アシスタント管理者として、DRAを使用してグループ管理およびグループプロパティの変更を行うことができます。グループ化により、定義された一連のユーザアカウントに特定のパーミッションを与えることができます。グループを使用して、任意のドメイン内でユーザアカウントがアクセスできるデータとリソースを管理することができます。
任意の種類および範囲のグループを管理することができます。たとえば、グループをネストして、1つのグループに別のグループのパーミッションを継承させることができます。信頼するドメインのグループを管理対象ドメイン内の別のグループに追加したり、一時的なグループ指定を管理することにより、ドメイン全体のグループメンバーシップを効率的に管理することもできます。
このセクションでは、Account and Resource Managementコンソールを使用して、グループを管理する方法について説明します。適切な権限があれば、グループメンバーシップの変更など、さまざまなグループ管理タスクを実行することができます。複数のグループを選択した場合、グループに対するメンバーの追加、削除、移動など、選択したタスクを1回の操作で実行できます。1つまたは複数のグループを選択すると、実行できるタスクが［タスク］メニューに表示されます。
ユーザアカウント、連絡先、およびコンピュータを管理グループに追加することができます。
メモ:このタスクは、複数のアカウントを指定グループに追加します。1つのアカウントをグループに追加するには、アカウントを選択して、［タスク］メニューの［グループに追加］をクリックします。
別のグループへのアカウントの追加により、そのアカウントに対する権限が増える場合には、そのアカウントの追加は許可されません。
別の管理対象グループにグループを追加することによってグループを入れ子にすることができます。グループが別のグループの入れ子になっている場合、子のグループは親のグループからパーミッションを継承できます。
メモ:別のグループにグループを追加することにより、そのグループに対する権限が増える場合には、そのグループの追加は許可されません。
ローカルグループとグローバルグループのプロパティを変更することができます。所有する権限により、管理対象ドメインまたは管理対象サブツリー内のグループに対して変更できるプロパティが異なります。Exchangeをインストールし、Microsoft Exchangeのサポートを有効にすれば、グループを管理しながら配布リストのプロパティを変更することができます。
管理対象ドメインまたは管理対象サブツリー内にグループを作成することができます。新しいグループのグループメンバーなどのプロパティを変更することもできます。
メモ:
企業によっては、新しいグループに割り当てる名前にポリシーを通して命名規則が適用される場合があります。
デフォルトでは、新しいグループが管理対象ドメインのユーザOUの中に置かれます。
管理グループに対して、ユーザアカウント、連絡先、コンピュータ、または他のグループを追加または削除できます。DRAは、外部のセキュリティプリンシパルの削除のみ許可します。既存グループメンバーのプロパティを表示および変更することもできます(外部のセキュリティプリンシパルを除く)。
グループからメンバーを削除しても、メンバーであるオブジェクトは削除されません。メンバーをグループに追加するときには、追加するメンバーオブジェクトを変更する権限がなければなりません。
メモ:Windowsの管理者または特別なグループのメンバーでない限り、Windowsの特別なグループ(Administratorsグループ、アカウントオペレータグループ、バックアップオペレータグループ、サーバーオペレータグループなど)にユーザアカウントやグループを追加することはできません。
管理対象ドメインまたは管理対象サブツリー内の別のグループにグループを追加したり削除することができます。グループが属す既存のグループのプロパティを表示し、変更することもできます。
グループメンバーシップにActive Directoryのセキュリティ権限を設定することができます。これらのパーミッションにより、Microsoft Outlookを使用してグループメンバーシップを表示(読み込み)および変更(書き込み)できるユーザが指定されます。これらの設定を使用して、環境内の配布リストおよびセキュリティグループの安全性を高めることができます。継承したセキュリティパーミッションを変更することはできません。
メモ:グループメンバーシップのセキュリティを管理するときに、オフになっているパーミッションが継承されたパーミッションを示す場合があります。
