このサービスは、単一の Active Directory ドメイン、単一の Active Directory フォレスト内の複数のドメイン、または複数の Active Directory フォレストにわたる複数のドメインを持つ Active Directory 環境と連携できます。

単一の Active Directory ドメイン環境

単一の Active Directory 環境では、単一の Active Directory ドメインからユーザーとグループを同期できます。

この環境で、サービスにディレクトリを追加するときには、[LDAP 経由の Active Directory] オプションを選択します。

詳細については、次を参照してください。

マルチ ドメイン、シングル フォレストの Active Directory 環境

マルチドメイン、シングル フォレストの Active Directory 環境では、シングル フォレスト内の複数の Active Directory ドメインからユーザーとグループを同期できます。

単一の Active Directory、統合 Windows 認証のディレクトリ タイプとして、また、グローバル カタログ オプションで構成された [LDAP 経由の Active Directory] ディレクトリ タイプとして、この Active Directory 環境にサービスを構成できます。

  • 推奨されるオプションは、単一の Active Directory、統合 Windows 認証のディレクトリ タイプです。

    この環境にディレクトリを追加する場合、[Active Directory（統合 Windows 認証）] オプションを選択します。

    詳細については、次を参照してください。

  • 統合 Windows 認証がユーザーの Active Directory 環境で動作しない場合、LDAP 経由の Active Directory を作成して、グローバル カタログ オプションを選択します。

    グローバル カタログ オプションを選択するときには、次のようないくつかの制約があります。

    • グローバル カタログに複製される Active Directory のオブジェクト属性は、Active Directory スキーマで部分的な属性セット (PAS) として識別されます。 これらの属性のみが、サービスによる属性マッピングで利用できます。必要な場合には、スキーマを編集して、グローバル カタログに保存されている属性を追加または削除します。

    • グローバル カタログには、ユニバーサル グループのグループ メンバーシップ（メンバー属性）のみが保存されます。ユニバーサル グループのみがサービスと同期されます。必要な場合、グループの範囲を、ローカル ドメインまたはグローバルからユニバーサルへと変更できます。

    • サービスでディレクトリを構成するときに定義したバインド DN アカウントには、Token-Groups-Global-And-Universal (TGGAU) 属性の読み取り権限が必要です。

    Active Directory は、標準の LDAP クエリにポート 389 と 636 を使用します。 グローバル カタログ クエリには、ポート 3268 および 3269 が使用されます。

    グローバル カタログ環境でディレクトリを追加するときには、構成時に次の項目を指定します。

    • [LDAP 経由の Active Directory] オプションを選択します。

    • このディレクトリは DNS サービス ロケーションをサポートします オプションのチェック ボックスを選択解除します。

    • このディレクトリには、グローバル カタログがあります オプションを選択します。 このオプションを選択すると、サーバのポート番号が 3268 に自動的に変更されます。 また、グローバル カタログ オプションを構成するときにベース DN は不要であるため、[ベース DN] テキスト ボックスは表示されません。

    • Active Directory サーバのホスト名を追加します。

    • Active Directory に SSL 経由でアクセスする必要がある場合、このディレクトリには SSL を使用するすべての接続が必要です オプションを選択して、表示されるテキスト ボックスに証明書をペーストします。このオプションを選択すると、サーバのポート番号が 3269 に自動的に変更されます。

信頼関係があるマルチフォレスト Active Directory 環境

信頼関係があるマルチフォレスト Active Directory 環境では、ドメイン間で双方向に信頼するフォレスト全体で複数の Active Directory ドメインのユーザーとグループを同期できます。

この環境にディレクトリを追加する場合、[Active Directory（統合 Windows 認証）] オプションを選択します。

詳細については、次を参照してください。

信頼関係がないマルチフォレスト Active Directory 環境

信頼関係がないマルチフォレスト Active Directory 環境では、ドメイン間に信頼関係がないフォレスト全体で複数の Active Directory ドメインのユーザーとグループを同期できます。この環境では、各フォレストに対して 1 つディレクトリを作成し、サービス内で複数のディレクトリを作成します。

サービスで作成するディレクトリのタイプは、フォレストによって変わります。複数のドメインがあるフォレストの場合、[Active Directory（統合 Windows 認証）] オプションを選択します。単一ドメインのフォレストでは、[LDAP 経由の Active Directory] オプションを選択します。

詳細については、次を参照してください。