2005-04-09に開催された、CLR/Hの第2回勉強会で発表したプレゼン資料その１です。 タイトルは、 「.NETとディレクトリサービス - ショッカーとホリエモンに学ぶ、 M&A時代の組織管理手法（ｗ」 となっております。 http://clr-h.jp/%E6%B4%BB%E5%8B%95%E5%AE%9F%E7%B8%BE/

1. .NET とディレクトリサービス
ショッカーとホリエモンに学
ぶ、
M&A 時代の組織管理手法
（ｗ
中村良幸 （ a.k.a. なかよし）

2. 今日の概要
• 私の自己紹介
• ディレクトリサービスについて
• LDAP, Active Directory, ADSI について
• .NET と System.DirectoryServices について
• 実際のプログラムの説明
• メタディレクトリと組織管理の諸問題
• これからの展望、その他

3. 私は何者か？
• …私は 「ただのサラリーマン」です。
（ｗ
• 昔はずっと Unix (or Linux) を使ってました
。
• …以前、やっていたことを紹介すると
– 津波シミュレーション等の数値計算
– 津波アニメーション等の三次元グラフィック
ス
– お役所向けの大量の報告書作成
• …今は 「 IT 何でも屋」です。

4. Windows の思い出
• …昔の話で恐縮ですが
– 4GL の統合 CASE ツール開発プロジェクトで
、 IL( 中間言語 ) のデバッガーを作っていまし
た。
– カバレージ機能部分を担当していたのですが
…
– Windows95 は、一日に 10 回以上落ちました
。
– NT は安定していると聞いて、 WindowsNT4.0
(SP1?) にしましたが、それでも良く落ちまし
た。

5. 私が .NET に興味を持ったのは
…
• arton さんの本 (Ruby を 256 倍楽しむ本邪
道編 ) で、初めて .NET というものを知り
ました。
• アンダース・ヘルスバーグ (Anders
Hejlsberg) 氏がチーフアーキテクトである
と知りました。
– Turbo Pascal, Delphi (Borland 時代 )
– Visual J++, WFC (= Windows Foundation Class)
(Microsoft に移籍後 )
• Java を研究し尽くした Microsoft が出して
きた仮想マシンに、非常に興味を持ちま

6. ディレクトリサービスとは？
• ネットワーク上の資源とその属性とを記
憶し、検索できるようにしたシステムの
こと
– ユーザやネットワーク資源の管理を一括化し
、管理者の負担を軽減することが可能です。
• 資源の例としては
– ネットワークを利用するユーザ
– 組織に関する情報
– 利用可能なサーバと提供しているサービス
– プリンタなどの利用可能な機器、等々

7. LDAP とは？
• Lightweight Directory Access Protocol の略
で、ディレクトリサービスにアクセスす
るための標準的なプロトコルです。
– 元々は X.500 と呼ばれるディレクトリ標準の
アクセスプロトコルでした が、 X.500 が複雑
であるため実装が難しく、あまり普及しませ
んでした。
– それを基本として文字通り軽量化し TCP/IP で
動作するようにしたものが LDAP で、現在で
は広く受け入れられています。

8. Active Directory とは？
• Windows 2000 Server 以降に搭載されている
Microsoft 社純正のディレクトリサービスです。
– サービスネットワーク上に存在するサーバ、クライ
アント、プリンタなどのハードウェア資源や、それ
らを使用するユーザの属性、アクセス権などの情報
を一元管理することができます。
– Windows NT は、資源の管理を「ドメイン」と呼ばれ
る単位で行なってきましたが、様々な理由から、大
規模なネットワークの管理には向きませんでした。
– Active Directory を利用すれば、ドメインや資源に階
層構造を設けて管理することができるため、ネット
ワークの規模が大きくなっても容易に管理すること
が可能です。

9. Active Directory の歴史と特徴
• Active Directory の歴史
– 2000 年 2 月 Microsoft Windows 2000 Server 発売開始
• “Active Directory” という新たなテクノロジーが登場しました
– 2003 年 6 月 Microsoft Windows Server 2003 発売開始
• Active Directory の機能も非常に強化されました
• Active Directory 導入による管理上の利点
– 複数に散在するドメインの集約が可能です。
– Kerberos による強力な認証機能が提供されます。
• セキュアなシングルサインオンの実現 (Windows 統合認証 )
– グループポリシー機能の活用で
• ユーザやコンピュータの一元管理による運用管理の簡素化
• セキュリティポリシーを一元管理し、セキュリティ強化を実現
– 「上手に使えば」、管理者が楽をできる仕組みなのです。

