Active Directoryの構成要素(1)

今回は、Active Directoryの基本単位である「ドメイン」と「フォレスト」について解説する。

Active Directoryの特徴として、ドメインの階層化を可能にした点が挙げられる。LAN Manager、あるいはWindows NTのドメインでは階層化が行えず、しかもひとつのドメインに収容できるオブジェクトの数に制限があったため、大規模な組織ではドメインが乱立して管理しづらい、という苦情があり、それを解消する狙いによる。

ドメインツリーの命名

ドメインの階層、すなわちドメインツリーは、インターネットにおけるDNSドメインと同様の命名・表記ルールを使用している。そのため、階層ごとにピリオドで区切るようになっており、階層が深くなるほど、ピリオドで区切られたパートが左側に向かって増えることになる。

ドメインツリーの最上階層に位置するドメインのことを「ルートドメイン」という。たとえば、ルートドメインの名前が「ad-domain.company.local」となっていた場合、この下にサブドメイン(子ドメイン)を追加して階層構造を構成できる。そして、サブドメインとして「tokyo.ad-domain.company.local」や「sapporo.ad-domain.company.local」といったものを設置できる。さらに階層を深くすると、「chiyoda.tokyo.ad-domain.company.local」といった具合になる。

ドメインとフォレスト

このドメインツリーを束ねる単位として、フォレストがある。つまり、Active Directoryを構成するさまざまな要素のうち、最上階層となるものがフォレストであり、その配下にひとつ、あるいは複数のドメインツリーを配置できるようになっている。こうすることで、ひとつの組織体の中に複数のドメインツリーを構成する場面にも対応できるようになっている。

なお、フォレストの配下に複数のドメインツリーが存在する場合、最初に設置したドメインツリーのルートドメインのことを、フォレストルートドメインと呼ぶ。命名ルールの上では、同一フォレスト内に存在するすべてのルートドメインは並列になっているように見えるが、ドメインツリーを追加する場面、あるいはドメインを削除する場面など、フォレストルートドメインの存在を意識しなければならない状況が発生することがある。

したがって、行き当たりばったりにドメインツリーを構成するのではなく、どういった構造にするのか、どれがフォレストルートドメインになるのか、といった事柄を事前に計画して、文書化しておく方がよい。後で管理を引き継いだ人を混乱させないようにするための配慮だ。