ステップバイステップガイド : Active Directory の管理

[アーティクル]
09/28/2010

公開日: 2005年1月7日

このガイドでは、Windows Server 2003 Active Directory サービスおよび Active Directory ユーザーとコンピュータスナップインの管理について説明します。

トピック

はじめに

概要

Active Directory ドメインと信頼関係スナップインの使用

Active Directory ユーザーとコンピュータスナップインの使用 Active Directory ユーザーとコンピュータスナップインの使用

はじめに

ステップバイステップガイド

Microsoft Windows Server 2003 展開のステップバイステップガイドでは、多くの共通点を持つオペレーティングシステム構成における実際上の操作を説明します。これらのガイドでは、Windows Server 2003 をインストールして共通ネットワークインフラストラクチャを構築することから説明を始めます。そして、Active Directory の構成、Windows XP Professional ワークステーションのインストールについて説明し、最後にワークステーションをドメインに追加する方法について説明します。これらのステップバイステップガイドの各分冊では、この共通ネットワークインフラストラクチャが構築されていることを前提としています。このガイドで説明するネットワークインフラストラクチャとは異なるインフラストラクチャを構築する場合は、適宜変更を加えながらガイドを読み進めてください。

共通ネットワークインフラストラクチャの構築には、以下のガイドで説明する操作を完了する必要があります。

共通ネットワークインフラストラクチャを構築すると、その他のステップバイステップガイドの操作を実行できるようになります。ただし、その他のステップバイステップガイドでは、共通ネットワークインフラストラクチャ構築の要件に加えて、その他の前提条件が必要になる場合があります。詳細については、各ステップバイステップガイドの説明を参照してください。

Microsoft Virtual PC

Microsoft Windows Server 2003 展開のステップバイステップガイドで説明する内容は、現実のラボ環境で実装することができ、Microsoft Virtual PC 2004 や Microsoft Virtual Server 2005 のような仮想化テクノロジを使って実装することもできます。仮想コンピュータテクノロジを使用すると、単一の物理サーバー上で複数のオペレーティングシステムを並行して稼働させることができます。Virtual PC 2004 と Virtual Server 2005 は、ソフトウェアのテストや開発、レガシアプリケーションの移行、サーバー統合の各シナリオにおいて、業務効率を高めるように設計されています。

Microsoft Windows Server 2003 展開のステップバイステップガイドでは、現実のラボ環境での構成を前提としています。ただし、大部分の構成はそのまま仮想環境に適用できます。

このステップバイステップガイドに記載する概念を仮想環境に適用する場合の説明については、ここでは割愛します。

重要

このドキュメントで使用している会社、組織、製品、ドメイン名、電子メールアドレス、ロゴ、人物、場所、イベントなどの名称は架空のものです。実在する会社名、組織名、製品名、ドメイン名、電子メールアドレス、ロゴ、個人名、場所名、イベント名などは一切関係ありません。

この共通インフラストラクチャは、プライベートネットワークで使用する目的で設計されています。共通インフラストラクチャで使用する架空の企業名と DNS (Domain Name System) 名は、インターネット上で使用するための登録が行われていません。パブリックネットワークやインターネット上では、この名前を使用しないようにしてください。

この共通インフラストラクチャの Active Directory サービス構造は、Windows Server 2003 の変更と構成管理機能の概要、および Active Directory との関連を示すために設計されたものです。企業で Active Directory を構成する場合を想定して設計されているわけではないことに注意してください。

ページのトップへ

概要

このガイドでは、Windows Server 2003 Active Directory サービスの管理について説明します。Active Directory 管理ツールを使用すると、ディレクトリサービスの管理が容易になります。標準装備のツールである MMC (Microsoft Management Console) などを使って、管理タスクを重点的に取り扱うカスタムツールを作成することもできます。また、1 つのコンソールに複数のツールを統合したり、特定の管理タスクを担当する管理者に対して、個別にカスタムツールを割り当てたりすることも可能です。

Active Directory 管理ツールを使用するには、ドメインへのアクセスが可能なコンピュータであることが必要です。[管理ツール] メニューから、次のような Active Directory 管理ツールを使用できます。

Active Directory ユーザーとコンピュータ
Active Directory ドメインと信頼関係
Active Directory サイトとサービス

ドメインコントローラではないコンピュータ (Windows XP Professional を実行しているコンピュータなど) から、リモートで Active Directory を管理することもできます。この場合、Windows Server 2003 の管理ツールパックをインストールする必要があります。