10. ADSI とは何か？
• ADSI は、 Active Directory Service Interface の略
です
– 名前が示す通り、 Active Directory へアクセスするた
めの Microsoft 社製の標準ライブラリです。
– Active Directory は標準のネットワークプロトコルと
して LDAP を使用していますので、 LDAP はもちろ
ん、 Windows NT 4.0 以前の NT ネットワーク（ドメ
イン）、 NDS などにも対応しています。
– 言語として C ／ C++ 、 VB 、または ADO （ ActiveX
Data Object ）にも対応していますので、 VBScript や
そのほかのスクリプト言語からも呼び出すことがで
きます。
– ただし、もちろん Windows 環境でしか使えません。

11. .NET とディレクトリサービスとの
関係
• .NET でディレクトリを操作する方法は複数あり
ます
– LDAP を使用する方法（ API 直接呼出し）
– ADSI を使用する方法（ COM 呼び出し）
– System.DirectoryService …を使う お勧めです！
• System.DirectoryService …とは ？
– System.DirectoryServices 名前空間は、マネージ コー
ドから Active Directory への簡単なアクセスを提供し
ます。
– 簡単に言うと、 ADSI を .NET Framework 上で効果的
に使うためのラッパークラスを集めたものです。

12. System.DirectoryServices の概要
• System.DirectoryServices のコンポーネント
– DirectoryEntry
• Active Directory 階層のノードまたはオブジェクト
をカプセル化します。
• ユーザ、組織 (OU) 、グループ、コンピュータ等を
あらわすオブジェクトになります。
– DirectorySearcher
• Active Directory に対してクエリを実行します。
• 検索フィルターを使えば、様々な検索が可能です
。

13. System.DirectoryServices の基本
• 先頭では、次の一行を宣言しておきます。
using System.DirectoryServices; // C# の場合
• 基本となるメソッドの一覧
目的 クラス メソッド
子エントリの追加 DirectoryEntries Add
子エントリの削除 DirectoryEntries Remove
サブツリー全体の削除 DirectoryEntry DeleteTree
オブジェクトの名称変更 DirectoryEntry Rename
オブジェクトの移動 DirectoryEntry MoveTo
ADSI メソッド呼び出し DirectoryEntry Invoke

14. 詳細１．ユーザの追加
static void CreateUser() {
try {
DirectoryEntry entry = new DirectoryEntry(
"LDAP://MICHAEL/OU= ショッカー ,OU=Test,DC=example,DC=local);
DirectoryEntry user = entry.Children.Add("cn= ゾル大佐 ", "user");
user.Properties["sAMAccountName"].Add("zoru");
user.Properties["userPrincipalName"].Add("zoru@example.local");
user.CommitChanges();
// 0x200 : ADS_UF_NORMAL_ACCOUNT
user.Properties["userAccountControl"].Value = 0x200;
user.Invoke("SetPassword", new object[] {"p&ssw0rd"});
user.CommitChanges();
}
catch (Exception ex) {
Console.WriteLine(ex.Message);
}
}

15. 詳細２．ユーザ情報の変更
static void ModifyUser() {
try {
DirectoryEntry user = new DirectoryEntry(
"LDAP://MICHAEL/CN= ゾル大佐 ,OU= ショッカー ,OU=Test,DC=example,DC=local);
user.Properties["Company"].Value = " ショッカー ";
user.Properties["Department"].Value = " 極東支部 ";
user.Properties["Description"].Value = " 元ナチの軍人 ";
user.Properties["PhysicalDeliveryOfficeName"].Value = " 東京地下秘密基地 ";
user.Properties["Title"].Value = " 大幹部 ";
user.Properties["TelephoneNumber"].Value = "(666) 372-4649";
user.CommitChanges();
}
catch(Exception ex) {
Console.WriteLine("Generic Exception Handler: {0}", ex.ToString());
}
}

16. 詳細３．ユーザの削除
static void DeleteUser() {
try {
DirectoryEntry entry = new DirectoryEntry(
"LDAP://MICHAEL/OU= ショッカー ,OU=Test,DC=example,DC=local);
DirectoryEntry user = entry.Children.Find("CN= ゾル大佐 ", "user");
entry.Children.Remove(user);
Console.WriteLine("Container= " + entry.Path.ToString());
Console.WriteLine(" から、アカウントは正常に削除されました ");
Console.WriteLine(" 実際には、怪人に変身して戦って死にました ");
}
catch (Exception ex) {
Console.WriteLine(ex.Message);
}
}

