既定のコンテナーと OU の管理を委任する

適用対象: Windows Server 2022、Windows Server 2019、Windows Server 2016、Windows Server 2012 R2、Windows Server 2012

すべての Active Directory ドメインには、Active Directory Domain Services (AD DS) のインストール時に作成されるコンテナーと組織単位 (OU) の標準セットが含まれています。 次に例を示します。

• ドメイン コンテナー。階層のルート コンテナーとして機能します

• ビルトイン コンテナー。既定のサービス管理者アカウントを保持します

• ユーザー コンテナー。ドメインで作成された新しいユーザー アカウントとグループの既定の場所です

• コンピューター コンテナー。ドメインで作成された新しいコンピューター アカウントの既定の場所です

• ドメイン コントローラーの OU。ドメイン コントローラーのコンピューター アカウントの既定の場所です

これらの既定のコンテナーと OU はフォレスト所有者が制御します。

ドメイン コンテナー

ドメイン コンテナーは、ドメインの階層のルート コンテナーです。 このコンテナー上のポリシーまたはアクセス制御リスト (ACL) を変更すると、ドメイン全体に影響する可能性があります。 このコンテナーの制御は委任しないでください。これはサービス管理者が制御する必要があります。

ユーザーとコンピューターのコンテナー

Windows Server 2003 から Windows Server 2008 へのドメインのインプレース アップグレードを実行すると、既存のユーザーとコンピューターは自動的にユーザーとコンピューターのコンテナーに入れられます。 新しい Active Directory ドメインを作成すると、ユーザーとコンピューターのコンテナーが、ドメイン内のすべての新しいユーザー アカウントとドメイン コントローラー以外のコンピューター アカウント用の、既定の場所になります。

また、グループ ポリシーの設定を既定のユーザーとコンピューターのコンテナーに適用することもできません。 グループ ポリシーをユーザーとコンピューターに適用するには、新しい OU を作成し、それらの OU にユーザーとコンピューターのオブジェクトを移動します。 グループ ポリシーの設定を新しい OU に適用します。

必要に応じて、既定のコンテナーに置かれているオブジェクトの作成をリダイレクトして、任意のコンテナーに置かれるようにすることができます。

既知のユーザーとグループおよびビルトイン アカウント

既定では、新しいドメインに既知のユーザーとグループおよびビルトイン アカウントがいくつか作成されます。 これらのアカウントの管理は、既定のままサービス管理者が制御することをお勧めします。 これらのアカウントの管理を、サービス管理者以外の個人に委任しないでください。 次の表に、サービス管理者が制御する必要がある既知のユーザーとグループおよびビルトイン アカウントを示します。

ドメイン コントローラーの OU

ドメイン コントローラーをドメインに追加すると、そのコンピューター オブジェクトが自動的にドメイン コントローラーの OU に追加されます。 この OU には、既定のポリシー セットが適用されます。 これらのポリシーがすべてのドメイン コントローラーに均一に適用されるように、ドメイン コントローラーのコンピューター オブジェクトをこの OU から移動しないことをお勧めします。 既定のポリシーが適用されないと、ドメイン コントローラーが正常に機能しない場合があります。

既定では、サービス管理者がこの OU を制御します。 この OU の制御を、サービス管理者以外の個人に委任しないでください。