Tweet

［Management］

→ Windows TIPS TOPへ → Windows TIPS全リストへ → 内容別分類一覧へ グループ・アカウントの種類を知る デジタルアドバンテージ　打越 浩幸 2006/04/22 　 対象OS Windows 2000 Windows XP Windows Server 2003

■ グループには、アクセス権制御のためのセキュリティ・グループと、メールの配布先を決める配布グループがある。 ■ グループのスコープには、ユニバーサル、グローバル、ドメイン・ローカル（およびローカル・コンピュータ）がある。 ■ ドメインの機能レベルがネイティブの場合は、ユニバーサル・グループや、グループのネスト（グループにほかのグループを含めること）が利用できる。 ■ ユニバーサル・グループのメンバー情報はグローバル・カタログを通じて複製されるため、頻繁に変更するとネットワーク・トラフィックが増加する。

　Windows OSでは、ユーザーや（ほかの）グループのアカウントをまとめて、1つのものとして扱うために、「グループ」という概念がある。「TIPS：デフォルトのローカル・グループを知る」では、Windows OSで利用できるローカル・グループについて解説した。これ以外にも、グループにはいくつかの種類があるが、本TIPSでは、そのグループの種類について解説する。

　以下の画面は、Active Directoryの管理ツールでグループを作成するためのダイアログである。これを見ると、ドメイン・レベルで利用できるグループ・アカウントの種類について知ることができる。

Active Directory環境における新規グループの作成ダイアログ

これはWindows Server 2003のActive Directoryにおける新規グループの作成ダイアログの例。これ以外に、各コンピュータごとで利用できるローカル・グループもあるが、それは各コンピュータのユーザー管理ツールで作成・管理する。作成できるグループのアカウントの属性としては、スコープ（3つ）と種類（2つ）がある。

作成するグループの名前。 　 Windows 2000以前の古いWindows OSから参照する場合のグループ名。 　 ドメイン・ローカル・グループを作成する。 　 グローバル・グループを作成する（デフォルトのスコープ）。 　 ユニバーサル・グループを作成する（これはネイティブ・モード時にのみ利用可能）。 　 セキュリティ・グループを作成する（デフォルトの種類）。 　 配布グループを作成する。

　これ以外にも、コンピュータごとに作成・管理できる「ローカル・グループ」というものがあるので、まとめると次のようになる。

種類	グループ名	概要	デフォルトのアカウントの例
セキュリティ・グループ	ユニバーサル・グループ	ユニバーサル・スコープを持つグループ。機能レベルがネイティブの場合にのみ利用可能	−
	グローバル・グループ	グローバル・スコープを持つグループ	Domain Admins
	ドメイン・ローカル・グループ	ドメイン・スコープを持つグループ	RAS and IAS Servers
	（コンピュータごとの）ローカル･グループ	ローカル・スコープを持つグループ	Power Users
配布グループ	ユニバーサル配布グループ	ユニバーサル・スコープを持つ配布グループ	−
	グローバル配布グループ	グローバル・スコープを持つ配布グループ	−
	ドメイン・ローカル配布グループ	ドメイン・スコープを持つ配布グループ	−
グループの種類
Windows OS環境で利用できるグループの種別。ただし、ドメインの機能レベルや構成（ワークグループかドメインか）によっては利用できないものもある。グループには大きく分けると、セキュリティ・グループと配布グループの2種類があり、さらに、スコープの違いが4種類ある。

「セキュリティ・グループ」と「配布グループ」の違い

アクセス制御リストACLとは？（Windows TIPS）

　グループ・アカウントの「種類」には「セキュリティ・グループ」と「配布グループ」の2つがある。セキュリティ・グループとは、ファイルやリソースのアクセス権設定などで利用されるアカウントである。アクセス制御リスト（ACL）中では、このセキュリティ・グループのアカウント（とユーザー・アカウント）を利用することができる（ACLについては関連記事を参照のこと）。セキュリティ・グループは最もよく使われるグループ・アカウントであり、AdministratorsやDomain Adminsなどはすべてこのセキュリティ・グループに属しているし、通常作成されるグループ・アカウントは、ほとんどすべて、このセキュリティ・グループのアカウントになる。

　「配布グループ」は、電子メール・アプリケーションなどで利用される、特殊なグループ・アカウントである（これはドメイン・レベルでのみ利用できる。ローカル・グループでは利用できない）。例えば、Exchange Serverなどがこのグループを利用している。配布グループは、メールなどを送信する場合に、複数の相手にいっせいに送信するために利用するアカウントである。電子メールのあて先として配布グループを指定しておくと、その配布グループに属する複数の相手（ユーザーもしくはそのほかのグループ）に対して、同時に送信することができる。

　以下では、セキュリティ・グループについて解説する。

ドメインのスコープ

　グループ・アカウントには、それぞれ「スコープ（範囲）」があり、利用できる範囲（そのグループ・アカウントを参照／検索できる範囲）が決められている。例えば、ローカル・グループはローカルのコンピュータ上でのみ有効であり、ほかのコンピュータから参照することはできない（つまり、あるコンピュータ上のACLに、別のコンピュータ上のローカル・グループ・アカウントをエントリとして追加することはできない）。またドメイン・ローカル・グループは、特定のドメイン内でのみ有効であるが、グローバル・グループはフォレスト内のすべてのコンピュータ／ドメインから参照可能である。

