Windows Server 2025 / OU・ドメインユーザー・セキュリティグループを作る

ADのOUは管理やポリシーの範囲、グループはリソースへの権限を整理する単位です。ユーザーをOUへ配置したうえでセキュリティグループに所属させ、個人ごとのアクセス権設定を減らします。

実習専用のOUを設計する

既定のUsersやComputersと分けます。組み込み管理者やサービス用ID、Domain Controllers内のDCを不用意に移しません。OUは組織図の複製だけでなく、委任とポリシーを基準にします。深い階層を増やしすぎず、誤削除保護を維持します。

GUIでユーザーとグループを作成する

1. DC1または権限のあるRSAT PCでdsa.mscを開きます。
2. Labと四つの子OUを作ります。
3. LabUsersへlabuser1を作り、固有の初期パスワードと次回変更の条件を設定します。
4. LabGroupsへグローバルのセキュリティグループGG_LabUsersを作ります。
5. labuser1を追加し、グループとユーザー双方で所属を確認します。

リソースの権限には配布グループではなくセキュリティグループを使います。単一ドメインの例ではGlobalから始めます。範囲の条件はNew-ADGroupの説明を確認します。

PowerShellで作成する代替例

GUIで未作成の場合だけ、DC1またはADモジュールがある委任済みPCで実行します。同名がある場合は目的と内容を調べ、上書きしません。

Import-Module ActiveDirectory
$domainPath = 'DC=ad,DC=example,DC=test'
$labPath = 'OU=Lab,' + $domainPath
New-ADOrganizationalUnit -Name 'Lab' -Path $domainPath -ProtectedFromAccidentalDeletion $true
foreach ($ouName in 'LabUsers','LabGroups','Workstations','Servers') {
    New-ADOrganizationalUnit -Name $ouName -Path $labPath -ProtectedFromAccidentalDeletion $true
}
$initialPassword = Read-Host 'Initial password for labuser1' -AsSecureString
New-ADUser -Name 'Lab User One' -SamAccountName 'labuser1' -UserPrincipalName 'labuser1@ad.example.test' -Path ('OU=LabUsers,' + $labPath) -AccountPassword $initialPassword -Enabled $true -ChangePasswordAtLogon $true
New-ADGroup -Name 'GG_LabUsers' -GroupCategory Security -GroupScope Global -Path ('OU=LabGroups,' + $labPath)
Add-ADGroupMember -Identity 'GG_LabUsers' -Members 'labuser1'
Get-ADGroupMember -Identity 'GG_LabUsers'

OU作成とユーザー作成の引数も確認します。パスワードがポリシーに拒否された場合、期待する有効状態にならないことがあるため、エラーとEnabledを確認します。

PCの配置と一般ユーザーの利用を確認する

移動メニューでCLIENT1をWorkstations、FS1をServersへ移します。対象がDCでないことを確認してください。

Get-ADComputer -Identity 'CLIENT1' | Select-Object Name,DistinguishedName
Get-ADComputer -Identity 'FS1' | Select-Object Name,DistinguishedName
Get-ADUser -Identity 'labuser1' -Properties Enabled | Select-Object SamAccountName,Enabled,DistinguishedName

CLIENT1から一度サインアウトし、labuser1@ad.example.testで入り直してwhoamiを確認します。必要なら初期パスワードを変更します。まだ共有権限は付与していないので、共有を使えなくてもグループ作成の失敗とは限りません。

ユーザー設定とコンピューター設定は各オブジェクトの場所に従います。利用者を移してもそのPCが一緒に移るわけではありません。

所属変更と削除の影響を確認する

既存セッションのトークンは古い場合があります。AD上の所属と、再サインイン後のwhoami /groupsを比較します。名称変更や削除の前にはアプリとファイルの権限を確認します。

OUを整理する際は必要なオブジェクト、GPOリンク、委任を確認します。誤削除保護は意図的な機能なので、対象を確認したときだけ解除します。Lab全体を再帰削除して片付けないでください。