スキーマを管理するための Active Directory 管理ツールとして、Active Directory スキーマスナップインがあります。このスナップインは、既定では管理ツールで有効になっていないため、手動で追加する必要があります。

上級のシステム管理者やネットワークサポートエンジニア向けに、Active Directory の構成、管理、トラブルシューティングに使用できるコマンドラインツールが数多く用意されています。また、Active Directory サービスインターフェイス (ADSI) を使うスクリプトを作成することもできます。オペレーティングシステムのインストールメディアには、いくつかのサンプルスクリプトが収録されています。

前提条件

本ガイドでの要件

このガイドで説明する手順を実行するためには、管理者特権を持つユーザーとしてログオンする必要があります。
ドメインコントローラ上で作業している場合は、Active Directory スキーマスナップインがインストールされていない可能性があります。このスナップインをインストールする手順は次のとおりです。
- コマンドプロンプトで次のコマンドを入力します。
  regsvr32 schmmgmt.dll
このコマンドにより、MMC の Active Directory スキーマ管理スナップインが有効になります。
Windows Server 2003 ベースのスタンドアロンサーバーまたは Windows XP Professional ワークステーションでは、Active Directory 管理ツールはオプションです。[コントロールパネル] の [プログラムの追加と削除] からの Windows コンポーネントウィザードと Windows Server 2003 の CD にある ADMINPAK のいずれかを使ってインストールしてください。

ページのトップへ

Active Directory ドメインと信頼関係スナップインの使用

Active Directory ドメインと信頼関係スナップインは、フォレスト内のすべてのドメインツリーをグラフィック表示します。このツールを使用することで、管理者はフォレスト内の各ドメインやドメイン間の信頼関係を管理したり、各ドメインの動作モード (ネイティブモードまたは混在モード) やフォレストのユーザープリンシパル名 (UPN) の代替サフィックスを設定したりすることができます。

Active Directory ドメインと信頼関係スナップインの起動

スナップインを起動するには

HQ-CON-DC-01 で、[スタート] メニューの [すべてのプログラム] をポイントします。次に、[管理ツール] をポイントし、[Active Directory ドメインと信頼関係] をクリックします。Active Directory ドメインと信頼関係スナップインが開きます (図 1)。

図 1. Active Directory ドメインと信頼関係スナップイン
拡大表示する

ユーザープリンシパル名 (UPN) は、ユーザーが Active Directory にログオンするための使いやすい名前付けスタイルを提供します。UPN のスタイルはインターネット標準の RFC 822 に基づくもので、"メールアドレス" と呼ばれることもあります。既定の UPN サフィックスはフォレストの DNS 名です。これは、フォレストの 1 番目のツリーで最初に位置するドメインの DNS 名に該当します。このガイドや本シリーズのステップバイステップガイドでは、"contoso.com" を既定の UPN サフィックスとして説明しています。

ログオンのセキュリティレベルを高める代替ユーザープリンシパル名サフィックスを追加することができます。また、すべてのユーザーに 1 つの UPN サフィックスを付与することで、ユーザーログオン名を簡素化することもできます。UPN サフィックスは Windows Server 2003 ドメイン内でのみ使用されるものであり、有効な DNS ドメイン名である必要はありません。

追加の UPN サフィックスを作成するには

左上のペインで [Active Directory ドメインと信頼関係] を選択し、[プロパティ] をクリックします。
[代わりの UPN サフィックス] ボックスに代替 UPN サフィックスを入力し、[追加] をクリックします。
[OK] をクリックし、ウィンドウを閉じます。

ドメインとフォレストの機能の変更

Windows Server 2003 Active Directory で導入されたドメイン機能とフォレスト機能によって、ドメイン全体またはフォレスト全体の Active Directory の機能をネットワーク環境で有効にすることができます。ドメインとフォレストで利用できる機能レベルは、ネットワーク環境によって異なります。

ドメインまたはフォレストのすべてのドメインコントローラが Windows Server 2003 を実行しており、機能レベルが Windows Server 2003 に設定されている場合、ドメイン全体およびフォレスト全体の機能をすべて使用できます。Windows Server 2003 を実行しているドメインコントローラが存在するドメインまたはフォレストに、Windows NT® 4.0 または Windows 2000 のドメインコントローラが含まれる場合、Active Directory の機能は制限されます。