Microsoft Windowsの配布グループおよびセキュリティグループの所有権を設定することができます。グループ所有権のパーミッションは、ユーザアカウント、グループ、または連絡先に付与することができます。グループ所有権が付与されると、ユーザアカウント、グループ、または連絡先がそのグループのメンバーシップを変更することができます。
メモ:グループメンバーシップがMicrosoft Exchangeサーバから隠れている場合は、DRAが［Manager can update membership list (マネージャがメンバーシップリストを更新できる★)］というチェックボックスを無効にします。このチェックボックスを有効にするには、［Group Properties (グループプロパティ★)］ウィンドウで［Exchange (変換★)］タブの［Expose Group Membership (グループメンバーシップを表示する★)］をクリックします。
管理対象ドメイン内のローカルグループとグローバルグループの両方でクローンが作成できます。グループのクローンを作成することにより、元のグループと同じ種類および属性を持つ新しいグループを作成することができます。また、元のグループのすべてのメンバーが新しいグループに追加されます。
グループのクローンを作成することにより、同様のプロパティを持つ他のグループをベースとして簡単にグループを作成することができます。グループのクローンを作成すると、選択されたグループの値が［Clone Group (グループのクローン作成★)］ウィザードに設定されます。新しいグループのプロパティを変更することもできます。
メモ:
企業によっては、新しいグループに割り当てる名前にポリシーを通して命名規則が適用される場合があります。
デフォルトでは、新しいグループが管理対象ドメインのユーザOUの中に置かれます。
管理対象ドメインまたは管理対象サブツリー内のローカルグループとグローバルグループが削除できます。そのドメインでごみ箱が無効になっている場合、グループを削除すると、そのグループはActive Directoryから永久に削除されます。そのドメインでごみ箱が有効になっている場合は、グループを削除すると、そのグループはごみ箱に移動し、グループのプロパティが無効になります。
ごみ箱の詳細については、「ごみ箱の管理」を参照してください。
警告:グループを作成すると、Microsoft WindowsによってそのグループにSID (Security Identifier)が割り当てられます。SIDは、グループ名からは生成されません。Microsoft Windowsは、SIDを使用して各リソースのACL (Access Control Lists)に特権を記録します。グループを削除する場合は、同一名を使用して新規のグループを作成することにより、そのグループのアクセス権を戻すことはできません。
管理対象ドメインまたは管理対象サブツリー内の別のコンテナ(OUなど)にグループを移動することができます。
管理対象ドメインまたは管理対象サブツリー内のグループのメンバーシップを配布リストに表示させることができます。
管理対象ドメインまたは管理対象サブツリー内のグループのメンバーシップを配布リストで非表示にすることができます。
一時グループに指定することで、特定の期間だけグループメンバーシップを必要とするユーザのグループメンバーシップを管理することができます。このセクションでは、Account and Resource Managementコンソールを使用して、一時グループ割り当てを管理する方法について説明します。適切な権限があれば、新しい一時グループ割り当ての作成や期限が切れた一時グループ割り当ての削除などのタスクを実行することができます。これらのタスクは、プライマリ管理サーバ上でのみ実行することができます。1つまたは複数の一時グループ割り当てを選択すると、実行できるタスクが［タスク］メニューに表示されます。
一時グループ割り当てまたは保存された期限切れのグループ指定のプロパティは、プライマリ管理サーバ上でのみ管理できます。権限により、変更可能な一時グループ割り当てのプロパティは異なります。
一時グループ割り当ては、プライマリ管理サーバ上でのみ作成することができます。新しい一時グループ割り当てのプロパティ(スケジュールなど)を変更することもできます。
プライマリ管理サーバ上で、一時グループ割り当てにユーザアカウントを追加または削除することができます。
メモ:アクティブになっていない一時グループ割り当てのユーザアカウントのみ管理できます。
プライマリ管理サーバ上でのみ一時グループ割り当てのスケジュールを変更することができます。保存された期限切れの一時グループ割り当てのスケジュールも変更することができます。
メモ:一時グループ割り当ての期限が切れると、今後のために保存しない限り、DRAにより自動的に削除されます。
一時グループ割り当ては、プライマリ管理サーバ上で削除することができます。