3.1 ユーザアカウントの管理
Microsoft Windowsでは、関連するユーザアカウントのアクセス権限がユーザアカウントの種類によって決まります。ユーザアカウントはグローバルかローカルです。DRAはInetOrgPersonオブジェクトもサポートしていますが、InetOrgPersonオブジェクトを通常ユーザとして認識します。
- グローバルユーザアカウント
-
ユーザアカウントが作成されたドメインを信頼するドメインならどこでも使用できるユーザアカウントです。ユーザアカウントに特定のパーミッションを付与することができます。ユーザアカウントをグループのメンバーにしてから、そのグループにパーミッションを割り当てる方法もあります。ユーザアカウントのグループ化により、ユーザアカウントが多数ある場合のネットワークパーミッションの管理プロセスが単純になります。
- ローカルユーザアカウント
-
ローカルユーザアカウントは、Windowsオペレーティングシステムにログインする際に使用するアカウントと同じです。これにより、自分のユーザスペースでシステムのリソースにアクセスできます。
3.1.2 ユーザアカウントの管理タスク
このセクションでは、Account and Resource ManagementコンソールおよびWebコンソールによるユーザアカウント管理について順を追って説明します。適切な権限があれば、アカウントの作成や削除など、さまざまなユーザアカウント管理タスクを実行することができます。複数のユーザアカウントを選択した場合、グループに対するユーザの追加、削除、移動など、選択したタスクを1回の操作で実行できます。自分に割り当てられた権限の詳細については、「割り当てられた権限と役割の表示」を参照してください。
メモ:ユーザアカウントを別のActiveViewにコピーすることは、Account and Resource Managementコンソールからのみ実行できます。
Account and Resource Managementコンソールでのユーザアカウントタスク
次に示す該当タスクをすべて［］メニュー、または右クリックメニューから実行できます。一般に、目的のユーザオブジェクトを見つけてそれを選択するには、［］というノードを選択し、［］という操作を実行します。新しいユーザを作成する場合は、ユーザを作成する場所のドメインまたはOUを選択する必要があります。1つまたは複数のユーザアカウントを選択すると、実行できるタスクが［タスク］メニューに表示されます。
Webコンソールでのユーザアカウントタスク
次に挙げるタスクのほとんどがWebコンソールの［］>［］タブから実行できます。一般に、検索操作は、必要なユーザオブジェクトを見つけて、それを選択する際に実行します。リストで1つまたは複数のオブジェクトを選択したら、ツールバーのボタンがアクティブになります。ボタンの上にマウスのカーソルを重ねると、その機能が表示されます。
メモ:ユーザアカウントを別のActiveViewにコピーすることは、Account and Resource Managementコンソールからのみ実行できます。
- ユーザアカウントを作成する
-
管理対象ドメインまたは管理対象サブツリー内にユーザアカウントが作成できます。また、プロパティの変更、メールボックスの作成、電子メールの有効化、および新しいアカウントへのグループメンバーシップの割り当てなどを実行することもできます。
メモ:
-
企業によっては、新規ユーザアカウントに割り当てる名前に対し、ポリシーによって強制的に命名規則が適用される場合があります。
-
デフォルトにより、新規ユーザアカウントは管理対象ドメインのユーザOUの中に置かれます。
-
DRAでInetOrgPersonオブジェクトを作成することはできません。
-
- ユーザアカウントのクローンを作成する
-
ユーザアカウントのクローンを作成すると、そのユーザがメンバーになっているすべてのグループが新しいユーザアカウントに自動的に追加されるため、クローンとして作成されたアカウントのための設定時間が省けます。クローンとして作成されたアカウントに対しては、グループの追加または削除、およびメールの有効化など、様々なプロパティ設定を新規アカウントのときと同様に行うことができます。
メモ:InetOrgPersonオブジェクトのクローンを作成するときには、ユーザアカウントを作成します。
- ユーザアカウントのプロパティを変更する
-
管理対象ドメインまたは管理対象サブツリー内のユーザアカウントのプロパティを管理できます。変更できるユーザアカウントのプロパティは、ユーザの権限により異なります。Exchangeをインストールし、Microsoft Exchangeのサポートを有効にすれば、ユーザアカウントを管理しながら対応するメールボックスのプロパティを変更することができます。
メモ:ホームディレクトリのポリシーを有効にすると、そのアカウントを管理するときにユーザアカウントのホームディレクトリが自動的に変更されます。たとえば、ホームディレクトリの場所を変更すると、指定されたホームディレクトリが作成され、前のホームディレクトリの内容が新しい場所に移動されます。元のディレクトリで割り当てられていたACLも、新しいディレクトリに適用されます。
