PR

 今回は,Active Directoryのドメイン・グループのスコープに関する問題です。この内容は,MCP試験70-290(Managing and Maintaining a Microsoft Windows Server 2003 Environment)と70-642TS(Windows Server 2008 Network Infrastructure, Configuring)の試験範囲に含まれています。

 Active Directoryドメインのスコープには,ドメイン・ローカル,グローバル,ユニバーサルがあり,それぞれ以下の特徴を持ちます(表1)。

表1●ドメイン・グループのスコープ(範囲)
スコープ利用範囲メンバー主な目的
ドメインローカルドメイン内■フォレストのユーザー・アカウント
■フォレストのコンピュータ・アカウント
■フォレストのグローバル・グループ
■フォレストのユニバーサル・グループ
■ドメインのドメインローカル・グループ
アクセス制御
グローバルフォレスト全体■ドメインのユーザー・アカウント
■ドメインのコンピュータ・アカウント
■ドメインのグローバル・グループ
ドメインのユーザーの分類
ユニバーサルフォレスト全体■フォレストのユーザー・アカウント
■フォレストのコンピュータ・アカウント
■フォレストのグローバル・グループ
■フォレストのユニバーサル・グループ
フォレストのユーザーの分類

 グループを作成した後,スコープの変更をすることが可能です。しかし,グローバルからドメイン・ローカルまたはドメイン・ローカルからグローバルの各スコープに変更する場合,直接変更はできないため,いったんユニバーサル・スコープに変更してからさらに変更作業をします(図1)。したがって正解は2です。

図1●スコープの変更
図1●スコープの変更
[画像のクリックで拡大表示]

 ほかの選択肢を見てみましょう。

 Windows Server 2003でドメインを構築した場合は,Windows NT4.0のドメイン・コントローラをドメイン内で実行することが可能です。異なるバージョンのドメイン・コントローラをドメインで利用するには,互換性のために低いバージョンに合わせた機能のみを使用するように,ドメインとフォレストに設定する必要があります。この設定を「機能レベル」と言います。

 ドメイン機能レベルがWindows NT4.0機能に合わせた「Windows 2000混在」の場合,新しいグループ管理機能である,ユニバーサル・グループのスコープと同じスコープのグループにグループをメンバーとして追加する機能は使用できません。また,スコープの変更もできません。問題のシナリオでは,グローバル・グループにグローバル・グループをメンバーとして追加しているため,機能レベルには問題がないことがわかります。したがって1は誤りです。

 「Active Directory復元モード」は,ドメイン・コントローラをバックアップから復元したり,ドメイン・データベースのメンテナンスを行う場合に使用します。グループ・スコープの変更には関係ありません。したがって3は誤りです。

 グループのスコープ変更に伴ってメンバシップに矛盾が生じる場合は,メンバーを削除する必要があります。グループにグループを追加することを「ネスト」と言います。グループのネストの組み合わせは,表1を参照してください。これ以外の組み合わせはできません。

 例えば,グローバル・グループのメンバーとして追加されているグローバル・グループをドメイン・ローカル・グループに変更する場合が挙げられます。しかし,この問題のシナリオでは,グローバル・グループをメンバーとして持つグローバル・グループをドメイン・ローカル・グループに変更しようとしています。グループのネストの組み合わせに矛盾は生じないので,メンバーを削除する必要はありません。したがって4は誤りです。