端末をドメインに参加させる

解説（テキスト版）

はじめに

情シスには、こんな相談が届きます。新しいパソコンが届いたので、使えるようにしてほしい。あるいは、入れ替えたパソコンで、前と同じようにログインできない、と言われる。

もう一つ。USBメモリを使えないようにしたい。でも、全部のパソコンに、一台ずつ設定するのは大変です、と頼まれる。

どちらも、端末をドメインに参加させる、という仕組みが関わっています。

一言で言うと

先に、一言でまとめておきます。ドメイン参加は、パソコンを、庁内の管理の仲間に入れる手続きです。

仲間に入ると、ログインの管理と、設定の配布を、サーバーからまとめてできるようになります。参加していないパソコンは、管理の外にいます。

地図のどこか

セキュリティ編の第3回で、マイクロソフトのアクティブディレクトリ、略してADを、お話ししました。今日はその続きで、パソコンの側から見ます。

三層との関係では、層ごとにADを分けている団体も、あります。マイナンバー利用事務系は、ほかの層とは通信しない、専用の端末なので、その層の中で完結する仕組みで管理することになります。

ドメイン参加とは

ドメイン参加は、パソコンを、ADに登録する作業です。登録すると、そのパソコンも、ユーザーと同じように、ADの中の一つのアカウントとして扱われます。コンピューターアカウントと呼ばれます。

参加したパソコンでは、職員が自分のIDでログインできます。ログインの確認は、ADが行います。

新しいパソコンが届いたら、ドメインに参加させ、どの組織の置き場に入れるかを決める、というのが、一般的な例です。団体によって、手順は違います。

グループポリシー

グループポリシーは、ドメインに参加したパソコンやユーザーに、設定をまとめて配る仕組みです。

たとえば、パスワードの長さ、画面ロックの時間、USBメモリの利用の制限、更新の設定、プリンターの割り当てなどを、ADの組織ごとに決めて、配ります。

一台ずつ手で設定しなくても、同じ設定が揃う。これが、運用で、とても大きな力になります。

OUの考え方

ADの中には、組織の置き場があります。OUと呼ばれ、日本語で言うと、組織単位です。部署や、端末の種類ごとに分けておくのが、一般的な例です。

グループポリシーは、このOUに対して設定します。たとえば、窓口の端末のOUと、事務室の端末のOUで、設定を分ける、といった使い方です。

OUの切り方は、団体によって違います。どう切ってあるかを見ると、その団体の、端末の管理の考え方が見えてきます。

参加の作業の注意

参加の作業をするときは、パソコンの名前を、ルールに沿って付けます。名前が重複したり、台帳と食い違ったりすると、あとで困ります。

また、参加させるには、その権限を持つアカウントが要ります。このアカウントの管理も大事です。誰が持っているかを、確認しておきます。

設定が届くまで

ただし、グループポリシーは、変えた瞬間に、全部のパソコンに反映されるわけではありません。パソコンが、ADに確かめに来たときに、取り込みます。

パソコンが休止中だったり、庁内のネットワークにつながっていなかったりすると、設定は届きません。

変更するときは、まず一部の組織で試し、問題がないことを見てから広げる運用が、多いです。いきなり全庁に配ると、全員のパソコンに影響するからです。

参加していない端末

ドメインに参加していないパソコンは、グループポリシーも、更新の設定も、届きません。管理の外にいる、ということです。

こうした端末は、検証用に借りたパソコンや、委託先の持ち込み、テスト機など、いろいろな形で、庁内に紛れることがあります。

第6回の資産管理とあわせて、どのパソコンが管理の中にいて、どれが外にいるのかを、把握しておくのが基本です。

入れ替えと異動

運用では、人の異動と、パソコンの入れ替えが、毎年あります。異動のときの、ユーザーのアカウントの見直しは、第8回でお話しします。

パソコンを入れ替えたり、廃棄したりするとき、ADに、古いコンピューターアカウントが残ることがあります。残ったままだと、台帳と実態がずれます。

ドメインから外す手順と、アカウントを消す手順を、入れ替えの手順に含めておくことが大事です。

現場でよくある誤解

現場でよくある誤解を、3つ挙げます。

一つ目。ドメインに参加していれば、安全、という誤解です。参加は管理の入口で、更新や設定が届いて、初めて意味があります。

二つ目。グループポリシーを変えれば、すぐ全員に反映される、という誤解です。休止中の端末や、ネットワークの外にいる端末には、届きません。

三つ目。ADが止まっても、ログインは、いつも通りできる、という誤解です。直前にログインした端末は、一時的に入れる場合もありますが、ほかのサービスは使えなくなります。

異動してきたら最初に確かめること

では、異動してきたら、まず何を確かめればいいでしょうか。

一つ目。ADが、どの層に、何台あるか。ドメインコントローラーの場所と、バックアップがあるかを見ます。

二つ目。主なグループポリシーの一覧です。USBや、更新、画面ロックが、どう設定されているのかを確かめます。

三つ目。ドメインに参加していない端末が、庁内に何台あるか。把握している台帳が、あるかどうかを見ます。