グループとは

グループはユーザーアカウントとコンピューターアカウント、連絡先、および他のグループの集まりで、1 つの単位として管理できます。特定のグループに属するユーザーおよびコンピューターは、グループメンバーと呼ばれます。

Active Directory ドメインサービス (AD DS) のグループは、ドメイン内および組織単位 (OU) コンテナーオブジェクト内に属すディレクトリオブジェクトとなります。AD DS では、インストール時に一連の既定のグループが用意されます。また、グループを作成するためのオプションも提供されます。

AD DS のグループは、次の用途に使用できます。

共有リソースへのアクセス許可を、個々のユーザーにではなくグループに割り当てることで、管理を簡略化します。アクセス許可をグループに割り当てることで、そのグループのすべてのメンバーに対し、リソースへのアクセス許可を同様に与えることになります。
グループポリシーを使用してグループにいったんユーザー権利を割り当てることで、管理を委任します。そうすることで、このグループと同じ権利を与えるメンバーをグループに追加できます。
電子メール配布用の一覧を作成します。

グループの特性は、スコープと種類によって表されます。グループのスコープによって、ドメイン内またはフォレスト内でそのグループが適用される範囲が決まります。グループの種類によって、共有リソースからのアクセス許可の割り当てにグループを使用できるかどうか (セキュリティグループの場合)、またはグループを電子メール配布用の一覧のためだけに使用できるかどうか (配布グループの場合) が決まります。

メンバーシップを変更または表示できないグループもあります。これらのグループは、特別な ID と呼ばれます。これらのグループは状況に依存し、時期が異なれば、グループによって表されるユーザーも変わります。たとえば、Everyone グループは特別な ID であり、ゲストおよび他のドメインのユーザーを含む、現在のすべてのネットワークユーザーを表します。

次に、AD DS のグループアカウントの追加情報を示します。

既定のグループ

Domain Admins グループなどの既定のグループはセキュリティグループであり、Active Directory ドメインの作成時に自動的に作成されます。これらの定義済みのグループは、共有リソースへのアクセス制御や、ドメイン全体の管理に関する特定の役割を委任するために活用できます。

多くの既定のグループには、一連のユーザー権利が自動的に割り当てられます。この権利はグループのメンバーに承認を与えるもので、ローカルシステムへのログオン、およびファイルやフォルダーのバックアップなど、ドメイン内の特定の操作を実行できるようにします。たとえば、Backup Operators グループのメンバーには、ドメイン内のすべてのドメインコントローラーのバックアップ操作を実行する権利が与えられます。

ユーザーをグループに追加すると、そのユーザーには次の権利およびアクセス許可が与えられます。

そのグループに割り当てられたすべてのユーザー権利
そのグループに割り当てられたすべての共有リソースへのアクセス許可

既定のグループは Builtin コンテナーおよび Users コンテナーに置かれます。Builtin コンテナー内の既定のグループには、ビルトインローカルのグループのスコープが与えられます。これらのグループのスコープおよびグループの種類は変更できません。Users コンテナーには、グローバルスコープが定義されたグループと、ドメインローカルスコープが定義されたグループが置かれます。これらのコンテナー内のグループは、同じドメイン内の他のグループや OU に移動できますが、他のドメインに移動することはできません。

既定のグループの詳細については、既定のグループに関するページ (英語の可能性あり) (https://go.microsoft.com/fwlink/?LinkId=131422) を参照してください。

グループのスコープ

グループの特性は、ドメインツリー内またはフォレスト内で、そのグループが適用される範囲を特定するスコープによって表されます。グループのスコープには、ドメインローカル、グローバル、およびユニバーサルがあります。

ドメインローカルグループ

ドメインローカルグループのメンバーには、Windows NT、Windows 2000、Windows Server 2003、Windows Server 2008、および Windows Server 2008 R2 の各ドメインから他のグループおよびアカウントを組み込むことができます。これらのグループのメンバーには、ドメイン内のアクセス許可のみが割り当てられます。

ドメインローカルスコープのグループは、単一のドメイン内のリソースへのアクセスの定義と管理に役立ちます。これらのグループのメンバーとして、次のグループおよびアカウントを使用できます。

任意のドメインからのアカウント
任意のドメインからのグローバルグループ
任意のドメインからのユニバーサルグループ
ドメインローカルグループ (ただし、親ドメインローカルグループと同じドメインからのグループのみ)
上記のいずれかの組み合わせ

たとえば、特定のプリンターに 5 人のユーザーがアクセスできるようにする場合、5 つのユーザーアカウントすべてをプリンターのアクセス許可の一覧に追加できます。しかし、後日この 5 人のユーザーが新しいプリンターにアクセスすることになった場合は、同じ 5 つのユーザーアカウントすべてを、新しいプリンターのアクセス許可の一覧に追加する必要があります。

