今回は,Active Directoryのドメイン・グループのスコープに関する問題です。この内容は,MCP試験70-290(Managing and Maintaining a Microsoft Windows Server 2003 Environment)と70-642TS(Windows Server 2008 Network Infrastructure, Configuring)の試験範囲に含まれています。
Active Directoryドメインのスコープには,ドメイン・ローカル,グローバル,ユニバーサルがあり,それぞれ以下の特徴を持ちます(表1)。
スコープ | 利用範囲 | メンバー | 主な目的 |
---|---|---|---|
ドメインローカル | ドメイン内 | ■フォレストのユーザー・アカウント ■フォレストのコンピュータ・アカウント ■フォレストのグローバル・グループ ■フォレストのユニバーサル・グループ ■ドメインのドメインローカル・グループ | アクセス制御 |
グローバル | フォレスト全体 | ■ドメインのユーザー・アカウント ■ドメインのコンピュータ・アカウント ■ドメインのグローバル・グループ | ドメインのユーザーの分類 |
ユニバーサル | フォレスト全体 | ■フォレストのユーザー・アカウント ■フォレストのコンピュータ・アカウント ■フォレストのグローバル・グループ ■フォレストのユニバーサル・グループ | フォレストのユーザーの分類 |
グループを作成した後,スコープの変更をすることが可能です。しかし,グローバルからドメイン・ローカルまたはドメイン・ローカルからグローバルの各スコープに変更する場合,直接変更はできないため,いったんユニバーサル・スコープに変更してからさらに変更作業をします(図1)。したがって正解は2です。
ほかの選択肢を見てみましょう。
Windows Server 2003でドメインを構築した場合は,Windows NT4.0のドメイン・コントローラをドメイン内で実行することが可能です。異なるバージョンのドメイン・コントローラをドメインで利用するには,互換性のために低いバージョンに合わせた機能のみを使用するように,ドメインとフォレストに設定する必要があります。この設定を「機能レベル」と言います。
ドメイン機能レベルがWindows NT4.0機能に合わせた「Windows 2000混在」の場合,新しいグループ管理機能である,ユニバーサル・グループのスコープと同じスコープのグループにグループをメンバーとして追加する機能は使用できません。また,スコープの変更もできません。問題のシナリオでは,グローバル・グループにグローバル・グループをメンバーとして追加しているため,機能レベルには問題がないことがわかります。したがって1は誤りです。
「Active Directory復元モード」は,ドメイン・コントローラをバックアップから復元したり,ドメイン・データベースのメンテナンスを行う場合に使用します。グループ・スコープの変更には関係ありません。したがって3は誤りです。
グループのスコープ変更に伴ってメンバシップに矛盾が生じる場合は,メンバーを削除する必要があります。グループにグループを追加することを「ネスト」と言います。グループのネストの組み合わせは,表1を参照してください。これ以外の組み合わせはできません。
例えば,グローバル・グループのメンバーとして追加されているグローバル・グループをドメイン・ローカル・グループに変更する場合が挙げられます。しかし,この問題のシナリオでは,グローバル・グループをメンバーとして持つグローバル・グループをドメイン・ローカル・グループに変更しようとしています。グループのネストの組み合わせに矛盾は生じないので,メンバーを削除する必要はありません。したがって4は誤りです。