- 自分のアカウントを管理する
-
電話番号など、一般プロパティを変更することにより、自分のアカウントを管理することができます。自分のアカウントを管理する前に、適切な権限があることを確認してください。
- ユーザアカウントの名前を変更する
-
管理対象ドメインまたは管理対象サブツリー内のユーザアカウントの名前を変更できます。ユーザのログオン名を変更すると、そのユーザアカウントに対応するメールボックスの名前も変更されます。
- ユーザアカウントを有効化する
-
管理対象ドメインまたは管理対象サブツリー内のユーザアカウントを有効にすることができます。Microsoft Windowsアカウントを管理している場合、この変更が適用されるドメインコントローラを指定することができます。
変更を特定のドメインコントローラに適用する場合、その変更は同じ管理対象ドメインのデフォルトのドメインコントローラにも適用されます。デフォルトのドメインコントローラを検証するには、ドメインのプロパティを表示します。
- ユーザアカウントを無効にする
-
管理対象ドメイン内のユーザアカウントを無効にすることができます。Microsoft Windowsアカウントを管理している場合、この変更が適用されるドメインコントローラを指定することができます。
変更を特定のドメインコントローラに適用する場合、その変更は同じ管理対象ドメインのデフォルトのドメインコントローラにも適用されます。デフォルトのドメインコントローラを検証するには、ドメインのプロパティを表示します。
- ユーザアカウントのロックを解除する
-
管理対象ドメインまたは管理対象サブツリー内にあるユーザアカウントのロックを解除できます。
DRAではユーザアカウントのステータスがアカウントキャッシュから取得されるため、選択したアカウントが実際にはロックされているのにロックが解除されているものとしてユーザインタフェースに表示されることがあります。そのような場合でも、DRAではユーザアカウントのロックを解除することができます。DRAコンソールを使用してユーザアカウントのロックを解除するとき、ドメインコントローラを指定することもできます。このとき、ユーザアカウントのパスワードをリセットする必要はありません。
- ユーザアカウントのパスワードをリセットする
-
管理対象ドメインまたは管理対象サブツリー内のアカウントのパスワードをリセットできます。ユーザアカウントについて変更できるフィールドは、ユーザの権限により異なります。
ユーザアカウントのパスワードをリセットすると、そのアカウントのロックが自動的に解除されます。ユーザアカウントの新しいパスワードがDRAで自動的に生成されるようにするかどうかを選択できます。また、アカウントのパスワード関連のオプションも変更できます。Microsoft Windowsのアカウントを管理している場合は、ドメインコントローラを指定して、そこに対してDRAにこれらの変更を適用させることができます。
メモ:変更を特定のドメインコントローラに適用する場合、その変更は同じ管理対象ドメインのデフォルトのドメインコントローラにも適用されます。デフォルトのドメインコントローラを検証するには、ドメインのプロパティを表示します。
- ユーザアカウントを別のActiveViewにコピーする
-
ユーザアカウントを別のActiveViewにコピーすることができます。この操作を、ユーザアカウントの「転送」と呼びます。ユーザアカウントを別のActiveViewにコピーするには、コピー元とコピー先のActiveViewの両方でCopy User to Another ActiveViewという権限を持っている必要があります。ユーザアカウントを別のActiveViewに転送しても、元のActiveViewのユーザアカウントは削除されません。
- ユーザアカウントを別のコンテナに移動する
-
管理対象ドメインまたは管理対象サブツリー内の別のコンテナ(OUなど)にユーザアカウントを移動することができます。
- ユーザアカウントを削除する
-
管理対象ドメインまたは管理対象サブツリー内のユーザアカウントを削除することができます。そのドメインでごみ箱が無効になっている場合、ユーザアカウントを削除すると、そのユーザアカウントはActive Directoryから永久に削除されます。そのドメインでごみ箱が有効になっている場合、ユーザアカウントを削除すると、そのユーザアカウントはごみ箱に移動します。
警告:ユーザアカウントを作成すると、Microsoft WindowsによってそのアカウントにSID (Security Identifier)が割り当てられます。SIDは、アカウント名からは生成されません。Microsoft Windowsは、SIDを使用して各リソースのACL (Access Control Lists)に特権を記録します。ユーザアカウントを削除した場合、同じ名前のユーザアカウントを新規に作成しても、削除前のアクセス権を復活させることはできません。
- ユーザアカウントにグループメンバーシップを指定する
-
管理対象ドメインまたは管理対象サブツリー内の特定グループにユーザアカウントを追加したり削除することができます。このアカウントが属す既存のグループのプロパティを表示し、変更することもできます。