事前に計画すると、この日常的な管理作業を簡略化できます。実行するには、まずドメインローカルスコープのグループを作成し、このグループにプリンターへのアクセス許可を与えます。5 つのユーザーアカウントをグローバルスコープのグループに配置し、このグループをドメインローカルスコープのグループに追加します。この 5 人のユーザーが新しいプリンターにアクセスできるようにするときは、新しいプリンターにアクセスするためのアクセス許可を、このドメインローカルスコープのグループに割り当てます。グローバルスコープのグループに属するすべてのメンバーは、新しいプリンターに自動的にアクセスできるようになります。

グローバルグループ

グローバルグループのメンバーには、親グローバルグループと同じドメインからのアカウント、および親グローバルグループと同じドメインからのグローバルグループを含めることができます。これらのグループのメンバーには、そのフォレスト内の任意のドメインのアクセス許可が割り当てられます。

グローバルスコープのグループを使用して、ユーザーアカウントやコンピューターアカウントなど、日常的な管理が必要なディレクトリオブジェクトを管理できます。グローバルスコープのグループは、グループが属するドメインの外部ではレプリケートされないため、グローバルスコープを持つグループ内のアカウントは、グローバルカタログへのレプリケーショントラフィックを生成することなく頻繁に変更できます。

権利とアクセス許可の割り当ては、グループが割り当てられているドメイン内でのみ有効ですが、該当する複数のドメインに均等にグローバルスコープのグループを適用することで、類似した目的を持つアカウントへの参照を一元管理できます。こうすることで、ドメイン間のグループ管理を簡略化および合理化できます。たとえば、Europe と UnitedStates の 2 つのドメインがあるネットワークでは、GLAccounting というグローバルスコープのグループが UnitedStates ドメインにある場合、アカウンティング機能が Europe ドメインに存在する限り、GLAccounting グループは Europe ドメインにもあることになります。

	重要
	グローバルカタログにレプリケートするドメインディレクトリオブジェクトにアクセス許可を指定する場合、ドメインローカルグループの代わりに、グローバルグループまたはユニバーサルグループを使用することをお勧めします。

ユニバーサルグループ

ユニバーサルグループのメンバーとして、次のグループおよびアカウントを使用できます。

このユニバーサルグループが存在するフォレスト内の任意のドメインからのアカウント
このユニバーサルグループが存在するフォレスト内の任意のドメインからのグローバルグループ
このユニバーサルグループが存在するフォレスト内の任意のドメインからのユニバーサルグループ

これらのグループのメンバーには、そのドメインツリー内またはフォレスト内の任意のドメインのアクセス許可が割り当てられます。ユニバーサルスコープのグループは、ドメイン間にまたがるグループの統合に使用します。これを実行するには、グローバルスコープのグループにアカウントを追加し、これらのグループをユニバーサルスコープのグループ内に入れ子にします。この方法を使用する場合、グローバルスコープを持つグループ内でのメンバーシップの変更は、ユニバーサルスコープ内のグループには反映されません。

たとえば、Europe と UnitedStates の 2 つのドメインを持つネットワークがあり、GLAccounting というグローバルスコープのグループが各ドメインにある場合、UnitedStates\GLAccounting および Europe\GLAccounting の 2 つの GLAccounting グループをメンバーとして持つ UAccounting というユニバーサルスコープのグループを作成します。そうすると、社内のどこからでも UAccounting グループを使用できます。個々の GLAccounting グループのメンバーシップを変更しても、この UAccounting グループはレプリケーションされません。

ユニバーサルスコープを持つグループのメンバーシップは、頻繁に変更しないでください。この種類のグループのメンバーシップを変更すると、グループのメンバーシップ全体がフォレスト内のすべてのグローバルカタログにレプリケートされます。

グループの種類

AD DS には、配布グループとセキュリティグループの 2 種類があります。配布グループは、電子メール配布用の一覧の作成に使用できます。セキュリティグループは、共有リソースへのアクセス許可の割り当てに使用できます。

配布グループは、電子メールアプリケーション (Microsoft Exchange Server 2007 など) でユーザーの集まりに対して電子メールを送信するためにのみ使用できます。配布グループはセキュリティが有効になっていません。そのため、配布グループを随意アクセス制御リスト (DACL) に追加することはできません。共有リソースへのアクセス制御のためのグループが必要な場合は、セキュリティグループを作成します。

注意を払って使用すると、セキュリティグループはネットワーク上のリソースへのアクセスを割り当てるための効率的な手段となります。セキュリティグループを使用することで、次のことが可能になります。

AD DS 内のセキュリティグループにユーザー権利を割り当てます。

ユーザー権利は、ドメイン (またはフォレスト) のスコープ内でそのグループのメンバーが実行できる処理を決めるためにセキュリティグループに割り当てられます。ユーザー権利は、ドメイン内でのユーザーの管理用の役割を管理者が定義する際役立つように、AD DS のインストール時に一部のセキュリティグループに対して自動的に割り当てられます。たとえば、AD DS 内の Backup Operators グループに追加されたユーザーは、そのドメイン内の各ドメインコントローラー上にあるファイルおよびディレクトリのバックアップおよび復元を行うことができます。
セキュリティグループにリソースに対するアクセス許可を割り当てます。