Active Directory で追加機能を有効にするという概念は、混在モードとネイティブモードを持つ Windows 2000 に当てはまります。混在モードのドメインは、Windows NT 4.0 バックアップドメインコントローラを含むことができ、ユニバーサルセキュリティグループ、グループの入れ子、およびセキュリティ ID (SID) の履歴の各機能を使用することはできません。ドメインをネイティブモードに設定すると、ユニバーサルセキュリティグループ、グループの入れ子、および SID の履歴の各機能を使用できます。Windows 2000 Server を実行するドメインコントローラは、ドメイン機能とフォレスト機能を認識しません。

警告ドメインの機能レベルを上げると、以前のオペレーティングシステムを実行しているドメインコントローラをドメインに導入することはできなくなります。たとえば、ドメインの機能レベルを Windows Server 2003 に上げると、Windows 2000 Server を実行しているドメインコントローラをそのドメインに追加することはできません。

ドメイン機能は、ドメイン全体に関係し、そのドメインにのみ影響する機能を有効にします。4 つのドメイン機能レベル (Windows 2000 混在 (既定)、Windows 2000 ネイティブ、Windows Server 2003 中間、および Windows Server 2003) を使用できます。既定では、ドメインは Windows 2000 混在の機能レベルで動作します。

ドメインの機能レベルを上げるには

ドメインオブジェクト ("contoso.com" など) を右クリックし、[ドメインの機能レベルを上げる] をクリックします。
[利用可能なドメインの機能レベルを選択してください] ボックスで、[Windows Server 2003] を選択して [上げる] をクリックします。
ドメイン機能を上げることを知らせる警告メッセージが表示されたら、[OK] をクリックします。もう一度 [OK] をクリックし、操作を完了します。
[Active Directory ドメインと信頼関係] ウィンドウを閉じます。

ページのトップへ

Active Directory ユーザーとコンピュータスナップインの使用

Active Directory ユーザーとコンピュータスナップインを起動するには

[スタート] メニューの [すべてのプログラム] をポイントします。次に、[管理ツール] をポイントし、[Active Directory ユーザーとコンピュータ] をクリックします。
"+" をクリックし、"Contoso.com" を展開します。

図 2 に、Active Directory ユーザーとコンピュータスナップインの主要なコンポーネントを示します。

図 2. Active Directory ユーザーとコンピュータスナップイン

図 2. Active Directory ユーザーとコンピュータスナップイン
拡大表示する

Active Directory オブジェクトの認識

次の表に、Active Directory のインストール中に作成されるオブジェクトを一覧します。

アイコン	フォルダ	説明
	ドメイン	このスナップインのルートノードで、管理の対象となるドメインを表します。
	Computers	ドメインに参加するすべての Windows NT、Windows 2000、Windows XP、Windows Server 2003 ベースのコンピュータについての情報が格納されています。Windows NT 3.51 および 4.0 を搭載するコンピュータも含まれます。以前のバージョンからアップグレードすると、Active Directory によってコンピュータアカウントがこのフォルダに移行されます。これらのオブジェクトは、別のフォルダに移動することができます。
	システム	Active Directory システムおよびサービスの情報が収められています。
	Users	ドメイン内のすべてのユーザーについての情報が格納されています。アップグレードした場合は、以前のバージョンのドメインに属すユーザーがすべて移行されます。コンピュータと同様、ユーザーオブジェクトも別のフォルダに移動できます。

次に、Active Directory で作成できるオブジェクトを一覧します。

アイコン	オブジェクト	説明
	ユーザー	ユーザーオブジェクトは、ディレクトリのセキュリティプリンシパルとなるオブジェクトです。ユーザーは、これらの資格情報によってネットワークにログオンすることができます。ユーザーには、アクセス許可を付与できます。
	連絡先	連絡先オブジェクトは、セキュリティアクセス許可をまったく持たないオブジェクトです。連絡先としてネットワークにログオンすることはできません。通常、連絡先は電子メールで使用する外部ユーザーに使用します。
	コンピュータ	ネットワーク上のコンピュータを表すオブジェクトです。Windows NT ベースのワークステーションやサーバーでは、このオブジェクトはコンピュータアカウントです。
	組織単位 (OU)	組織単位 (OU) は、ハードディスク上のファイルを分類して保存するフォルダと同じように、ユーザー、グループ、コンピュータなどのディレクトリオブジェクトを論理的な基準に従って分類するためのコンテナとして使用されます。
	グループ	グループには、ユーザー、コンピュータ、その他のグループを含めることができます。グループによって、多数にのぼるオブジェクトの管理を簡略化することができます。
	共有フォルダ	共有フォルダは、ディレクトリ内で公開されたネットワーク共有です。
	共有プリンタ	共有プリンタは、ディレクトリ内で公開されたネットワークプリンタです。

