企業でITインフラの管理や情報システムを担当することになった際、必ずと言っていいほど耳にする単語が「Active Directory（アクティブディレクトリ、以下AD）」です。
「名前は聞いたことがあるけれど、要するに何をするものなのか分からない」
「ワークグループとの違いや、グループポリシーの仕組みが難しそう」
そんな疑問を持つ方向けに、本記事ではActive Directoryの基礎知識から、具体的な役割、内部で動く仕組み、現場での実際の使い方まで、初心者にも直感的に理解できるよう体系的に解説します。
Active Directoryを一言でいうと？
Active Directoryとは「社内のユーザーアカウントやパソコン、プリンターなどのIT資産を、一元管理するための仕組み」です。
MicrosoftがWindows Server向けに提供している「ディレクトリサービス」の機能を指します。
身近な例えで理解する「学校の名簿システム」
Active Directoryの役割を理解するために、学校の管理システムをイメージしてみましょう。
- ADがない状態（個々の管理）
各教室（パソコン）ごとに生徒名簿があり、担任の先生が一人ひとりの登校やノートの貸し出しを個別にチェックしている状態。転校生が来たら、全教室の名簿を1台ずつ更新して回る必要があります。 - ADがある状態（一元管理）
職員室（ADサーバー）に「全校生徒・全教師・全教室の情報が詰まった中央名簿データベース」が存在する状態。転校生が来ても職員室の名簿を1箇所変更するだけで、全校生徒の情報が一瞬で更新されます。生徒は、職員室で発行された「共通生徒手帳（アカウント）」を使えば、どの教室のパソコンにもログインできます。
企業における「職員室の管理サーバー」にあたるのがActive Directoryです。
なぜActive Directoryが必要なのか？導入前と導入後の違い
企業でパソコンの数が増えてくると、Active Directoryなしでの管理は限界を迎えます。AD非導入環境（ワークグループ環境）とAD導入環境（ドメイン環境）を比較してみましょう。
導入していない場合（ワークグループ環境）
パソコン台数が数台程度の小規模オフィスであれば、個別に管理（ワークグループ）していても大きな支障はありません。しかし、社員が50人、100人と増えると以下のような惨事が発生します。
- アカウント作成の手間
新入社員が1人入社するたびに、その人が使うPC、共有フォルダがあるサーバー、複合機など、それぞれの端末に手動でユーザーIDとパスワードを登録して回る必要があります。 - パスワード変更の地獄
パスワードの定期変更を行う際、社員自身が各端末や共有サーバーのパスワードを個別に変更しなければなりません。 - 退職者アカウントの消し忘れ
退職者が出た際、どこかのサーバーでアカウントの消去漏れが発生すると、不正アクセスのセキュリティリスク（シャドーITや情報漏洩）に繋がります。 - セキュリティ設定のバラつき
「Windows Updateを全員が適用しているか」「壁紙変更やUSBメモリの接続制限が守られているか」を社員のモラル任せにするしかありません。
導入した場合（ドメイン環境）
Active Directoryを導入すると、システム管理者の負担とセキュリティリスクが劇的に改善します。
- アカウント管理は1回で終了
中央のADサーバーにユーザーを追加するだけで、社員は付与されたIDとパスワードを使って社内のどのPCにもログイン可能になります。 - 即座の権限削除
退職者が発生した場合は、AD上でそのアカウントを「無効化」するだけで、社内すべてのパソコンや共有サーバーへのアクセスを一瞬で遮断できます。 - 集中セキュリティ制御
社内の全PCに対して「パスワード桁数を8文字以上にする」「USBメモリの使用を禁止する」「壁紙を会社指定のものに固定する」といったルールを、一括で強制適用できます。
Active Directoryでできる5つの主要機能
Active Directoryが具体的にどのような機能を提供しているのか、主要な5つの要素に分解して解説します。
ユーザーとコンピュータの「一元認証・認可」
ADの最も根本的な機能です。
- 認証（Authentication）： 「あなたが本人であるか」を確認する機能。（例：IDとパスワードの検証）
- 認可（Authorization）： 「本人だと確認できたあなたに、どの操作や閲覧を許可するか」を決める機能。（例：営業部フォルダの閲覧許可）
ADにログインすること（ドメイン参加）で、一度の認証で社内の様々なリソースにアクセスできるようになります。
