none
シングルドメインの情報公開範囲の指定について RRS feed

 > 

  • 質問

  • Question
    サインインして投票
    0
    サインインして投票

    お世話になります。

    現在、シングルフォレスト構成及びマルチドメイン構成で、各拠点に個別のドメインコントローラを配置して

    運用を行っており、各拠点のオブジェクト情報（ユーザーやコンピュータ等）は、他の拠点には公開しない

    設計としております。

    上記システムのリプレイスにあたり、シングルフォレスト及びシングルドメインで、各拠点はサイトを分ける

    ことになりました。各拠点にはそれぞれドメインコントローラを配置します。

    この場合に、各拠点のオブジェクト情報（ユーザーやコンピュータ等）を各拠点間で見えないよう公開範囲を

    指定するような設定は可能でしょうか。なお、現行情報の移行は考慮しなくて問題ありません。

    ＜現行＞

    ・シングルフォレスト（contoso.com）、マルチドメイン

    ・Windows Server 2008のフォレストレベル・ドメインレベル

    ・東京ドメイン　tokyo.contoso.com

    ・大阪ドメイン　osaka.contoso.com

    ＜新規＞

    ・シングルドメイン（contoso.com）

    ・Windows Server 2016のフォレストレベル・ドメインレベル

    ・東京のみ公開するオブジェクト情報

    ・大阪のみ公開するオブジェクト情報

    ご支援のほど、どうぞ宜しくお願いいたします。




    2017年10月27日 3:37
    |

回答

  • Question
    サインインして投票
    0
    サインインして投票

    チャブーンです。

    作成済みActive Directoryオブジェクトの公開、については、単にオブジェクトのアクセス許可設定で指定しています。アクセス許可設定は、ドメインレベルで共通ですから、「サイトごとのアクセス許可」を設定したいなら、管理者が自分でやるしかありません。

    つまり、各サイトごとに「特定サイトに所属していることを示す『セキュリティグループ』」を作成して、属するユーザーやコンピューターオブジェクトをメンバーとし、そのメンバーしか表示できないよう、個別にアクセス許可を設定することになります。

    個別に設定が難しいなら、サイトを模したOUを構成し、属するオブジェクトをOU単位で分けて、OUに対して子オブジェクトへのアクセス許可を設定(設定には上記のセキュリティグループを使います)する、といった工夫がいるでしょう。

    認証や管理の観点から、ドメインコントローラーはフィルター対象から除いたほうがいいでしょう。

    フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。

    2017年10月27日 5:51
    |
    モデレータ

すべての返信

  • Question
    サインインして投票
    0
    サインインして投票

    チャブーンです。

    作成済みActive Directoryオブジェクトの公開、については、単にオブジェクトのアクセス許可設定で指定しています。アクセス許可設定は、ドメインレベルで共通ですから、「サイトごとのアクセス許可」を設定したいなら、管理者が自分でやるしかありません。

    つまり、各サイトごとに「特定サイトに所属していることを示す『セキュリティグループ』」を作成して、属するユーザーやコンピューターオブジェクトをメンバーとし、そのメンバーしか表示できないよう、個別にアクセス許可を設定することになります。

    個別に設定が難しいなら、サイトを模したOUを構成し、属するオブジェクトをOU単位で分けて、OUに対して子オブジェクトへのアクセス許可を設定(設定には上記のセキュリティグループを使います)する、といった工夫がいるでしょう。

    認証や管理の観点から、ドメインコントローラーはフィルター対象から除いたほうがいいでしょう。

    フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。

    2017年10月27日 5:51
    |
    モデレータ
  • Question
    サインインして投票
    0
    サインインして投票

    チャブーン様

    返信いただきありがとうございます。

    「特定サイトに所属していることを示す『セキュリティグループ』」を作成して、

    参照を許可するメンバーに対して個別にアクセス許可すればよいのですね。

    早速検証してみます。

    ドメインコントローラをフィルタ対象から除外したほうがよい旨、承知いたしました。

    2017年10月29日 19:29
    |