Windowsのグループアカウントの種類を知る：Tech TIPS

連載目次

解説

　Windows OSでは、ユーザーや（ほかの）グループのアカウントをまとめて、1つのものとして扱うために、「グループ」という概念がある。「TIPS：デフォルトのローカルグループを知る」では、Windows OSで利用できるローカルグループについて解説した。これ以外にも、グループにはいくつかの種類があるが、本TIPSでは、そのグループの種類について解説する。

　以下の画面は、Active Directoryの管理ツールでグループを作成するためのダイアログである。これを見ると、ドメインレベルで利用できるグループアカウントの種類について知ることができる。

Active Directory環境における新規グループの作成ダイアログ
これはWindows Server 2003のActive Directoryにおける新規グループの作成ダイアログの例。これ以外に、各コンピュータごとで利用できるローカルグループもあるが、それは各コンピュータのユーザー管理ツールで作成・管理する。作成できるグループのアカウントの属性としては、スコープ（3つ）と種類（2つ）がある。
　 （1）作成するグループの名前。
　 （2）Windows 2000以前の古いWindows OSから参照する場合のグループ名。
　 （3）ドメインローカルグループを作成する。
　 （4）グローバルグループを作成する（デフォルトのスコープ）。
　 （5）ユニバーサルグループを作成する（これはネイティブモード時にのみ利用可能）。
　 （6）セキュリティグループを作成する（デフォルトの種類）。
　 （7）配布グループを作成する。

　これ以外にも、コンピュータごとに作成・管理できる「ローカルグループ」というものがあるので、まとめると次のようになる。

●「セキュリティグループ」と「配布グループ」の違い

・TIPS「アクセス制御リストACLとは？」

　グループアカウントの「種類」には「セキュリティグループ」と「配布グループ」の2つがある。セキュリティグループとは、ファイルやリソースのアクセス権設定などで利用されるアカウントである。アクセス制御リスト（ACL）中では、このセキュリティグループのアカウント（とユーザーアカウント）を利用することができる（ACLについては関連記事を参照のこと）。セキュリティグループは最もよく使われるグループアカウントであり、AdministratorsやDomain Adminsなどはすべてこのセキュリティグループに属しているし、通常作成されるグループアカウントは、ほとんどすべて、このセキュリティグループのアカウントになる。

　「配布グループ」は、電子メールアプリケーションなどで利用される、特殊なグループアカウントである（これはドメインレベルでのみ利用できる。ローカルグループでは利用できない）。例えば、Exchange Serverなどがこのグループを利用している。配布グループは、メールなどを送信する場合に、複数の相手にいっせいに送信するために利用するアカウントである。電子メールのあて先として配布グループを指定しておくと、その配布グループに属する複数の相手（ユーザーもしくはそのほかのグループ）に対して、同時に送信することができる。

　以下では、セキュリティグループについて解説する。

●ドメインのスコープ

　グループアカウントには、それぞれ「スコープ（範囲）」があり、利用できる範囲（そのグループアカウントを参照／検索できる範囲）が決められている。例えば、ローカルグループはローカルのコンピュータ上でのみ有効であり、ほかのコンピュータから参照することはできない（つまり、あるコンピュータ上のACLに、別のコンピュータ上のローカルグループアカウントをエントリとして追加することはできない）。またドメインローカルグループは、特定のドメイン内でのみ有効であるが、グローバルグループはフォレスト内のすべてのコンピュータ／ドメインから参照可能である。

●追加可能なドメインのメンバー

　グループの種類に応じて、その中に含めることができる（グループのメンバーとして追加できる）アカウントの種類にも制限がある。

●「グローバルグループ」と「ドメインローカルグループ」の違い

　グローバルグループとドメインローカルグループの違いは、例えばドメインユーザーアカウントとローカルコンピュータ上のユーザーアカウントの違いのようなものである。グローバルグループは、フォレストやドメイン全体で有効だが、ドメインローカルグループは特定のドメイン内でのみ有効となっている。

　グループに含めることができるメンバーについても違いがある。グローバルグループでは、同一ドメイン内のほかのグローバルグループしか含めることができないが、ドメインローカルグループでは、ほかの任意のグループ（ユニバーサルグループ、グローバルグループ、ドメインローカルグループ）を含めることができる（同一ドメインではなく、フォレスト上の任意のユニバーサルグループ／グローバルグループでよい）。

　このような違いがあるため、その用途も少し異なっている。グローバルグループは、極端にいえば、同一ドメイン内のほかのグローバルグループをまとめる機能しか持たないため、複数のグループを1つにまとめて分かりやすい別名を付ける（もしくは、ひとまとめにして扱う）、といった使い方に向く。それ以上の機能（次に述べるアクセス制御など）には、あまり向かない。

　これに対してドメインローカルグループには、ほかの任意のグループを追加できるため、ドメインローカルなリソースのアクセス権制御などに利用できる。例えばある特定のドメイン内にあるリソースに対し、ドメインローカルグループを作成してフルアクセスの権限を与える。そして実際にアクセスを許可したいユーザーやグループをこのドメインローカルグループに追加する、というふうに利用する。リソースに個別のアカウントを割り当ててアクセス権を設定するのではなく、ドメインローカルグループを1つ割り当て、そのグループのメンバーを入れ換えることにより、管理を簡単にすることができる。

●「ユニバーサルグループ」と「グローバルグループ」の違い

・運用「Active Directory入門第4回―グローバルカタログ、操作マスタ、サイト」

　ユニバーサルグループ（正確には、ユニバーサルスコープを持つセキュリティグループ）は、ドメインの機能レベルがネイティブモードの場合にのみ利用できるグループである。また、ユニバーサルグループのメンバー情報はグローバルカタログ（GC）に複製されるが、グローバルグループのメンバー情報は複製されないという特徴がある（いずれも、グループの名前やSIDの情報は複製される）。

　ユニバーサルグループとグローバルグループは、いずれもフォレスト全体で利用できる（フォレスト全体から参照できる）という点では同じであるが、その中に含めることができるメンバーに関して違いがある。グローバルグループには、同一ドメイン内のほかのグローバルグループしか含めることができないが、ユニバーサルグループには、フォレスト内のほかのグローバルグループやユニバーサルグループも含めることができる。

　ユニバーサルグループの方が高機能で有用に思われるが、ユニバーサルグループのメンバーを変更すると、複製のためにネットワーク的／システム的には負荷が高くなるので、その使用には注意が必要である。メンバーを頻繁に変更するような使用は避けるのが望ましい。

「Tech TIPS」