ポイントは不正アクセス対策とデータバックアップ／復元機能
近年、セキュリティ侵害を目的としたサイバー攻撃は非常に多様化している。攻撃されうる分野を洗い出し、その対策を行うことは今までになく重要になってきている。では、Windows Server 2012のActive Directoryではどのような対策を取ればよいのだろうか。こちらも具体的な例をあげて見ていこう。
例1 サービスアカウントによる不正アクセスを防ぐ
サービスアカウントとは、サービスを起動・実行するために使われるユーザーアカウントのことだ。サービスは実行したユーザーの権限で動作するため、必要な権限だけを持ったユーザーをサービスアカウントとして設定することが望ましいとされている。
そうすることで、サービスが乗っ取られてサービスアカウントを悪用されたとしても、そのアカウントで悪用される範囲を限定できる（サービスアカウントに「Administrator」を使うケースを見かけることがあるが、サービスが乗っ取られたときのことを考えると“最悪”の設定である）。
一方、サービスアカウントとして利用するユーザーはサービス起動時にだけ使うものなので、ユーザーが「Ctrl」＋「Alt」＋「Del」キーを押してサインインするためには使われない。そこで、Windows Server 2012では「サービスアカウント」という名のサービス起動専用のユーザーアカウントを用意し、サービスアカウントとして作られたユーザーは「Ctrl」＋「Alt」＋「Del」キーを押してもサインインできないようにしている。
サービスアカウントの作成はPowerShellのコマンドレットで行う。
・サービスアカウントの新規作成
Add-KdsRootKey -EffectiveTime ((get-date).addhours(-10))
New-ADServiceAccount -Name <サービスアカウント名> -DNSHostName
Set-ADServiceAccount -Identity <サービスアカウント名> ` -PrincipalsAllowedToRetrieveManagedPassword <ホスト名>$
Install-ADServiceAccount -Identity <サービスアカウント名>
「Set-ADServiceAccount」コマンドレットを実行する際は、ホスト名を指定している。ここでのホスト名は、サービスアカウントを利用するコンピューターの名前を表す。
Windows Server 2012では「host1$,host2$」のように記述することで、複数のホスト名を指定できるようになっている。これは、SQL ServerやWebサーバのようにクラスター化された環境でサービスを動かす際、2台のホストで同じサービスアカウントを利用できるメリットがある。
ここまでの設定が完了すると、サービスのプロパティで作成したサービスアカウントをサービス起動時のアカウントとして登録できるようになる（画面4）。
画面4：サービスアカウントをサービス起動アカウントとして登録している様子
※クリックすると拡大画像が見られます
例2 Active Directoryデータベースのバックアップと復元
サーバにおけるセキュリティの一要素として欠かせないのが可用性だ。きちんとした可用性を担保するため、Active Directoryではデータベースのバックアップと復元の手段には複数の方法が用意されている。
1つは、Active Directoryデータベースをまるごとバックアップする方法だ。この方法はWindows Server 2012標準のバックアップツール「Windows Serverバックアップ」を使って行う（「Windows Serverバックアップ」自体は「役割と機能の追加」から追加する必要がある）。
「Windows Serverバックアップ」を起動して、「システム状態データ」をバックアップすれば、Active Directoryデータベースを簡単にバックアップできる（画面5）。
画面5：Active Directoryデータベースをバックアップするために「システム状態」を選択してバックアップする ※クリックして拡大
※クリックすると拡大画像が見られます
復元する場合は、コンピュータの起動時に「F8キー」を押し、「ディレクトリサービス復元モード」でコンピューターを起動して、同じく「Windows Serverバックアップ」からバックアップしたデータを復元する。これだけの操作で、Active Directory全体のデータベースをまるごと復元できる。
そして、もう1つの方法はActive Directoryの「ごみ箱」を利用する方法だ。Active Directoryのごみ箱は、ユーザーやグループなどのオブジェクトを誤って削除したときにバックアップデータを利用することなく復元するための機能である。
なお、Active Directoryのごみ箱を利用するときは、最初にActive Directory管理センターからごみ箱の機能を有効にしておかなければならない。
削除されたActive Directoryのオブジェクトは「Deleted Objects」コンテナに格納されるので、復元したいオブジェクトを選んで「復元」を選択するだけで、誤って削除したオブジェクトも簡単に復元することができる（画面6）。
画面6：削除されたユーザーが「Deleted Objects」コンテナに格納されている
※クリックすると拡大画像が見られます