組織単位の追加

ここでは、Contoso ドメインに組織単位 (OU) を作成する手順を説明します。OU を入れ子にすることができます。入れ子のレベルに制限はありません。

ここで説明する手順は、共通インフラストラクチャのステップバイステップガイドで構築した Active Directory 構造に対して実行することを前提にしています。この構造を作成していない場合は、"Contoso.com" のすぐ下に OU とユーザーを追加してください。つまり、この手順では [Accounts] を [Contoso.com] に置き換えてください。

組織単位 (OU) を追加するには

[Accounts] の隣にある "+" をクリックして展開します。
[Accounts] を右クリックします。
[新規作成] をポイントし、[組織単位(OU)] をクリックします。新しい組織単位の名前として「Construction」と入力します。[OK] をクリックします。

上記の手順を繰り返して、次のような OU を追加します。

組織単位 "Engineering" ([Accounts] の下)。
組織単位 "Manufacturing" ([Accounts] の下)。
組織単位 "Consumer" ([Manufacturing] 組織単位の下)。この操作を実行するには、[Manufacturing] を右クリックし、[新規作成] をポイントして、[組織単位(OU)] をクリックします。
組織単位 "Corporate" と "Government" ([Manufacturing] 組織単位の下)。[Manufacturing] をクリックし、右側のペインに内容を表示してください。

これらの組織単位を作成すると、図 3 に示すような階層が完成します。

図 3. 新しい組織単位

図 3. 新しい組織単位
拡大表示する

ユーザーアカウントの作成

ここでは、[Construction] 組織単位にユーザーアカウント "John Smith" を作成する手順を説明します。

ユーザーアカウントを作成するには

[Construction] 組織単位を右クリックし、[新規作成] をポイントして、[ユーザー] をクリックします。または、スナップインツールバーの [新しいユーザー] をクリックします。
次の図 4 に示すようにユーザー情報を入力します。

図 4. [新しいユーザー] ダイアログボックス
[次へ] をクリックします。
[パスワード] および [パスワードの確認] に「pass#word1」と入力し、[次へ] をクリックします。

メモ組織のネットワークセキュリティ機能においてパスワードが果たす役割が、低く評価されることがあります。パスワードは、組織に対して許可されていないアクセスを防ぐ最前線に位置づけられます。Windows Server 2003 ファミリは、新しく作成されるユーザーアカウントに対して複雑なパスワードを求める新機能を実装しています。
表示されるダイアログボックスで、[完了] をクリックして確認します。

[Construction] 組織単位に James Smith のアカウントを作成しました。

このユーザーに追加情報を設定するには

左側のペインで [Construction] を選択し、右側のペインで [James Smith] を右クリックして、[プロパティ] をクリックします。
図 5 に示すプロパティダイアログボックスの [全般] タブでユーザー情報を入力し、[OK] をクリックします。適切なタブをクリックし、他のユーザー情報を確認します。
図 5. 追加ユーザー情報

ユーザーアカウントの移動

ユーザーは、1 つのドメイン内または異なるドメイン間で、組織単位を移動できます。以下の手順では、John Smith を Construction 部門から Engineering 部門へ移動します。

ユーザーを組織単位間で移動するには

右側のペインで [John Smith] ユーザーアカウントを右クリックし、[移動] をクリックします。
[移動] 画面で、[Accounts] の隣にある "+" をクリックして展開します (図 6)。

図 6. 組織単位のリスト
[Engineering] 組織単位をクリックし、[OK] をクリックします。

グループの作成

グループを作成するには

[Engineering] 組織単位を右クリックし、[新規作成] をクリックして、[グループ] をクリックします。
[新しいオブジェクト – グループ] ダイアログボックスで、[グループ名] に「Tools」と入力します。

Windows Server 2003 で利用可能なグループの種類と範囲については、次の表を確認してください。設定内容は既定のままにして、[OK] をクリックし、Tools グループを作成します。

[グループの種類] では、ネットワークリソース (ファイルやプリンタなど) へのアクセス許可を割り当てることができるグループにするかどうかを指定します。電子メール配布リストには、セキュリティグループと配布グループの両方を使用できます。