シングルサインオン（SSO）
AD認証を完了させたWindows PCにログインすると、その認証情報が引き継がれます。そのため、社内LAN上のファイルサーバーやプリントサーバー、AD連携された各種業務システムを開くたびに、再度IDとパスワードを打ち込む必要がありません。
ユーザーの手間を減らすだけでなく、パスワードの使い回しや付箋紙へのパスワードメモといったセキュリティ上の悪癖を防ぐ効果があります。
グループポリシー（GPO）による端末・ユーザー制御
グループポリシー（Group Policy Object: GPO）は、ADを導入する最大のメリットの一つです。管理者が定めたポリシーを、ADに所属するパソコンやユーザーへ自動的に一括配布・適用できます。
GPOで設定できることの具体例
- セキュリティ強化： スクリーンセーバーの強制適用とパスワードロック時間の指定（例：離席5分でロック）
- デバイス制御： 情報漏洩対策として、外部USBストレージの書き込み・読み込みを全社一律で禁止
- セキュリティパッチ徹底： Windows Updateの更新タイミングを制御し、勝手なアップデートによる業務中断を回避
- 作業環境の一律化： 全社員のPCのデスクトップ背景を会社指定の画像にし、ブラウザのお気に入りに社内ポータルサイトを自動追加
アクセス権限の階層管理（OUとグループ）
組織が大きくなると、「営業部の人だけがアクセスできるフォルダ」「人事部だけが見られる人事システム」といった権限分離が必要になります。
ADでは、OU（Organizational Unit：組織単位）というフォルダのような箱を作り、そこにユーザーやPCを部署ごとに整理して格納できます。さらに「営業部グループ」「役員グループ」といったグループを作成し、グループ単位でファイルサーバーへのアクセス権限を付与できます。
人事異動があった際も、ユーザーの所属グループを付け替えるだけで権限変更が完了します。
ネットワーク機器や別システムとの連携（LDAP / Kerberos）
Active Directoryは、Windows PC以外のシステムとも連携可能です。標準的なプロトコルであるLDAP（エルダップ）やKerberos（ケルベロス）を介して、以下のような機器・サービスと認証情報を共有できます。
- 社内Wi-Fi・VPNの認証： ADのユーザーIDとパスワードで社内Wi-FiやVPNに接続
- 複合機（コピー機）： AD認証でログインし、ICカードと連携した印刷出力制御
- サードパーティ製ツール： 勤怠管理システムやグループウェアへのログイン連携
知っておくべきActive Directoryの基本用語解説
Active Directoryの設計や構築、運用に関する会話では、独特の専門用語が登場します。ここをしっかり押さえておくと、技術ドキュメントや専門書がぐっと読みやすくなります。
1. ドメイン（Domain）
Active Directoryによって管理される「ひとつの管理境界（範囲）」のことです。通常は「corp.example.com」のようなDNS名で表されます。このドメインの中に、ユーザーやコンピュータなどの全オブジェクトが所属します。
2. ドメインコントローラー（DC：Domain Controller）
Active Directoryのデータベース（NTDS.dit）を保持し、実際にユーザーの認証処理やポリシーの配布を行うサーバー機器（または仮想サーバー）のことです。
通常、社内ネットワークにはシステム障害対策（冗長化）のため、最低でも2台以上のドメインコントローラー（プライマリとセカンダリなど）を設置して常にデータを同期（レプリケーション）させます。
3. オブジェクト（Object）
Active Directoryのデータベース内に登録される、管理対象のデータ一つひとつのことです。
- ユーザーオブジェクト： 社員個人のアカウント情報
- コンピュータオブジェクト： 社内の各Windows PCやサーバー情報
- グループオブジェクト： 複数のユーザーやPCを束ねた集合体
- プリンターオブジェクト： ネットワーク共有された印刷機器
4. OU（Organizational Unit：組織単位）
ドメイン内部で、オブジェクト（ユーザーやPC）を整理整頓するために作成する「フォルダ」のようなコンテナ構造です。
「東京本社 ＞ 営業部 ＞ 第一課」のように会社の組織構造に合わせて作成し、このOU単位でグループポリシー（GPO）を適用するのが一般的な運用パターンです。