17. 詳細４．ユーザの検索
static void SearchTest() {
try {
DirectoryEntry entry = new DirectoryEntry(
"LDAP://MICHAEL/DC=example,DC=local);
DirectorySearcher searcher = new DirectorySearcher(entry);
searcher.Filter = ("(&(objectClass=user)(cn=" ゾル大佐 "))");
foreach(SearchResult result in searcher.FindAll()) {
Console.WriteLine( result.GetDirectoryEntry().Path );
}
}
catch (Exception ex){
Console.WriteLine(ex.Message);
}
}

18. OU とは何か？
• OU とは、 Organization Unit の略で、組織
単位のことです。
– ドメイン内に、階層化した組織構造を作りま
す。
– グループポリシーを割り当てる単位となりま
す。
– 実際の組織の構造と合わせるやり方もあれば
、管理上、管理しやすいように作る場合もあ
ります。
– お勧めは、管理者が資源（ユーザ、コンピュ
ータ）を管理しやすいように作成する方法で

19. OU の追加・削除・変更の概要
• OU の追加・削除・変更も、基本的にはユーザの
追加・削除・変更と同じです。
• OU の操作についての補足説明
– OU の移動： MoveTo
– OU のコピー： CopyTo
– OU 以下丸ごと削除： DeleteTree
• OU の名前（ CN ）を変更する場合
– Rename メソッドを使用します
– OU のみならず、ユーザの名前 (CN) を変更するよう
な場合でも同様に Rename メソッドを使用します。

20. 恐怖のアカウント管理地獄
• ディレクトリサービスは、 Active Directory だけではあり
ません。
– Sun Java Directory Server （以前は iPlanet/Sun ONE Directory
Server ）
– Novell eDirectory （昔からある有名なディレクトリ製品 NDS の
末裔）
– OpenLDAP （オープンソースの LDAP サーバ）
– 他に、 IBM や ORACLE 等の LDAP サーバもあります
• 個別のアプリケーションに存在するアカウントの管理
– 昔ながらの汎用機や、日本独自のオフコン
– ERP(SAP) 、 CRM(SIEBEL) 等のソフトウェアパッケージ
– 独自開発の業務向けアプリケーション（クライアント・サー
バ）
– 最近（なぜか）大流行の、 Web アプリケーション
• それらのユーザアカウントを全て統一できれば

21. M&A 時代のディレクトリサー
ビス
• M&A 時代の組織に迫る深刻な問題
– 現在の社会においては、強引な M&A によっ
て、いつ何時自分の会社組織が吸収合併の対
象になるか、全く予測ができません。（ｗ
– 大規模な会社同士の吸収や合併時には、大量
の資源（人、モノ）の管理手法を新たに考え
る必要が出てきます。
• そこでメタディレクトリが必要になって
きます

22. メタディレクトリとは？
• メタディレクトリとは何か？
– 複数の異なるディレクトリサービス、あるいはディ
レクトリサービス以外のシステムのアカウントを自
動的に統合し、全体を一括管理するためのソリュー
ションです。
• 製品紹介
– Microsoft Identity Integration Server 2003 (MIIS2003)
– IBM Tivoli Directory Integrator
– Sun Java System Identity Manager
– Novell Nsure Identity Manager
– Oracle Identity Management

23. 例： ショッカーの組織変遷
• 一番最初のシーズンで、仮面ライダー一
号（本郷 猛）と仮面ライダー二号（一文
字 隼人）が戦ったのは「ショッカー」で
した。
• 両ライダーの活躍によって、壊滅的な打
撃を受けたショッカーは、「ゲルダム」
と合併して、「ゲル・ショッカー」とな
りました。
• 一度は完全に消滅したはずのショッカー
は、スカイライダーで「ネオ・ショッカ
ー」として復活しました。

24. …例： もしもホリエモンが
• もしもホリエモンが、ニッポン放送のみ
ならず、フジ TV …の買収に成功した場合
– ライブドアとフジ TV （ニッポン放送）の両
方の組織の社員何千人分ものアカウントをど
うやって統合するか？は、重要な問題です。
– シングル・フォレスト、シングル・ドメイン
が理想ではありますが、合併後しばらくは、
二つのフォレストに分けて別々のディレクト
リ単位で管理した方が良いかもしれません。
• …しかしながら、その実現可能性は （ｗ