[グループのスコープ] では、グループの表示とグループに加えることができるオブジェクトの種類を指定します。

範囲	表示	追加できるオブジェクト
ドメインローカル	ドメイン	ユーザー、ドメインローカルグループ、グローバルグループ、ユニバーサルグループ
グローバル	フォレスト	ユーザーまたはグローバルグループ
ユニバーサル	フォレスト	ユーザーまたはグローバルグループ、ユニバーサルグループ

グループへのユーザーの追加

グループにユーザーを追加するには

左側のペインで [Engineering] 組織単位をクリックします。
右側のペインで [Tools] グループを右クリックし、[プロパティ] をクリックします。
[メンバ] タブをクリックし、[追加] をクリックします。
[選択するオブジェクト名を入力してください] に、「John」と入力して [OK] をクリックします。
図 7. John Smith を Tools セキュリティグループに追加する
Tools のプロパティを表示する画面で、John Smith が [Tools] セキュリティグループのメンバになっていることを確認し、[OK] をクリックします。

共有フォルダの公開

ユーザーが共有フォルダを簡単に見つけられるように、Active Directory の共有フォルダについての情報を公開できます。分散ファイルシステム (DFS) などの共有ネットワークフォルダを Active Directory に公開することができます。ディレクトリ内に共有フォルダオブジェクトを作成しても、そのフォルダが自動的に共有となるわけではありません。フォルダを作成した後、それを Active Directory に公開することが必要です。

フォルダを共有するには

エクスプローラを使用して、いずれかのディスクボリュームに "Engineering Specs" というフォルダを新たに作成します。
エクスプローラで、Engineering Specs フォルダを右クリックし、[プロパティ] をクリックします。[共有とセキュリティ] をクリックし、[このフォルダを共有する] をクリックします。
Engineering Specs のプロパティを表示する画面で、[共有名] ボックスに「ES」と入力し、[OK] をクリックします。操作を完了したら、エクスプローラを閉じます。

メモ既定では、組み込みの Everyone グループのユーザーがこの共有フォルダにアクセスできます。[アクセス許可] ボタンをクリックし、この設定を変更できます。

ディレクトリへの共有フォルダの公開

共有フォルダをディレクトリに公開するには

[Active Directory ユーザーとコンピュータ] スナップインで [Engineering] 組織単位を右クリックし、[新規作成] をポイントして、[共有フォルダ] をクリックします。
[新しいオブジェクト – 共有フォルダ] ダイアログボックスで、[名前] に「Engineering Specs」と入力します。
[ネットワークパス] ボックスに「\\hq-con-dc-01.contoso.com\ES」と入力して [OK] をクリックします。
[Engineering Specs] を右クリックし、[プロパティ] をクリックします。
[キーワード] をクリックします。[新しい値] に「specifications」と入力し、[追加] をクリックして操作を続けます。[OK] を 2 回クリックして完了します。

これで、ユーザーが共有名またはキーワードで Active Directory を検索し、この共有リソースの場所を特定できるようになりました。

共有フォルダの検索

共有フォルダを検索するには

[Active Directory ユーザーとコンピュータ] MMC で [Contoso] を右クリックし、[検索] をクリックします。
[検索] ボックスで、[共有フォルダ] をクリックします。[キーワード] ボックスに「specifications」と入力し、[検索開始] をクリックします。
[検索結果] の中から [Engineering Specs] を右クリックし、[開く] をクリックします。

図 8. Active Directory で共有フォルダを検索する
拡大表示する

メモ ES 共有フォルダ下にディレクトリやファイルを作成すると、その内容は、ディレクトリ検索によってエンドユーザーが使用できるようになります。ユーザーは、この共有リソースをネットワークドライブとしてマップすることもできます。
[共有フォルダを検索します] ダイアログボックスを閉じます。

プリンタの公開

Active Directory の共有プリンタについての情報を公開することもできます。Windows NT で共有されているプリンタの情報については、手動で公開する必要があります。Windows Server 2003 ファミリまたは Windows 2000 Server ファミリで共有されているプリンタの情報については、共有プリンタを作成した時点で自動的にディレクトリに公開されます。[Active Directory ユーザーとコンピュータ] スナップインを使って、共有プリンタ情報を手動で公開します。