アクセス許可は、ユーザー権利とは異なります。アクセス許可は、共有リソースにアクセスできるユーザーを特定します。フルコントロールなどのアクセスレベルも決定します。セキュリティグループを使用して、共有リソースへのアクセスおよびアクセス許可を管理できます。ドメインオブジェクトに設定された一部のアクセス許可は、Account Operators グループや Domain Admins グループなどの既定のセキュリティグループにさまざまなレベルのアクセスを許可するため、自動的に割り当てられます。

配布グループと同様に、セキュリティグループは電子メールエンティティとしても使用できます。電子メールメッセージをセキュリティグループに送信すると、セキュリティグループのすべてのメンバーに送信されることになります。

特別な ID

Users コンテナーおよび Builtin コンテナーのグループに加え、Windows Server 2008 R2、Windows Server 2008、または Windows Server 2003 を実行しているサーバーにはいくつかの特別な ID が含まれます。便宜上、これらの ID は一般にグループと呼ばれます。これらの特別なグループは、変更できる固有のメンバーシップを持ちません。これらのグループは状況に依存し、時期が異なれば、グループによって表されるユーザーも変わることがあります。次のグループは特別な ID を表します。

Anonymous Logon

このグループは、アカウント名、パスワード、およびドメイン名を使用せずにコンピューターおよびそのリソースにネットワークを介してアクセスするユーザーとサービスを表します。Windows NT およびそれ以前のオペレーティングシステムを実行するコンピューターでは、Anonymous Logon グループは Everyone グループの既定のメンバーとなります。Windows Server 2008 R2、Windows Server 2008、または Windows Server 2003 を実行するコンピューターでは、Anonymous Logon グループは Everyone グループの既定のメンバーとなりません。
Everyone

このグループは、ゲストおよび他のドメインのユーザーを含む現在のすべてのネットワークユーザーを表します。ユーザーがネットワークにログオンするたびに、そのユーザーが Everyone グループに自動的に追加されます。
Network

このグループは、リソースがあるコンピューターにローカルでログインしてリソースにアクセスしているユーザーではなく、現在ネットワーク上の特定のリソースにアクセスしているユーザーを表します。ユーザーがネットワーク上の特定のリソースにアクセスするたびに、そのユーザーが Network グループに自動的に追加されます。
Interactive

このグループは、ネットワーク上のリソースにアクセスしているユーザーではなく、現在特定のコンピューターにログオンし、そのコンピューターにある特定のリソースにアクセスしているすべてのユーザーを表します。ユーザーが現在ログオンしているコンピューター上の特定のリソースにアクセスするたびに、そのユーザーが Interactive グループに自動的に追加されます。

特別な ID は、リソースに対する権利およびアクセス許可を割り当てられますが、特別な ID のメンバーシップは変更および表示できません。グループのスコープは特別な ID には適用されません。ユーザーがログオンするたびに、または特定のリソースにアクセスするたびに、そのユーザーがこれらの特別な ID に自動的に割り当てられます。

グループの作成場所

AD DS では、グループはドメイン内に作成されます。Active Directory 管理センターを使用してグループを作成できます。必要なアクセス許可がある場合は、フォレストのルートドメイン内、フォレストのその他のドメイン内、または OU 内にグループを作成できます。

グループが作成されたドメインに加え、グループはスコープによっても特徴づけられます。グループのスコープによって次のことが決まります。

メンバーの追加に使用できるドメイン
グループに割り当てられた権利とアクセス許可が有効となるドメイン

グループを作成する特定のドメインまたは OU を、そのグループに必要な管理に基づいて選択します。たとえば、ディレクトリに複数の OU があり、各グループに異なる管理者がいる場合、これらの OU にグローバルスコープのグループを作成できます。そうすることで、管理者は自分が担当する OU のユーザーのグループメンバーシップを管理できます。グループに OU 外部のアクセス制御が必要な場合、OU 内のグループをユニバーサルスコープのグループ (またはグローバルスコープの別のグループ) の中に入れ子にし、フォレスト内の他の場所で使用できるようにすることができます。

ドメインの機能レベルが Windows 2000 ネイティブ以上に設定されている場合、そのドメインでは OU が階層化され、管理は各 OU の管理者に委任されます。グローバルスコープのグループを入れ子にすることにより、効率が向上することが考えられます。たとえば、OU1 に OU2 および OU3 が含まれる場合、OU1 内のグローバルスコープのグループは、OU2 および OU3 内のグローバルスコープのグループをメンバーとして持つことができます。OU1 内では、管理者は OU1 のグループメンバーを追加または削除できます。また、OU2 および OU3 の管理者は、OU1 内のグローバルスコープのグループに対する管理者権限がなくても、自分の OU からアカウントのグループメンバーを追加または削除できます。

注

グループはドメイン内で移動できます。ただし、ユニバーサルスコープを持つグループのみがドメイン間を移動できます。ユニバーサルスコープを持つグループに割り当てられた権利およびアクセス許可は、グループが別のドメインに移動されると失われるため、新しく割り当てる必要があります。

その他の参照情報

グループを管理する