25. 【実習】実際にプログラムしてみ
よう！
• ではこれから、実際に Active Directory を
操作するプログラムを作ってみましょう
。
• 開発環境について
– Windows XP Professional SP1
– Visual Studio .NET 2003
– 言語はもちろん、 C# （ｗ
• テスト用の Active Directory 環境について
– Windows 2000 Server
– Windows Server 2003 Standard Edition

26. Windows Server 2003 におけ
る、 Active Directory の機能強化点
• 組織構造の変更にもすばやく対応
– ドメイン名とドメインコントローラ名の変更が可能
– ドメイン構造の変更が可能
• 複数フォレスト間での信頼関係
– 部門単位からのフォレストの展開が容易に
– フォレスト間でのリソース共有が可能に
• ドメインコントローラのパフォーマンス強化
– LDAP: 検索および追加処理のスループット向上によ
って、約 4 倍の処理速度向上
• 独自アプリケーションの認証基盤として利用可
能に
– ADAM という新機能

27. ADAM とは？
• ADAM について
– Windows Server 2003 における強化ポイントの一つに
、「 Active Directory in Application Mode 」、通称
「 ADAM 」があります。
– Windows のログイン認証や、ドメインの管理とは関
係なく、全く普通の LDAP サーバとして、一般のア
プリケーションから自由に使用することが可能です
。
– 特定業務アプリケーションのために、本来の Active
Directory に影響を及ぼすことなく、必要に応じてス
キーマ拡張（属性の追加・変更・削除）をすること
が可能です。

28. こんなソフトを作りませんか？
• ADAM …の可能性を探ると
– ADAM を利用することで、本来の AD とは独立した
ディレクトリ空間を持つことができます。
– リストラ時の大規模な組織改変や、「想定外
の」 M&A が発生した場合に、 ADAM 上で組織や人
、その他のリソースの統合後のシミュレーションを
行うことも可能でしょう。
• そこで、こんなソフトを作ってみませんか？
– 「 Emulator of Virtual Environment 」 通称「 EVE 」
– 二つ合わせると、「アダムとイブ」 （ｗ
– CLR/H 発のオリジナル・ソフトウェアとしてみては
？

29. ディレクトリサービスの今後
• 今後は一つの組織（社内）だけでなく、パート
ナー間でのアカウント管理のためのディレクト
リ連携等も必要になってくるでしょう。
• ネット上にある様々な Web アプリケーションを
使う上で、散乱するアカウントとパスワードの
管理は、個人的にも大問題です。
• これからは、全世界規模でのシングル・サイン
オンがやはりどうしても必要になってくるでし
ょう。
– .NET Passport …は、その先駆的存在でしたが
– これからは、 Federation( 連盟 ) で管理が主流に？

30. まとめ
• 今日学んだこと
– ディレクトリサービスとは何か
– LDAP, Active Directory, ADSI 等の用語
– .NET 上の System.DirectoryServices 名前空間
– VS .NET と C# を使った実際のプログラム
– 現代社会におけるアカウント管理の問題
– メタディレクトリとは何か
– アダムとイブについて（ｗ
– ディレクトリサービスの今後

31. 参考情報 URL の紹介
• Microsoft の Active Directory 紹介ページ
– http://www.microsoft.com/japan/windowsserver2003/activedirec
• MSDN の System.DirectoryServices
– http://www.microsoft.com/japan/msdn/library/default.asp?url=/
japan/msdn/library/ja/cpref/html/frlrfSystemDirectoryServices.a
• Active Directory にアクセスするもっとも簡単な
方法
– http://www.itmedia.co.jp/enterprise/0212/04/n25.html
• なかよし研究所 （私の BLOG サイトです）
– http://www.tech-ezo.jp/blogs/nakayoshi/default.aspx

32. 今日の感想
• GUI でできることを全てプログラムでや
る必要はないですが、ユーザの数が一万
人を超えるような組織の場合には、今日
紹介したようなソリューションがないと
厳しいでしょう。
• C# と .NET Framework によるプログラム
は、最初は大変なことも多いですが、慣
れてくるとどんどん面白くなってきます
。
• みなさんも、自分の得意な分野での経験
を活かして、どんどん勉強会で発表しま

33. 最後に
• こうした勉強会での講師役は初めてで、
準備に想定外の時間がかかり、当初予定
していたことまで全然できませんでした
。
• 「もっと楽しめる .NET Framework 」に期
待された方には、申し訳ありませんでし
た。
• 最後までお聞きいただき、
「本当にどうもありがとうございまし
た」