スコープ	どこから参照できるか
ユニバーサル・スコープ	フォレスト全体から参照可能。メンバーも参照可能
グローバル・スコープ	フォレスト全体から参照可能。メンバーは参照できない
ドメイン・ローカル・スコープ	（そのグループ・アカウントが作成された）同一ドメインからのみ参照可能。別ドメインからは参照不可能
ローカル（ローカル・コンピュータ・スコープ）	アカウントの存在するコンピュータ上でのみ参照可能
スコープの種類
スコープごとに、そのグループ・アカウントが、どこから参照可能かが異なっている。

追加可能なドメインのメンバー

　グループの種類に応じて、その中に含めることができる（グループのメンバーとして追加できる）アカウントの種類にも制限がある。

スコープ	追加可能なメンバー
ユニバーサル・グループ（ネイティブ・モード時のみ）	・ほかのユニバーサル・グループ ・グローバル・グループ ・ドメイン・ユーザー・アカウント （ドメイン・ローカル・グループは追加できない）
グローバル・グループ	・ドメイン内に存在する、ほかのグローバル・グループ（ネイティブ・モード時のみ） ・ドメイン・ユーザー・アカウント （ドメイン・ローカル・グループは追加できない）
ドメイン・ローカル・グループ	・ドメイン内に存在する、ほかのドメイン・ローカル・グループ（ネイティブ・モード時のみ） ・グローバル・グループ ・ユニバーサル・グループ（ネイティブ・モード時のみ） ・ドメイン・ユーザー・アカウント
ローカル・グループ	・ユニバーサル・グループ ・グローバル・グループ ・ドメイン・ローカル・グループ ・ドメイン・ユーザー・アカウント ・ローカル・ユーザー・アカウント
グループに追加可能なメンバーの種類
グループの種類ごとに、メンバーとして追加可能なアカウントの種類は異なる。基本的には、（この表における）下位のグループは、上位のグループを含むことができるが、逆はできない（ユニバーサル・グループとグローバル・グループについては後述）。

「グローバル・グループ」と「ドメイン・ローカル・グループ」の違い

　グローバル・グループとドメイン・ローカル・グループの違いは、例えばドメイン・ユーザー・アカウントとローカル・コンピュータ上のユーザー・アカウントの違いのようなものである。グローバル・グループは、フォレストやドメイン全体で有効だが、ドメイン・ローカル・グループは特定のドメイン内でのみ有効となっている。

　グループに含めることができるメンバーについても違いがある。グローバル・グループでは、同一ドメイン内のほかのグローバル・グループしか含めることができないが、ドメイン・ローカル・グループでは、ほかの任意のグループ（ユニバーサル・グループ、グローバル・グループ、ドメイン・ローカル・グループ）を含めることができる（同一ドメインではなく、フォレスト上の任意のユニバーサル・グループ／グローバル・グループでよい）。

　このような違いがあるため、その用途も少し異なっている。グローバル・グループは、極端にいえば、同一ドメイン内のほかのグローバル・グループをまとめる機能しか持たないため、複数のグループを1つにまとめて分かりやすい別名を付ける（もしくは、ひとまとめにして扱う）、といった使い方に向く。それ以上の機能（次に述べるアクセス制御など）には、あまり向かない。

　これに対してドメイン・ローカル・グループには、ほかの任意のグループを追加できるため、ドメイン・ローカルなリソースのアクセス権制御などに利用できる。例えばある特定のドメイン内にあるリソースに対し、ドメイン・ローカル・グループを作成してフルアクセスの権限を与える。そして実際にアクセスを許可したいユーザーやグループをこのドメイン・ローカル・グループに追加する、というふうに利用する。リソースに個別のアカウントを割り当ててアクセス権を設定するのではなく、ドメイン・ローカル・グループを1つ割り当て、そのグループのメンバーを入れ換えることにより、管理を簡単にすることができる。

「ユニバーサル・グループ」と「グローバル・グループ」の違い

Active Directory入門第4回―グローバル・カタログ、操作マスタ、サイト

　ユニバーサル・グループ（正確には、ユニバーサル・スコープを持つセキュリティ・グループ）は、ドメインの機能レベルがネイティブ・モードの場合にのみ利用できるグループである。また、ユニバーサル・グループのメンバー情報はグローバル・カタログ（GC）に複製されるが、グローバル・グループのメンバー情報は複製されないという特徴がある（いずれも、グループの名前やSIDの情報は複製される）。

　ユニバーサル・グループとグローバル・グループは、いずれもフォレスト全体で利用できる（フォレスト全体から参照できる）という点では同じであるが、その中に含めることができるメンバーに関して違いがある。グローバル・グループには、同一ドメイン内のほかのグローバル・グループしか含めることができないが、ユニバーサル・グループには、フォレスト内のほかのグローバル・グループやユニバーサル・グループも含めることができる。

　ユニバーサル・グループの方が高機能で有用に思われるが、ユニバーサル・グループのメンバーを変更すると、複製のためにネットワーク的／システム的には負荷が高くなるので、その使用には注意が必要である。メンバーを頻繁に変更するような使用は避けるのが望ましい。

この記事と関連性の高い別のWindows TIPS デフォルトのローカル・グループを知る 大量のユーザー・アカウントを一括登録する - ＠IT icaclsコマンドでアクセス制御リスト中のメンバーを検索する Windows XPで変わったユーザー／コンピュータ／グループの選択方法 このリストは、（株）デジタルアドバンテージが開発した 自動関連記事探索システム Jigsaw（ジグソー） により自動抽出したものです。 generated by

「Windows TIPS」

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）

RSSフィード