activedirectory構築について

質問

会社でサーバー管理をすることになりました。
かなり初心者なので表現がおかしいかもしれませんが、よろしくお願いします。

事業所が2ヶ所あってそれぞれWindows server 2003のマシンが設置されており、ファイルサーバーとして使用しています。便宜上workgroupで運用していましたが、クライアントパソコンも50台ほどになってしまったのでActivedirectoryを構築して管理することになりました。

現在、クライアントはIPアドレスをルータのDHCP機能で振り分けていますが、これからはサーバーのDHCPサーバー機能で管理したほうが良いのではと考えています。その際ルータのDHCP機能を無効にして、サーバーの優先DNSサーバーのアドレスをプロバイダ指定のアドレスに書き換えれば良いのでしょうか？
また、2事業所は離れているため、VPN環境で接続しています。
その場合はドメインを1つでサイトを2つ（事業所別）作成すればよいのでしょうか？

色々と調べてはみたのですが、逆にどんどんわからなくなってしまって質問させていただきました。
よろしくお願いします。

回答No.1

maesen · ベストアンサー

既に日数が経過しているため回答は用をなさないかもしれませんが、回答が一つも付いていないようですので書かせて頂きます。

＞現在、クライアントはIPアドレスをルータのDHCP機能で振り分けていますが、これからはサーバーのDHCPサーバー機能で管理したほうが良いのではと考えています。

この判断は正しいと思います。

＞その際ルータのDHCP機能を無効にして、サーバーの優先DNSサーバーのアドレスをプロバイダ指定のアドレスに書き換えれば良いのでしょうか？

ルータのDHCP機能を無効にするのは正しいですが、DNSの設定は間違いです。

Active Directory（以下、AD）を構築するとAD上の名前解決のためにDNSを使用します。
大抵の場合、ドメインコントローラ（以下、DC）がDNSサーバになりますのでDHCPで配信するDNSサーバのIPアドレスは、DCのIPアドレスのみにする必要があります。

また、DC自身の優先DNSサーバのIPアドレスはDC自身のIPアドレスに設定します。
（近隣にADのDNSがあれば変わりますが、今回の質問者さんの環境はこれでいいと思います）
その上で、DNSサーバにフォワーダという機能がありますのでそこにプロバイダ指定のDNSサーバのIPアドレスを設定するような構成にするのが一般的です。

＞また、2事業所は離れているため、VPN環境で接続しています。
＞その場合はドメインを1つでサイトを2つ（事業所別）作成すればよいのでしょうか？

これはDCの配置に依存します。
DCがどちらかの事業所のみに配置するのであればサイトを分ける必要はありません。
2事業所にそれぞれDCを配置する場合はサイトを2つ構成するのが良いでしょう。

ADクライアントの認証プロセスにて同一のサイトに複数のDCがある場合、デフォルト設定では均等にDCを使用します。
つまり、2事業所にそれぞれDCを配置する場合に1つのサイトではVPN側に余分なトラフィックが発生します。
サイトを別にすればクライアントは所属するサイトのDCを優先的に使用するように動作します。

DCはADの対障害性を考慮すれば複数台のDCで構成するのがいいので、可能ならば事業所それぞれにDCを配置するのが良いでしょう。

なお、ドメインを分ける必要性は今回は無いと思います。
ドメインを分けるのはドメインを分けなければ対応できないようなポリシーの違いがあるような場合です。
私が構築した例では事業所が10以上でユーザーが3万ユーザーという規模でもポリシーは同じであるためシングルドメインとなっています。

お礼

ご回答ありがとうございました。
お礼が遅くなり申し訳ありません。
ご回答いただいた方法で構築していきたいと思います。
初めてのことなので不安だったのですが、
ご回答いただけて助かりました。
ありがとうございます！