AD LDS レプリケーションおよび構成セットとは

マルチマスター レプリケーションとは、どの AD LDS インスタンスのディレクトリ データでも変更できることを意味します。AD LDS では、こうした変更が構成セットの他のメンバーに自動的にレプリケートされます。マルチマスター レプリケーションの特徴は、収束を利用して緩やかなデータ整合性が確保されている点です。1 つの AD LDS インスタンスで任意のディレクトリ パーティションのデータを変更すると、他の AD LDS インスタンスに格納されているそのディレクトリ パーティションのレプリカは、変更が加えられたディレクトリ パーティションの最新のレプリカと不整合になります。ただし、構成セットを通じて変更がレプリケートされると、すべてのパーティションのレプリカは最新のデータに収束され、再び同じになります。

AD LDS インスタンスでは、構成セットへの参加状態に基づいてデータがレプリケートされます。同じ構成セットに参加しているすべての AD LDS インスタンスでは、共通の構成ディレクトリ パーティションおよび共通のスキーマ ディレクトリ パーティションがレプリケートされる必要があります。また、構成セット内の AD LDS インスタンスでは、任意の数のアプリケーション ディレクトリ パーティションをレプリケートできます。構成セット内の AD LDS インスタンスでは、その構成セットにあるすべてのアプリケーション ディレクトリ パーティションがレプリケートされる必要はありません。1 つの AD LDS インスタンスでは、その構成セット内にあるすべてのアプリケーション ディレクトリ パーティション、またはそのサブセットをレプリケートできます。ただし、AD LDS インスタンスでは、別の構成セットからアプリケーション ディレクトリ パーティションをレプリケートすることはできません。

次の図は、それぞれ 2 つの AD LDS インスタンスを持つ 2 つの AD LDS 構成セットの例を示しています。図に示すように、1 台のコンピューターでは、複数の AD LDS インスタンスを、それぞれ異なる構成セットで実行できます。

	注
	AD LDS インスタンスは、インスタンスのインストール時にのみ構成セットに参加させることができます。

2 人のユーザーが、2 つの異なる AD LDS インスタンスにある、同じディレクトリ パーティションのレプリカの同じデータに変更を加えたらどうなるでしょうか。このような場合、各 AD LDS インスタンスが変更をレプリケートしようとして、競合が発生します。この競合を解決するために、競合する変更を受信したレプリケーション パートナーは、各変更に含まれている属性データ (バージョンとタイム スタンプ) を調べます。AD LDS インスタンスは、バージョンが高い方の変更を受け付け、他方の変更は廃棄します。バージョンが等しい場合、AD LDS インスタンスは、タイム スタンプが新しい方の変更を受け付けます。

オブジェクトの複数値属性の 2 つ以上の値が、2 つの異なる AD LDS インスタンス上で同時に更新された場合、更新された値のうち 1 つだけがレプリケートされます。つまり、2 つの異なる AD LDS インスタンスで複数値属性が同時に更新されると、更新が複数値属性内の異なる値に適用される場合でも、競合と見なされます。この規則の例外は、リンクされた値属性 (グループ メンバーシップなど) です。リンクされた値属性内の異なる値は同時に更新できます。

知識整合性チェッカー (KCC) は、各 AD LDS インスタンスの一部として実行されるプロセスで、ネットワークに基づいて、レプリケーション トラフィックの移動にとって最も効率的なトポロジを自動的に構築します。KCC は定期的にレプリケーション トポロジを再計算し、環境内で発生したネットワークの変更に合わせて調整します。

	注
	AD LDS の構成セットは、Active Directory ドメイン サービス (AD DS) レプリケーション トポロジが存在する場合も、それとは別に独自のレプリケーション トポロジを保持します。AD LDS インスタンスと AD DS ドメイン コントローラー間では、ディレクトリ パーティションはレプリケートできません。

レプリケーションのセキュリティを確保するために、AD LDS ではレプリケーション前にレプリケーション パートナーが認証され、レプリケーション認証は常にセキュリティで保護されたチャネルを経由して行われます。AD LDS は、セキュリティ サポート プロバイダー インターフェイス (SSPI) を使用して、レプリケーション パートナー間に適切な認証セキュリティ レベルを確立します。構成セット内のレプリケーション認証に使用される方法は、構成ディレクトリ パーティションの msDS-ReplAuthenticationMode 属性の値によって異なります。レプリケーション パートナーが正常に認証されると、2 つのパートナー間のすべてのレプリケーション トラフィックは暗号化されます。

次の表は、レプリケーション認証のセキュリティ レベルと、各セキュリティ レベルに対応する msDS-ReplAuthenticationMode 属性の値を示しています。一意の新しい AD LDS インスタンスの既定のレプリケーション セキュリティ レベルは、ローカル ワークステーションのユーザー アカウントが AD LDS サービス アカウントとして指定されている場合を除いて、1 になります。ローカル ワークステーション アカウントが AD LDS サービス アカウントとして指定されている場合、レプリケーション セキュリティ レベルは 0 に設定されます。

AD LDS レプリケーションのセキュリティを維持するために、次のベスト プラクティスをお勧めします。

• 環境でサポートできる最高レベルのレプリケーション セキュリティを使用します。
  
  
• AD DS 環境では、可能な場合はドメイン コントローラーではなくメンバー サーバーで AD LDS を実行します。
  
  
• AD DS 環境において、AD LDS をドメイン コントローラーで実行する場合は、ネットワーク サービス アカウントを AD LDS サービス アカウントとして使用しないでください。代わりに、管理者特権を持たないドメイン ユーザー アカウントを使用します。
  
  
• ワークグループおよび Windows NT 4.0 環境では、管理者特権を持つアカウントを AD LDS サービス アカウントとして使用しないでください。
  
  
• 厳密な分離要件を持つアプリーケーションには、個別の構成セットを使用します。
  
  

AD LDS レプリケーションのサービス アカウントの要件については、「サービス アカウントの選択」を参照してください。