Create user/group/computer objects and configure group plicy(for users).

1. Active Directoryドメインを作ってみよう
その2：ユーザーやグループの作成とPCのドメイン参加
小山三智男
mitchin
Microsoft MVP for Directory Services

2. 2
Active Directory ドメイン構造
フォレスト
ドメインツリー
ドメイン
test.local
ドメイン
west.test.local
ドメイン
east.test.local
ドメインツリー
ドメイン
test2.local
ドメイン
sub.test2.local

3. 3
Active Directory サイト構造
サイト
DC1
TokyoSite
DC2
DC3
サイト内複製
サイト
DC5
OsakaSite
サイト間複製サイト内複製
DC4
サイトリンク
サブネット
192.168.0.0/24
192.168.1.0/24
192.168.2.0/24
サブネット
172.16.0.0/24
172.16.1.0/24
Tokyo-OsakaLink

4. ドメインの作成・設定手順
4
ドメインコントローラーを作成してドメインを作成
• TCP/IP の設定
• Active Directory ドメインサービス（AD DS）とDNS サー
バーのインストール
• ドメインコントローラーへの昇格
• DNS サーバーの設定
• タイムサーバーの設定（推奨）
• 組織単位（OU）、グループ、ユーザーなどの作成
• コンピューターをドメインに参加
• グループポリシーの設定（ユーザー用をちょっとだけ）
ドメインコントローラーを追加
• サイトの設定（サブネットの追加）

5. 5
管理ツール
「Active Directory ユーザーとコンピューター」を起動
※サーバーマネージャーでもできます

6. 6
作成・管理するオブジェクト
一般的には次の6つのオブジェクトを作成・管理します。
• ユーザー
• グループ
• コンピューター
• 組織単位（OU）
• プリンター
• 共有フォルダー

7. 7
組織単位（OU）の作成
OU はファイルシステムでいうフォルダみたいなもので、ユー
ザーやグループ、コンピューターやOU を格納します。
部署などのOU を作成して上記オブジェクトをまとめます。
OU にはグループポリシーを設定（適用）できます。
削除されないようにするには「間違って削除されないようコンテ
ナーを保護する」にチェックを入れます。

8. 8
グループの作成
グループは同じ部署やプロジェクトなどに所属するユーザーをま
とめるために作成します。
アクセス権の設定対象にするのでグループの種類を「セキュリ
ティ」にします。

9. 9
グループのスコープ
作成可能なグループのスコープは次の3つです。
• ドメインローカル
• グローバル
• ユニバーサル
詳細は「Active Directory DomainのGroup」を参照。
http://www.slideshare.net/mitchin227/group-40422613

10. 10
ユーザーの作成
対象のOU に作成します。ユーザーはオブジェクトの中で最も
多くのプロパティを持ちます。

11. 11
ユーザーの作成
パスワードを入力、オプションを選択します。作成後は所属する
グループ、住所や電話、組織などのプロパティを設定します。

12. 12
コンピューターの作成
コンピューターを事前に作成する場合は、作成したいOU に作成
します。コンピューター名を入力するだけです。
ドメイン参加時に自動的に作成することもできます。

13. 13
プリンターの作成
デバイスとプリンターで共有プリンターのプロパティから共有
タブの「ディレクトリに表示する」にチェックを入れることで自
動的に作成されます。
詳細は「Move the added printer to specific OU」を参照。
http://www.slideshare.net/mitchin227/move-printertoou

14. 14
共有フォルダの作成
名前とネットワークパスを入力します。作成後はキーワードを
設定します。

15. 15
コンピューターをドメインに参加
Windows 8 やWindows Server 2012 などのPCをドメインに
参加させるとそのPCはドメインのメンバーになり、ユーザーはそ
のPCからドメインにログオンできるようになります。
※ログオンする権利があればです。
ドメインに参加させるにはドメインコントローラーと通信できな
いといけないので、TCP/IP の設定で優先DNS サーバーのアド
レスの欄にドメインコントローラーのIP アドレスを指定します。
ドメインへの参加はシステムのプロパティから行います。

16. 16
コンピューターをドメインに参加
「変更」ボタンをクリック。

17. 17
コンピューターをドメインに参加
「ドメイン」を選択しドメイン
名を入力して「OK」ボタンを
クリック。

18. 18
コンピューターをドメインに参加
ドメインの管理者のアカウントとパスワードを入力して「OK」
ボタンをクリック。
ようこそダイアログがでれば参加OKになったので、後は「OK」
ボタンをクリックしていって再起動します。

19. 19
ドメイン参加後
フルコンピューター名
にはドメイン名が付加
され、ワークグループ
からドメインに変わり
ました。

20. 20
ドメイン参加後のPCのローカルグループ
Administrators グループのメンバーにDomain Admins グルー
プが追加され、Users グループのメンバーにDomain Users グ
ループが追加されました。

21. 21
ユーザー用のグループポリシーの設定
管理ツール「グループポリシーの管理」でDefault Domain
Policy を編集します。

22. 22
パスワードのポリシーの設定
「コンピュータの構成」－「ポリシー」－「Windows の設定」
－「セキュリティの設定」－「アカウントポリシー」－「パス
ワードのポリシー」を選択。

23. 23
パスワードのポリシーの設定
「パスワードの長さ」を設定。

24. 24
パスワードのポリシーの設定
「パスワードの変更禁止期間」を設定。

25. 25
パスワードのポリシーの設定
「パスワードの有効期間」を設定。

26. 26
パスワードのポリシーの設定
「パスワードの履歴を記録する」を設定。

27. アカウントロックアウトのポリシーの設定
「コンピュータの構成」－「ポリシー」－「Windows の設定」
－「セキュリティの設定」－「アカウントポリシー」－「アカ
ウントロックアウトのポリシー」を選択。
27

28. アカウントロックアウトのポリシーの設定
28
「アカウントのロックアウトのしきい値」を設定。

29. アカウントロックアウトのポリシーの設定
29
「ロックアウトカウンターのリセット」を設定。

30. アカウントロックアウトのポリシーの設定
30
「ロックアウト期間」を設定。

31. 詳細や関連情報はブログ等で
Active Directoryドメインを作ってみよう～ドメインの作成とDNSサーバー
の設定～。
http://www.slideshare.net/mitchin227/create-domain
グループのスコープと種類
http://blogs.wankuma.com/mitchin/archive/2014/10/13/493201.aspx
ドメインに組織単位（OU）、グループ、ユーザーを作成
http://blogs.wankuma.com/mitchin/archive/2014/05/19/331449.aspx
事前にコンピューターアカウントを作ってそのPCをドメインに参加
http://blogs.wankuma.com/mitchin/archive/2014/05/20/331512.aspx
事前にコンピューターアカウントを作らないでPCをドメインに参加
http://blogs.wankuma.com/mitchin/archive/2014/05/23/332085.aspx
追加したプリンタを特定の組織単位（OU）に配置する
http://blogs.wankuma.com/mitchin/archive/2014/01/09/328337.aspx
Active Directory 関連ブログの一覧
http://www.pbyk.com/blog/bloglist.html
31