5. ツリー（Tree）と フォレスト（Forest）
ADの規模が大きくなった際の階層構造を表す概念です。
- ツリー（木）： 同じDNSドメインの構造を持つ1つ以上のドメインの集まり（例：
example.comの下にsales.example.comがある構造）。 - フォレスト（森）： Active Directoryにおける最上位の境界。1つ以上のツリーが集まった完全な最外枠です。複数の会社をグループ傘下に持つ大企業などで、フォレスト内に複数のドメインツリーを共存させます。
Active Directoryは内部でどう動いている？認証の仕組み
Active Directoryで標準的に使われている認証プロトコルがKerberos（ケルベロス）認証です。なぜADに一度ログインすると、他のサーバーにパスワードを入れ直さずにアクセスできるのか、その裏側の仕組みを解説します。
Kerberos認証のステップ（テーマパークの例え）
Kerberos認証は「テーマパークのフリーパスチケット」によく例えられます。
- ログオン（チケット引換券の入手）
ユーザーがPC起動時にIDとパスワードを入力すると、PCはドメインコントローラー（DC）に問い合わせます。DCは入力情報を確認し、認証成功の証として「TGT（Ticket Granting Ticket：チケット発行用チケット）」という鍵付きデータをPCに発行します。 - サービスアクセスの要求（各アトラクションの入場券入手）
ユーザーが社内のファイルサーバー（例：アトラクション）を開こうとすると、PCは保持している「TGT」をDCに見せ、「ファイルサーバーに入るためのチケットをください」とリクエストします。 - サービスの利用（アトラクションへ入場）
DCからファイルサーバー用のチケットを受け取ったPCは、それをファイルサーバーへ提示します。ファイルサーバーはチケットを確認してアクセスを許可します。
この一連の処理がバックグラウンドで自動的に行われるため、ユーザーは一度PCにログインした後は、パスワードを何度も入力することなくスムーズに共有リソースを利用できます。
実践：システム管理者がActive Directoryで行う実際の使い方
ここでは、情報システム部門の管理者が日常業務でActive Directoryをどのように操作・運用しているのか、具体的な画面やツールを交えて紹介します。
代表的な管理ツール
Windows Serverには、ADを管理するためのGUIツール（標準ツール）があらかじめ用意されています。
- Active Directory ユーザーとコンピュータ（
dsa.msc）
最も頻繁に使うツール。ユーザーの新規作成、パスワードリセット、PCのドメイン参加管理、OUの作成などを行います。 - グループポリシー管理（
gpmc.msc）
GPOを作成し、どのOUに適用するかを設定するツール。
業務での具体的シナリオ
シナリオ1：新入社員（山田太郎さん）のアカウントを発行する
- 管理ツール「Active Directory ユーザーとコンピュータ」を開く。
- 該当する部署のOU（例：
本社/営業部）を右クリックし、「新規作成」＞「ユーザー」を選択。 - 氏名（山田 太郎）とユーザープリンシパル名（例：
t-yamada@corp.example.com）を入力。 - 初期パスワードを設定し、「ユーザーは次回ログオン時にパスワードの変更が必要」にチェックを入れる。
- 作成完了後、山田さんの所属グループ（例：
営業部_全般）にアカウントを追加。
シナリオ2：パスワードを忘れた社員への対応
- 「Active Directory ユーザーとコンピュータ」で該当ユーザーを検索。
- アカウントを右クリックし、「パスワードの無効化（リセット）」を選択。
- 一時的な仮パスワードを設定し、「次回ログオン時にパスワード変更」を有効にして本人に伝える。
シナリオ3：全社のUSBメモリ使用を制限する（GPO作成）
- 管理ツール「グループポリシー管理」を開く。
- 「USB使用禁止ポリシー」という名前でGPOを新規作成。
- 設定エディターを開き、
[コンピューターの構成] ＞ [ポリシー] ＞ [管理用テンプレート] ＞ [システム] ＞ [リムーバブル記憶域へのアクセス]を開く。 - 「すべてのリムーバブル記憶域クラス：すべてのアクセスを拒否」を「有効」に設定。
- 作成したGPOを、社内PCが格納されているOUへドラッグ＆ドロップして適用。
オンプレミスADとEntra ID（旧Azure AD）の違い