印刷サブシステムでは、プリンタ属性 (場所、説明、用紙など) に加えた変更は自動的にディレクトリに伝えられます。

メモここでは、プリンタを、ファイルに直接書き込むように構成して公開する手順を説明します。IP、LPT、または USB ベースのプリンタを使用する場合は、適宜、手順に変更を加えながら操作を進めてください。

新しいプリンタの追加

新しいプリンタを追加するには

[スタート] ボタンをクリックし、[プリンタと FAX] をクリックして、[プリンタの追加] をダブルクリックします。[プリンタの追加ウィザード] が起動します。[次へ] をクリックします。
[このコンピュータに接続されているローカルプリンタ] をクリックし、[プラグアンドプレイ対応プリンタを自動的に検出してインストールする] チェックボックスをオフにして、[次へ] をクリックします。
[次のポートを使用] ボックスで [FILE: (ファイルへ出力)] をクリックし、[次へ] をクリックします。
[製造元] の結果ペインで、[Generic] をクリックします。[プリンタ] の結果ペインで、[Generic / Text Only] をクリックします。[次へ] をクリックします。
[プリンタ名] ページで、プリンタの名前を「Print to File」に変更し、[次へ] をクリックします。
[プリンタ共有] ページで、[共有名] を「FilePrinter」に変更し、[次へ] をクリックします。
[場所とコメント] ページの [場所] に、「Headquarters – Bldg 4 – Room 2200」と入力します。[次へ] をクリックします。
[次へ] をクリックし、テストページを印刷します。次に、[完了] をクリックし、インストールを終了します。
ページのファイル名として「Test Print」と入力します。入力したら、[OK] をクリックします。

プリンタは、自動的に Active Directory に公開されます。

Active Directory 内のプリンタの検索

Active Directory 内のプリンタを検索するには

[プリンタと FAX] ダイアログボックスで、[プリンタの追加] をダブルクリックします。
[プリンタの追加ウィザード] が起動します。[次へ] をクリックします。
[ネットワークプリンタ、またはほかのコンピュータに接続されているプリンタ] をクリックし、[次へ] をクリックします。
[ディレクトリ内のプリンタを検索する] (既定) をクリックし、[次へ] をクリックします。
[プリンタを検索します] ダイアログボックスが表示されます。[検索開始] をクリックし、Active Directory で公開されているすべてのプリンタを検索します。さらに検索条件を指定して、利用できる機能や場所によって検索結果を絞り込むことができます。

[プリンタの場所の追跡] プリンタの場所の追跡機能により、プリンタ検索を効率的に行います。プリンタの場所の追跡を有効にして [検索開始] をクリックすると、Active Directory により、ユーザーの場所にあるプリンタの中で、ユーザーのクエリ条件に一致するすべてのプリンタが一覧されます。[参照] をクリックして場所を変更すると、他の場所にあるプリンタを検索できます。プリンタの場所追跡設定の詳細については、Windows Server 2003 のヘルプとサポートセンターを参照してください。
[プリンタを検索します] ページの [検索結果] で、[Print to File] をダブルクリックしてプリンタをインストールします。[はい] (既定) をクリックし、このプリンタを既定のプリンタとして設定します。[次へ] をクリックします。

図 9. Active Directory で共有プリンタを検索する
拡大表示する
[完了] をクリックし、プリンタのインストールを終了します。
[プリンタと FAX] ウィンドウを閉じます。

Active Directory では、複数のオペレーティングシステム (Windows Server 2003、Windows 2000、Windows XP は除きます) で共有するプリンタを公開できます。公開には、[Active Directory ユーザーとコンピュータ] スナップインを使用することもできますが、pubprn.vbs スクリプトを使用するのが最も簡単です。このスクリプトは、特定のサーバー上にあるすべての共有プリンタを公開するもので、\winnt\system32 ディレクトリにあります。

プリンタの手動公開 (pubprn.vbs スクリプトを使用)

手動でプリンタを公開するには (pubprn.vbs スクリプトを使用)

[スタート] ボタンをクリックし、[ファイル名を指定して実行] をクリックします。テキストボックスに「cmd」と入力して、[OK] をクリックします。
「cd \windows\system32」と入力し、Enter キーを押します。
「cscript pubprn.vbs prserv1 "LDAP://ou=accounts,dc=contoso,dc=com"」と入力し、Enter キーを押します。

メモここで説明する手順では、[Account] 組織単位に Prserv1 サーバー上の全プリンタを公開します。このスクリプトでは、プリンタ属性のサブセット (場所、モデル、コメント、UNCPath など) のみをコピーします。また、このスクリプトは Windows Server 2003 では機能しません。これは、ダウンレベルのプリントサーバーから Active Directory にプリンタを公開するための手動ツールとしてのみ提供されています。
ウィンドウを閉じます。

