Active Directoryの委任とは?【連載:ADについて学ぼう~応用編(1)~】

| By

ドメイン内には多くのOUが存在しており、さらに各OUには多くのユーザーやグループといったオブジェクトが存在しています。そんなOUに対する管理変更(パスワードリセットやユーザー作成や削除など)を、ドメイン管理者が全て行っている場合、ドメイン管理者の負担は大変大きくなりがちです。

そこで、Active Directoryの機能の一つである「制御の委任」を行うことにより、OU単位で、特定の管理作業だけを任せることができるようになります。これにより、Active Directory内の管理作業を分担することが出来るため、ドメイン管理者の負担を軽減することが可能なのです!

 

今回はセキュリティ管理者にとって 、特に負担が大きくなりがちな「パスワードリセット」の権限委任を例に、委任の設定方法をご紹介していきたいと思います。

1.「Active Directoryユーザーとコンピュータ」を起動します。
2.制御の委任を行うOUを右クリックして、「制御の委任」を選択します。

3.「オブジェクト制御の委任ウィザード」が起動します。
4.[追加]ボタンをクリックして、権限委任を行うユーザーまたはグループを選択します。

5.委任するタスクの種類を以下の2つから選択します:
(今回は[委任するカスタムタスクを作成する]を選択します。)

[次の共通タスクを委任する]
制御を委任できる共通タスクは次の通りです。

  • ユーザー アカウントの作成、削除、および管理
  • ユーザーのパスワードをリセットして次回ログオン時にパスワードの変更を要求する
  • すべてのユーザー情報の読み取り
  • グループのメンバーシップの変更
  • コンピューターのドメインへの参加
  • グループ ポリシーのリンクの管理
  • ポリシーの結果セットの生成 (計画)
  • ポリシーの結果セットの生成 (ログ)
  • inetOrgPerson アカウントの作成、削除および管理を行います
  • inetOrgPerson パスワードをリセットし、次回ログオン時に強制的にパスワードの変更を求めます
  • すべての inetOrgPerson 情報を読み取る

[委任するカスタムタスクを作成する]
委任するタスクが上記一覧にない場合は、カスタムタスクを作成することで
より詳細の制御を委任できます。

6.委任するオブジェクトの種類を選択します。
(今回は[ユーザーオブジェクト]を選択します。)

[このフォルダ、このフォルダ内の既存のオブジェクト、およびこのフォルダ内の新しいオブジェクトの作成]
OU内のすべてのオブジェクトの権限を委任する場合に選択します。

[フォルダ内の次のオブジェクトのみ]
一部のオブジェクトに対してのみ権限を委任する場合に選択します。

7.委任するアクセス許可を選択します。
(今回は[パスワードのリセット]を選択します。)