近年、クラウド移行（AWSやMicrosoft 365の導入）に伴い、「Azure AD」や現在の名称である「Microsoft Entra ID」という言葉を耳にする機会が増えました。
従来の「Active Directory（オンプレミスAD）」と「Microsoft Entra ID」は名前こそ似ていますが、設計思想や対応するネットワーク領域が異なります。
| 比較項目 | 従来の Active Directory（オンプレミスAD） | Microsoft Entra ID（旧 Azure AD） |
| 主な目的 | 社内LAN（境界型防御）の中にある端末・ユーザーの一元管理 | クラウドサービス（SaaS）へのアクセス認証・ID管理 |
| 主な認証プロトコル | Kerberos, NTLM, LDAP | OAuth 2.0, OpenID Connect, SAML |
| 管理対象 | Windows PC、社内物理サーバー、社内ネットワーク機器 | クラウドアプリ（M365, Salesforce, Zoomなど）、モバイル端末 |
| ネットワーク依存 | 社内LAN（VPN等含む）への接続が必要 | インターネット接続環境があればどこからでも認証可能 |
| 管理の仕組み | グループポリシー（GPO） | Intune（MDM）との連携による管理 |
ハイブリッド認証（AD + Entra ID）の主流化
現在の多くの企業では、従来のオンプレミスADとMicrosoft Entra IDを同期（Entra Connectを使用）させる「ハイブリッド構成」が標準的に採用されています。
- 社内PCへのログインやオンプレミスサーバーへのアクセス ➔ オンプレミスADで認証
- Microsoft 365（Teams, Outlook）やクラウドサービスへの接続 ➔ Entra IDで認証
両者を同期させることで、ユーザーは1つのIDとパスワード（同じアカウント情報）で社内システムとクラウドサービスの両方を利用できる環境を実現できます。
Active Directoryのメリット・デメリットまとめ
導入を検討・理解する上でのメリットと注意すべきポイントを振り返ります。
メリット
- 運用管理コストの削減： 数百台〜数万台のPC・ユーザー情報を1箇所で集約管理できる。
- 強固なセキュリティ統制： 全社の端末に対してセキュリティルールを一元適用できる。
- 利便性の向上： シングルサインオン（SSO）によりユーザーのパスワード入力負荷を低減。
- 内部統制・ログ監査の容易化： 「誰がどのPCに、いつログインしたか」のログを一括追跡可能。
デメリット・導入時の注意点
- 単一障害点（SPOF）のリスク：ドメインコントローラー（DC）が完全にダウンすると、全社員がPCにログインできなくなったり、社内システムが全面停止します。そのため、必ず複数台のDCによる冗長化（2台以上設置）が必須です。
- 高度な初期設計が必要：ドメイン名、OUの階層構造、GPOの適用範囲などを無計画に構築すると、将来の組織変更やシステム拡張に対応できず、運用が破綻する（設定が複雑化しすぎる）原因になります。
- 管理者権限（Domain Admins）の保護：AD全体の最高権限を持つ「Domain Admins」のパスワードが奪われると、社内システム全ての管理権限を攻撃者に握られます。多要素認証の導入や特権ID管理の厳格化が不可欠です。
まとめ：Active Directoryは企業のITインフラの「要」
Active Directoryについて概要から実践的な使い方まで解説してきました。ポイントを改めて整理します。
- Active Directoryとは： 社内のユーザー・PC・共有資源を一元管理するためのWindows Serverの機能。
- 最大のメリット： 「1回のアカウント登録で全社対応」「GPOによるPC設定の一括配布」「シングルサインオンによる利便性と安全性の両立」。
- 重要用語： ドメイン（管理範囲）、ドメインコントローラー（認証を実行するサーバー）、OU（整理用の箱）、GPO（設定ルール）。
- 最新トレンド： クラウド時代においては、オンプレミスのActive DirectoryとクラウドのMicrosoft Entra IDを組み合わせた「ハイブリッド環境」が主流。
Active Directoryの基本的な考え方と仕組みを理解しておくと、社内インフラの設計やトラブルシューティング、クラウドセキュリティ（ゼロトラスト構成など）の理解が一気に深まります。自社の社内ネットワーク構築や運用の第一歩として、ぜひ本記事の内容を役立ててください。