プリンタの手動公開 (Active Directory ユーザーとコンピュータスナップインを使用)

[Marketing] 組織単位を右クリックし、[新規作成] をクリックして、[プリンタ] をクリックします。
[新しいオブジェクト - プリンタ] ダイアログボックスが開きます。テキストボックスにプリンタのパス (例 :「\\サーバー\共有名」) を入力し、[OK] をクリックします。

ディレクトリにプリンタを公開すると、エンドユーザーは、プリンタを参照して選択、それらのプリンタにジョブを送信、プリンタドライバをサーバーから直接インストール、などの操作を実行できるようになります。

コンピュータオブジェクトの作成

コンピュータをドメインに追加すると、コンピュータオブジェクトが自動的に作成されます。コンピュータをドメインに追加する操作をすべてのユーザーには許可しない場合、手動またはスクリプト経由でコンピュータがドメインに追加される前に、コンピュータオブジェクトを作成しておくこともできます。

コンピュータをドメインに手動で追加するには

[Engineering] 組織単位を右クリックし、[新規作成] をポイントして、[コンピュータ] をクリックします。
コンピュータ名に「Legacy」と入力し、[次へ] をクリックします。
コンピュータが管理されている場合は、システムの GUID を入力します。この例では、システムの GUID は空白のままにして、[次へ] をクリックします。そして、[完了] をクリックします。
このコンピュータを [Active Directory ユーザーとコンピュータ] スナップインで管理する場合は、コンピュータオブジェクトを右クリックし、[管理] をクリックします。

任意で、ユーザーを選択し、コンピュータをドメインに追加する許可を付与することができます。これによって、管理者はコンピュータアカウントを作成でき、アクセス許可のレベルが低いユーザーでも、コンピュータをインストールし、ドメインに追加することができます。

オブジェクトの名前変更、移動、削除

ディレクトリ内のすべてのオブジェクトについて、名前の変更と削除が可能です。また、ほとんどのオブジェクトは別のコンテナに移動できます。次に、コンピュータオブジェクトの作成について、その他の方法を説明します。

"Legacy" コンピュータオブジェクトを別のコンテナに移動するには

[Accounts] 組織単位で、[Engineering] 組織単位をクリックします。
[Legacy] コンピュータオブジェクトを右クリックし、[移動] をクリックします。
[Resources] 組織単位を展開し、[Servers] 組織単位を選択します (図 10)。
図 10. コンピュータオブジェクトを移動する
[OK] をクリックし、[Resources] 組織単位内の [Servers] 組織単位にコンピュータを移動します。

コンピュータオブジェクトの管理

Active Directory 内のコンピュータオブジェクトは、Active Directory ユーザーとコンピュータスナップインから直接管理できます。コンピュータ構成をさまざまな側面から参照し、また制御するには、"コンピュータの管理" コンポーネントを使用します。コンピュータの管理コンポーネントは、いくつかの管理ユーティリティを 1 つのコンソールツリーに集めたもので、ローカルコンピュータやリモートコンピュータの管理用プロパティやツールにアクセスできます。

メモ以降で説明する手順では、HQ-CON-DC-01 コンソールから作業していることと、HQ-CON-DC-02 コンソールが現在実行中であることを前提としています。

リモートコンピュータの管理

リモートコンピュータを管理するには

[Active Directory ユーザーとコンピュータ] スナップインで [contoso.com] を右クリックし、[ドメインに接続] をクリックします。
[参照] をクリックし、[contoso.com] の隣にある "+" をクリックします。[vancouver.contoso.com] をダブルクリックし、[OK] をクリックします。
"+" をクリックし、[vancouver.contoso.com] を展開して、[Domain Controllers] をクリックします。
[HQ-CON-DC-02] を右クリックし、[管理] をクリックします。これで、システムはリモートで管理されるようになりました (図 11)。

図 11. コンピュータをリモートで管理する
拡大表示する
[コンピュータの管理] ウィンドウを閉じます。

入れ子になったグループ

入れ子になったグループを使用すると、保守作業の負荷を最低限に抑えながら、会社全体または部門全体でリソースにアクセスする環境を構築できます。すべてのチームのアカウントグループを全社で 1 つのリソースグループに配置する方法は、多数のメンバシップリンクを作成する作業が発生し、その保守も必要になるため、効率的なソリューションとはいえません。入れ子になったグループを使用するには、管理者は会社の経営上の部門を表すアカウントグループを作成します。