[全般]
既定の表示です。
アクセス許可の一覧に、

日立ケーイーシステムズ タッチパネル情報端末 NR6シリーズ 12.1型 PCKE-NR6-S2SC0N:ケンコー Camlight PL-H5500 LEDライト 044805
Lenovo 【Corei3 HDD1TBモデル】G50 エボニー 80E503FSJP:ATEN DVI-D(Single Link) KVMケーブル(5m) 2L-7D05U
不二貿易 ウッドマガジンラックデコール3段スリム 82307:ウェルコムデザイン コードレス二次元リーダセット ロングレンジCCD USB 1564A-U
Lenovo 【Corei3 HDD1TBモデル】G50 エボニー 80E503FSJP:エプソン スリッププリンター/パラレル/クールホワイト TM-U295P
SONY 密閉型インナーイヤーレシーバー クロムグレー MDR-EX450/H:シグマ ELECTRONIC FLASH ニコン用 EF-610 DG ST NA
Lenovo 【Corei3 HDD1TBモデル】G50 エボニー 80E503FSJP:NETGEAR ReadyNAS 526X 6ベイ デスクトップ型(ディスクレス) RN526X00-100AJS
SONY 密閉型インナーイヤーレシーバー ブラック MDR-XB70/B:ケンコー NEWスカイエクスプローラー SE II 赤道儀 492154
Lenovo 【Corei3 HDD1TBモデル】G50 エボニー 80E503FSJP:システムサコム工業 RS-232C⇔RS-485絶縁変換器端子型アダプタ SS-485i-TR-ADP
キングストン 16GBx4 DDR3-1600 ECC CL11 Reg-DIMM KVR16R11D4K4/64I:オカベマーキングシステム バーコードプリンター Zebra ZT220 203dpi 感熱 ZP-ZT220-203-DT
Lenovo 【Corei3 HDD1TBモデル】G50 エボニー 80E503FSJP:ロゼンスター 温冷美顔器 (ホワイトパール) BT-420
アルフ 2Dバーコードリーダー USBキーボードI/F Xenon 1900gSR-USB-HID:ATEN PS/2 キーボード・マウス エミュレータ CV-100KM
Lenovo 【Corei3 HDD1TBモデル】G50 エボニー 80E503FSJP:NEC 【オフィス付】LAVIE Smart NS(S) Corei3-7100U/4GB/1TB(SSHD) クリスタルレッド PC-SN242HSA9-4
レノボ・ジャパン Lenovo S500 Small (i5/4/500/SM/W7DG) 10HVS00M00:ニコン 双眼鏡 ACULON T51 10x24 ブラック ACT5110X24BK
Lenovo 【Corei3 HDD1TBモデル】G50 エボニー 80E503FSJP:ハイパーツールズ BELDEN 1700A UTP CAT5eケーブル 60m 白 1700A-60MW
光興業 OAエプロン キュート・ワンNEWシングルタイプ P-5:IODATA PC3-10600対応 204ピン S.O.DIMM 2GB SDY1333-2G
Lenovo 【Corei3 HDD1TBモデル】G50 エボニー 80E503FSJP:MASTER&DYNAMIC 密閉型イヤホン ME03 GUNMETAL ME03-GM
MASTER&DYNAMIC 密閉型イヤホン ME03 GUNMETAL ME03-GM:NECフィールディング NEFAX用トナーカートリッジ(12000枚) NG-155360-001 EF-4615TL
Lenovo 【Corei3 HDD1TBモデル】G50 エボニー 80E503FSJP:TDKラムダ ユニット型電源 JWS70P-24
アサヒペン 水性屋上防水遮熱塗料 ダークグリーン 10L:コンテック デジタルインフォメーションターミナルシリーズ DIT-1000W18TV-DC6411
Lenovo 【Corei3 HDD1TBモデル】G50 エボニー 80E503FSJP:ユーパワー メモリーズ木製フォトフレーム 12ウィンドー EF-05031 ナチュラル

、ウィザードの前のページで選択したすべてのオブジェクトに共通するアクセス許可が表示されます。

[プロパティ固有]
アクセス許可の一覧に、 ウィザードの前のページで選択したオブジェクトの種類の固有のプロパティが表示されます。

[特定の子オブジェクトの作成または削除]
アクセス許可の一覧に、ウィザードの前ページで選択した、オブジェクトの種類の[子オブジェクトの作成と削除]に対する固有のプロパティが表示されます。

8.最後に[完了]をクリックしてウィザードを終了します。

以上の手順により、パスワードリセットの権限委任を行うことが出来ました!

 

設定内容を確認してみよう!!

1.「Active Directoryユーザーとコンピュータ」を起動します。
2.メニューの “表示” → “拡張機能” にチェックが入っていることを確認します。
入っていなければ選択してチェックを入れます。これにチェックが入っていると、オブジェクトの拡張セキュリティ設定にアクセスすることができます。
3.先ほど権限委任を行ったOUを右クリックして、プロパティを開きます。
4.[セキュリティ]タブに移動すると、権限を付加したユーザーが追加されているのが確認できます。



5.[詳細設定]をクリックして設定内容の詳細を表示します。
6.アクセス許可のエントリ一覧を見ると、権限を付加したユーザーにパスワードリセットの権限が付加されているのが確認できます。

以上が設定内容の確認方法になります。

最後に、今回ご紹介した「制御の委任」ですが、ADManager Plusを使用することでより簡単に行うことが出来ます!興味のある方は、ぜひ下記サイトをご参照ください。

「ACTIVE DIRECTORYの管理操作をオペレーターに委任」
https://www.manageengine.jp/products/ADManager_Plus/windows-active-directory-helpdesk-delegation.html

「ADMPを使って、、Euro2016 フランス代表選手をインポートしてみた」
http://blogs.manageengine.jp/import-les-blues/
>> 応用編(2) ダイナミックアクセス制御と設定方法


【関連情報】

Comments are closed.