AD環境の内部ドメイン名のつけ方

質問

小企業で拠点が二箇所に分かれていて、本店ではすでにADが構築されており今回はも支店にてドメイン環境を構築したいのですがドメイン名をどうするか迷っています。

公開されているWebサイトは外部のサーバを間借りしていて、そこにメールサーバもあります。

現在存在する内部ドメイン名(仮にDEF.net)は公開されているドメイン名(仮にABC.com)とはまったく異なっています。前任者はほとんど何も考えずに内部ドメイン名を決めて構築したようで、時々内向けDNSが外部のアドレスを拾ってしまい社内LANがうまく動かないことがあります。

で、今回迷っているのは新しいドメイン名を子ドメインとすべきか、それとも別にすべきかです。別にした場合には　GHI.localとトップドメイン名を.localとすべきでしょうか？こちらも悩んでいます。

Macが混在していると.localは問題になりやすいというのも見かけました。
ドメイン間は一方通行の信頼関係をつくるつもりです。

よろしくお願いいたします。

回答No.3

hirasaku

こんにちは。hirasaku です。

う～ん、なんか勘違いされてるようですけど。

逆質問になってしまって申し訳ないのですが、
支店にADを構築する理由ってなんでしょう？

追記：
Macに関してですけど、Bonjourでネットワークにつながなければいいのでは。

回答No.2

hirasaku

こんにちは。hirasaku です。
ちょっと気になってしまったので、まだ締め切られていないのでちょっと。

なんか、ドメインに関して勘違いされているようで・・・
DNSで言っているドメインは住所で、Windowsで言っているドメインは一元管理するための組織単位だと思いますが。

内向きのDNSがいたずらをしてLANがうまく動かないってそれはADではなく単にDNSの設定が変なんじゃないでしょうか？（フォワーダとか設定がわからないんで想像です）
そもそも外向きの名前解決をそのADがやっているのでしょうか？

外向きとWindowsのドメイン名を一緒にする理由はなんでしょう。
FQDNではなくホスト名でアクセスしたいって言ってもインターネットのサーバーにホスト名のみでアクセスするなんてそれほどないのでは。

個人的にPublic側に公開しているドメイン名はPrivateで使わない構成を選びますが。
で、支店側のドメインに関して、その支店は本店とはユーザー管理・リソース管理など別で管理する考えでしょうか？（信頼関係を一方向にするとは言っても）
もし、本店も支店も一元管理したいのであれば既存のドメインのセカンダリADとして構築するのがいいのでは。（セカンダリって概念はADではないですけど）
つまりドメイン名は一緒にしたほうがいいと思います。変えずに。
情報が少ないんであくまで、個人的な意見です。
では。

お礼

コメントありがとうございます。
内向けのDNSは特に設定しておらずフォワーダとしてISPのDNSを指定しているのみです。

外向けのドメイン名とWindowsのドメイン名を一緒にする理由は私にはわかりません。馬鹿にされましたが何故いけないのか説明してもらえませんでした。doradorabuさんも「課題」とおっしゃられましたが私には理由がわかりません。基本的な事すぎて説明するのも馬鹿馬鹿しいのでしょうか。確かに、所有していないドメイン名をなぜWindowsのドメイン名としたのか、前任者は本当に何も考えていなかったのだろうとは思います。ただ、問題が起きやすいWindowsドメイン名の変更を、大きな問題の発生していない環境に実行すべきかどうか悩んでいます。

セカンダリADというのはドメインコントローラを支店側で立てて、本店と同じドメインで運用ということでしょうか？国をまたぐので別管理（別ドメイン）を考えています。

回答No.1

doradorabu

ソリューションなので、どうしたいのか、というところに依ると思います。

本来あるべき姿にしたい、という想いがあるならば、既存ドメインに手を入れる必要があるでしょう。
その上で子ドメインにするか、別のドメインにするか、グローバルドメインに合わせるか、という選択肢になってくると思います。

課題を放置したまま、どうしましょう？と聞かれても、どうしたい？という回答になるのはやむを得ないことだと思います。

お礼

ご回答ありがとうございます。
既存ドメインが課題であり、まずそちらに手を入れる必要があるとのことですが、既存の内部ドメイン名を変更することでしょうか？
新規導入ドメインとは話がずれてしまいますが、外部ドメインと内部ドメインの名前を合わせるか、もしくはまだ取得されていない外部ドメイン名を取得し、そちらに内部ドメイン名を変更することができるとは思います。基本的な疑問で申し訳ありません。

メリットとリスクを考えるとどちらも良策と思えずそのままにしています。