パスワード レプリケーション ポリシーを指定する

PRP は、複数値を持つ 2 つの Active Directory 属性によって定義されます。この属性には、セキュリティ プリンシパル (ユーザー、コンピューター、グループ) が含まれます。RODC コンピューター アカウントはそれぞれ、次の 2 つの属性を持ちます。

• msDS-Reveal-OnDemandGroup。許可一覧とも呼ばれます。
  
  
• msDS-NeverRevealGroup。拒否一覧とも呼ばれます。
  
  

PRP を管理するには、さらに、PRP に関連付けられている次の 2 つの属性が各 RODC に必要です。

• msDS-RevealedList。公開一覧とも呼ばれます。
  
  
• msDS-AuthenticatedToAccountList。認証一覧とも呼ばれます。
  
  

msDS-Reveal-OnDemandGroup 属性は、RODC にパスワードをキャッシュできるセキュリティ プリンシパルを指定します。既定では、この属性は Allowed RODC Password Replication Group という値を 1 つ持ちます。このドメイン ローカル グループには既定でメンバーが含まれていないため、既定では、RODC にキャッシュできるアカウント パスワードはありません。

ここでは、許可一覧、拒否一覧、公開一覧、認証一覧の各属性の使用方法について説明します。

RODC によってユーザーのパスワードのレプリケートが要求されると、RODC の通信先である書き込み可能な Windows Server 2008 ドメイン コントローラーでは、その要求が許可または拒否されます。要求を許可または拒否するために、書き込み可能ドメイン コントローラーによって、要求を提示している RODC の許可一覧と拒否一覧の値が調査されます。

RODC によって要求されているパスワードを持つアカウントが、その RODC 用の許可一覧 (拒否一覧ではない) にある場合は、要求が許可されます。

次の図はこの処理のしくみを示したものです。

拒否一覧は許可一覧よりも優先されます。

たとえば、Admins という管理者用のセキュリティ グループが組織にあるとします。この組織には、S1 というサイトがあり、そのサイトの従業員が属している Emp_S1 というセキュリティ グループがあります。また、S2 という別のサイトがあり、そのサイトの従業員が属している Emp_S2 というセキュリティ グループもあります。

サイト S2 には RODC だけがあります。Bob は S2 で作業を行っている管理者です。したがって、Bob は Emp_S2 と Admins の両方のグループに所属します。サイト S2 に RODC がインストールされ、次の表に示すセキュリティ グループが PRP に追加されたとします。

指定されたポリシーにより、サイト S2 の RODC にキャッシュできる資格情報は、Admins に属していない Emp_S2 グループのメンバーの資格情報のみとなります。したがって、Emp_S1 および Admins グループのメンバーの資格情報は、RODC にはキャッシュされません。Emp_S2 グループのメンバーの資格情報は、RODC にキャッシュされる場合があります。ただし、Bob の資格情報は RODC にはキャッシュされません。

最も安全性の高い構成です。パスワードは RODC に一切レプリケートされません。ただし、RODC のコンピューター アカウントとその RODC の特殊な krbtgt アカウントのパスワードは例外です。この構成では、ユーザーとコンピューターの認証は、WAN が利用できるかどうかに依存します。この方法は、既定の設定以外に追加の管理構成がほとんどまたは一切必要ないという点にメリットがあります。

セキュリティを重視するユーザー グループを作成し、拒否一覧に追加することもできます。既定では一切のアカウントはキャッシュされませんが、セキュリティを重視するユーザー グループを拒否リストに追加することで、そのグループが誤操作により許可一覧に含まれてしまい、結果として RODC にパスワードがキャッシュされることを防止できます。

委任された RODC 管理者アカウントは、許可一覧に自動的に追加されることはありません。ベスト プラクティスとしては、委任された RODC 管理者アカウントを許可一覧に追加しておくことをお勧めします。こうすることで、書き込み可能ドメイン コントローラーへの WAN 接続が使用できるかどうかにかかわらず、委任された管理者が必ず RODC にログオンできるようになります。

もっともシンプルな管理モードです。WAN が利用できるかどうかに関係なく、ユーザーおよびコンピューターを認証できます。すべての RODC の許可一覧に、ユーザーとコンピューターの大多数を示すグループを設定します。拒否一覧は、Domain Admins などのセキュリティを重視するユーザー グループのパスワードがキャッシュされることを禁止します。ただし、他のほとんどのユーザーは、必要であれば自分のパスワードをキャッシュできます。セキュリティを重視するユーザー グループを作成し、拒否一覧に追加することもできます。

この構成は、RODC の物理的なセキュリティが危険にさらされる心配のない環境に最も適しています。たとえば、安全な場所に展開した RODC の PRP をこのように構成すると、レプリケーションや管理要件が少なくて済むというメリットがあります。

	重要
	ユーザーのコンピューター アカウントを許可一覧に追加すると、WAN がオフラインの場合でも、ブランチ オフィスでそれらのユーザーがログオンできるようになります。

キャッシュできるアカウントを制限します。通常は、各 RODC について個別に定義します。つまり、キャッシュを許可するユーザー アカウントとコンピューター アカウントのセットを RODC ごとに別々に持たせます。この方法は通常、特定の場所で作業をするユーザー セットに適しています。

この方法のメリットは、WAN がオフラインの場合でも、ブランチ オフィスのユーザーがネットワークにログオンし、RODC によって認証されることが可能であるという点にあります。同時に、パスワードの漏えいの範囲も、パスワードをキャッシュできる少数のユーザーだけに限定されます。

この例では、許可一覧と拒否一覧の設定作業という管理上の負担があります。特定の RODC によって認証されるセキュリティ プリンシパルの既知の一覧からアカウントを自動的に読み取る既定の方法はありません。また、読み取ったアカウントを許可一覧に設定する既定の方法もありません。repadmin /prp move コマンドを使用して、これらのアカウントを許可一覧内のグループに移動することはできます。また、スクリプトや ILM などのアプリケーションを使用してプロセスを構築することもできます。

ユーザーやコンピューターのアカウントを許可一覧に直接追加することもできますが、RODC ごとにセキュリティ グループを作成し、そのグループを許可一覧に追加して、そのグループにユーザーやコンピューターのアカウントを追加する方法もあります。この方法では、Active Directory ユーザーとコンピューターのスナップインなどの標準のグループ管理ツールや、Dsadd または Dsmod などのコマンド ライン ツールを使用して、RODC にキャッシュされるアカウントを管理することができます。

repadmin /prp move コマンドを使用するには、セキュリティ グループを指定する必要があります。指定したセキュリティ グループが存在しない場合、コマンドによってそのグループが作成され、許可一覧に追加されます。

上述の方法と同様、コンピューター アカウントを適宜許可一覧に追加する必要があります。