Microsoft Entra Domain Services のマネージドドメインに組織単位 (OU) を作成する

[アーティクル]
10/25/2023

Active Directory Domain Services (AD DS) マネージドドメインの組織単位 (OU) を使用すると、ユーザーアカウント、サービスアカウント、コンピューターアカウントなどのオブジェクトを論理的にグループ化できます。その後、特定の OU に管理者を割り当て、グループポリシーを適用して対象となる構成設定を強制できます。

Domain Services マネージドドメインには、次の 2 つの組み込み OU が含まれています。

AADDC Computers - マネージドドメインに参加しているすべてのコンピューターに関するコンピューターオブジェクトが含まれています。
AADDC Users - Microsoft Entra テナントから同期されたユーザーとグループが含まれています。

Domain Services を使用するワークロードを作成して実行するときは、各アプリケーションが自身を認証するためのサービスアカウントを作成することが必要になる場合があります。これらのサービスアカウントを整理するために、多くの場合は、マネージドドメインにカスタム OU を作成した後、その OU 内にサービスアカウントを作成します。

ハイブリッド環境では、オンプレミスの AD DS 環境で作成された OU は、マネージドドメインに同期されません。マネージドドメインでは、フラットな OU 構造が使用されます。そこで階層的な OU 構造を構成した場合、ユーザーアカウントとグループは、異なるオンプレミスドメインまたはフォレストから同期されても、すべて AADDC Users コンテナー内に格納されます。

この記事では、マネージドドメインに OU を作成する方法を説明します。

開始する前に

この記事を完了するには、以下のリソースと特権が必要です。

有効な Azure サブスクリプション
- Azure サブスクリプションをお持ちでない場合は、アカウントを作成してください。
ご利用のサブスクリプションに関連付けられた Microsoft Entra テナント (オンプレミスディレクトリまたはクラウド専用ディレクトリと同期されていること)。
- 必要に応じて、Microsoft Entra テナントを作成するか、ご利用のアカウントに Azure サブスクリプションを関連付けます。
Microsoft Entra テナントで有効にされていて、構成されている Microsoft Entra Domain Services マネージドドメイン。
- 必要に応じて、Microsoft Entra Domain Services マネージドドメインを作成して構成するチュートリアルを完了します。
Domain Services マネージドドメインに参加している Windows Server 管理 VM。
- 必要に応じて、管理 VM を作成するチュートリアルを完了します。
Microsoft Entra テナントの Microsoft Entra DC 管理者グループのメンバーであるユーザーアカウント。

カスタム OU に関する考慮事項と制限

マネージドドメインにカスタム OU を作成すると、ユーザー管理やグループポリシーの適用のための管理の柔軟性が向上します。オンプレミスの AD DS 環境と比較して、マネージドドメインにカスタムの OU 構造を作成して管理する場合にはいくつかの制限と考慮事項があります。

カスタム OU を作成するには、ユーザーが AAD DC 管理者グループのメンバーである必要があります。
カスタム OU を作成するユーザーにはその OU に対する管理者特権 (フルコントロール) が付与され、そのユーザーがリソース所有者になります。
- 既定では、AAD DC 管理者グループにもカスタム OU のフルコントロールが与えられます。
Microsoft Entra テナントから同期されたすべてのユーザーアカウントが含まれている、AADDC Users の既定の OU が作成されます。
- AADDC Users OU から、作成したカスタム OU にユーザーまたはグループを移動することはできません。カスタム OU に移動できるのは、マネージドドメインに作成されたユーザーアカウントまたはリソースだけです。
カスタム OU に作成したユーザーアカウント、グループ、サービスアカウント、およびコンピューターオブジェクトは Microsoft Entra テナントでは使用できません。
- これらのオブジェクトは Microsoft Graph API を使用した場合も、あるいは Microsoft Entra UI にも表示されず、お使いのマネージドドメインでのみ使用できます。

カスタム OU を作成する

カスタム OU を作成するには、ドメインに参加している VM から Active Directory 管理ツールを使用します。 Active Directory 管理センターを使用すると、マネージドドメイン内のリソース (OU を含む) を表示、編集、および作成できます。

注意

マネージドドメインにカスタム OU を作成するには、AAD DC 管理者グループのメンバーであるユーザーアカウントにサインインする必要があります。

管理 VM にサインインします。 Microsoft Entra 管理センターを使用して接続する方法については、「Windows Server VM に接続する」を参照してください。
スタート画面で [管理ツール] を選択します。管理 VM を作成するためのチュートリアルでインストールされた使用可能な管理ツールの一覧が表示されます。
OU を作成して管理するには、管理ツールの一覧から [Active Directory 管理センター] を選択します。
左側のペインで、マネージドドメイン (例: aaddscontoso.com) を選択します。既存の OU とリソースの一覧が表示されます。
Active Directory 管理センターの右側に [タスク] ウィンドウが表示されます。ドメイン (例: aaddscontoso.com) で、[新規] > [組織単位] を選択します。
[Create Organizational Unit] (組織単位の作成) ダイアログで、新しい OU の [名前] (MyCustomOu など) を指定します。 OU の簡単な説明 (サービスアカウント用のカスタム OU など) を指定します。必要に応じて、OU の [Managed By] (管理者) フィールドを設定することもできます。カスタム OU を作成するには、 [OK] を選択します。
Active Directory 管理センターに戻ると、カスタム OU が一覧表示され、使用可能になっています。