DirectorySearcherはWMIよりも信頼性と正確性において優れた選択肢となります。

どうぞよろしくお願いいたします。

---

役に立った回答には「回答を受け入れる」と「いいね!」を押してください。さらに質問がある場合は、「コメント」を追加してください。注意：Q&Aからメール通知を受け取りたい場合には、ドキュメントの手順に基づき、メール通知を有効にしてください。