- PR -

ユニバーサルグループのメンバに、外部信頼したドメインのユーザーを追加できない

1
投稿者投稿内容
ちょろちょろ
会議室デビュー日: 2006/01/11
投稿数: 5
お住まい・勤務地: 愛知県
投稿日時: 2007-08-28 19:28
はじめまして。

Windows Server 2003でActive Directoryを構築しています。
ドメインの機能レベルは、「Windows Server 2003」です。

自ドメイン（DomainA）が、別フォレストのドメイン（DomainB）を
「外部の信頼」で信頼するように設定しました。
この信頼関係は一方向です。

その結果、DomainAのドメインローカルグループに、DomainBのユーザーアカウントを
メンバとして追加できることを確認しました。
ところが、DomainAのユニバーサルグループには、DomainBのユーザーアカウントを
追加できません。
（メンバを追加する画面で、検索する場所をDomainBにすることができないのです）

ユニバーサルグループには、信頼するドメインのユーザーアカウントをメンバとして
追加できないのでしょうか？
あるいは、信頼の設定内容によっては追加できるようになるのでしょうか？

よろしくお願いします。

【現在の信頼の設定内容】
(1)DomainA側
　このドメインに信頼されるドメイン：DomainB
　　信頼の種類：外部
　　信頼の推移：いいえ
　　認証：認証の選択
(2)DomainB側
　このドメインを信頼するドメイン：DomainA
　　信頼の種類：外部
　　信頼の推移：いいえ
かんきち
常連さん
会議室デビュー日: 2007/08/07
投稿数: 23
投稿日時: 2007-08-29 13:37
フォレストの機能レベルをWindows Server 2003に上げ、フォレストの信頼を作成した場合に可能となります。
ちょろちょろ
会議室デビュー日: 2006/01/11
投稿数: 5
お住まい・勤務地: 愛知県
投稿日時: 2007-08-30 10:24
かんきち様、ありがとうございます。

テスト環境にて、早速試してみました。
が、同じように、ユニバーサルグループに、信頼したドメインのユーザーを
追加することはできませんでした。

DomainAも、DomainBも、フォレストの機能レベルをWindows Server 2003にして、
フォレストの信頼を行ったのですが、、、。


検索していたら、以下のページを見つけました。
http://technet2.microsoft.com/WindowsServer/ja/library/517b4fa4-5266-419c-9791-6fb56fabb85e1041.mspx?mfr=true

リンク先も含めて、詳しく読んでみます。
ありがとうございました。
Mattun
ぬし
会議室デビュー日: 2004/08/10
投稿数: 1391
投稿日時: 2007-08-30 11:54
引用:

ユニバーサルグループには、信頼するドメインのユーザーアカウントをメンバとして
追加できないのでしょうか？

できません。

ユニバーサルグループ: フォレスト内のアカウント
グローバルグループ: 同一ドメイン内のアカウント
ドメインローカルグループ: 任意のドメインのアカウント
が含められます。
かんきち
常連さん
会議室デビュー日: 2007/08/07
投稿数: 23
投稿日時: 2007-08-30 12:36
MSのリンク先は、読んではいたのですが。

---------------------------------------------------------------
たとえば、ForestA にある Sales Department グローバル グループと Accounting Department グローバル グループの社員が、ForestB にある同じ印刷リソースを使用するとします。ForestB に Print Users in Other Forests という名前のユニバーサル グループを作成し、ForestA から Sales Department と Accounting Department の両方のグローバル グループをメンバとして追加します。
---------------------------------------------------------------

グローバルグループに先にユーザーを含んだ上で、異なるフォレストのユニバーサルグループにそのグループを含める必要があるのかもしれません。

ちょろちょろさんの結果を見ると、ユーザー自体は無理なんですか。
この点、お詫びします。
ちょろちょろ
会議室デビュー日: 2006/01/11
投稿数: 5
お住まい・勤務地: 愛知県
投稿日時: 2007-08-30 14:30
Mattun様、ありがとうございます。

確かに、
http://technet2.microsoft.com/WindowsServer/ja/library/79d93e46-ecab-4165-8001-7adc3c9f804e1041.mspx?mfr=true
を読むと、
『ユニバーサル グループのメンバは、ドメイン ツリー内またはフォレスト内の
任意のドメインにある他のグループやアカウントを含むことができます。』（※１）
と書いてありますね。

しかし、前述のリンク先には、かんきち様の引用にあるように、
ForestAにあるグローバルグループを、ForestBにあるユニバーサルグループのメンバ
として追加する、としています。

何度読み返しても、相反しているように思えるのですが、、、。
やはり、※１の方が正解、ということでしょうか？


かんきち様、ありがとうございます。

グローバルグループにユーザーを含んだ場合も、同様にユニバーサルグループの
メンバにすることはできませんでした。

かんきち
常連さん
会議室デビュー日: 2007/08/07
投稿数: 23
投稿日時: 2007-08-30 16:50
自分も環境作って検証してみましたが、フォレストの信頼を結んでも
ユニバーサルグループには、異なるフォレストのグループやメンバを追加出来ませんね。

TechNetが間違ってるとしか思えず。
ちょろちょろ
会議室デビュー日: 2006/01/11
投稿数: 5
お住まい・勤務地: 愛知県
投稿日時: 2007-08-30 21:19
かんきち様、ありがとうございます。

フォレスト信頼であれば、追加できても良いように思うのですが、
どうやら無理なようですね。

＃仮に追加できたとして、何か矛盾が発生するかな、、、
＃と考えてみたものの、何も思いつかず。

検証までして頂いて恐縮です。ありがとうございました。
1

スキルアップ／キャリアアップ（JOB@IT）