たとえば、最上位のアカウントグループの名前が "All Employees" で、このグループはリソースや共有ディレクトリにアクセスできるリソースグループに連結されているとします。次の下位レベルには、会社の主要な部門を表すアカウントグループが含まれています。このレベルに属するグループは、"All Employees" のメンバであり、リソースや共有ディレクトリにアクセスできるリソースグループに連結されています。

部門レベルの次の下位レベルは、部署を表します。部署の共有リソースには、プロジェクト、ミーティング、休暇などのスケジュールをはじめ、部署全体に関係のあるネットワーク情報などが含まれています。部署レベルのアカウントグループは、部門レベルのアカウントグループのメンバです。

部署レベルの下位レベルでは、必要となる特殊なレベルに応じて、組織構造をセキュリティグループに分けて配置できます。チームのアカウントグループごとに配置したり、組織の階層構造のリーフノードを示したりすることができます。

このグループ階層を配置すると、新しい従業員が配属されてたときにチームのアカウントグループに追加することで、その従業員はチーム、部署、部門、会社のリソースにすぐにアクセスできるようになります。このシステムでは、原則として最低限のアクセスをサポートします。つまり、新しい従業員は、隣のチーム、別の部署、別の部門のリソースを参照することはできません。

入れ子になったグループの作成

入れ子になったグループを作成するには

[Active Directory ユーザーとコンピュータ] スナップインで [vancouver.contoso.com] を右クリックし、[ドメインに接続] をクリックします。
[参照] をクリックし、[contoso.com] をクリックします。[OK] を 2 回クリックして完了します。
[contoso.com] を展開し、[Accounts] 組織単位を展開します。
[Engineering] を右クリックし、[新規作成] をポイントします。次に、[グループ] をクリックし、新しいグループを作成します。「All Engineering」と入力し、[OK] をクリックします。
[All Engineering] グループを右クリックし、[プロパティ] をクリックします。
[メンバ] タブをクリックし、[追加] をクリックします。
[選択するオブジェクト名を入力してください] に「Tools」と入力し、[OK] をクリックします。
もう一度 [OK] をクリックします。これで、入れ子になったグループが作成されました。

特定のオブジェクトの検索

ディレクトリを大規模に展開する場合、特定のオブジェクトを探すために、オブジェクトのリスト全体を参照することは適切でないことがあります。一般に、特定の条件に合うオブジェクトを探す方が効率的です。次の手順では、Contoso ドメインでログオン名が "J" で始まるすべてのユーザーを検索します。

ログオン名が "J" で始まるユーザーを検索するには

[contoso.com] をクリックして選択します。[contoso.com] を右クリックし、[検索] をクリックします。
[詳細設定] タブをクリックします。[フィールド] ボックスで [ユーザー] を選択し、[ログオン名] をクリックします。
[値] に「J」と入力し、[追加] をクリックします。[検索開始] をクリックします。図 12 のような結果が表示されます。
図 12. 高度なディレクトリ検索テクニックを使う
拡大表示する
[ユーザー、連絡先およびグループを検索します] ウィンドウを閉じます。

オブジェクトのリストのフィルタ

ディレクトリから返されたオブジェクトのリストをフィルタ処理することによって、ディレクトリの管理を効率化できます。フィルタ処理オプションでは、スナップインに返されるオブジェクトの種類を制限できます。たとえば、ユーザーとグループだけを表示したり、もっと複雑な条件のフィルタを作成したりすることもできます。組織単位に指定数を超えるオブジェクトがある場合、結果ペインに表示するオブジェクトの数を制限することができます。このオプションを設定するには、フィルタ機能を使用します。

ユーザーへの表示用にフィルタを作成するには

[Active Directory ユーザーとコンピュータ] スナップインで、[Accounts] 組織単位の下にある [Engineering] 組織単位をクリックします。
[表示] メニューをクリックし、[フィルタオプション] をクリックします。
[次の種類のオブジェクトのみを表示] をクリックし、[ユーザー] を選択して [OK] をクリックします。
[Accounts] を展開し、[Engineering] をクリックし、フィルタ処理の結果を確認します。
フィルタを削除します。

ページのトップへ

ステップバイステップガイド : Active Directory の管理

トピック