マネージド Microsoft AD のデフォルトの Active Directory オブジェクト

Microsoft Active Directory 用のマネージドサービスを使用して新しいドメインを作成すると、一部の Active Directory オブジェクトが自動的に作成されます。これらは、AD ドメインの管理に役立ち、通常は他のユーザーまたはグループに委任された AD タスクの管理をより簡単にします。

次の図に概要を示します。各オブジェクトの詳細なリストと説明については、次の表をご覧ください。

AD グループ

組織部門

表 1 は、作成された組織部門（OU）を示しています。

**表 1**.組織部門
名前	説明
`Cloud`	すべての AD オブジェクトをホストします。この OU 内での完全なアクセス権があります。
`Cloud Service Objects`	Managed Microsoft AD によって作成および管理される AD オブジェクトをホストします。この組織部門でオブジェクトを作成できるのは Google Cloud だけですが、作成済みオブジェクトの一部の属性は更新できます。

グループ

次のグループは、Cloud Service Objects OU の下に作成されます。

**表 2**.`Cloud Service Objects` OU のグループ
名前	型	説明
`Cloud Service Administrators`	グローバル	メンバーは、マネージド Microsoft AD クラウドサービスの管理者です。
`Cloud Service All Administrators`	ドメインローカル	メンバーは、マネージド Microsoft AD クラウドサービスの管理者です。これには、信頼できるドメインのメンバーが含まれる場合があります。
`Cloud Service Computer Administrators`	ドメインローカル	メンバーは、ドメインに参加しているマシンの管理者です。
`Cloud Service DNS Administrators`	ドメインローカル	メンバーは、Active Directory が統合されている DNS ゾーン内の DNS エントリを追加、削除、および変更できます。
`Cloud Service Managed Service Account Administrators`	ドメインローカル	メンバーは管理サービスアカウントを管理できます。
`Cloud Service Computer Remote Desktop Users`	ドメインローカル	メンバーは、ドメインに参加しているマシンのリモートデスクトップ権限を持っています。
`Cloud Service Site Administrators`	ドメインローカル	メンバーは Active Directory サイトの名前を変更できます。
`Cloud Service Protected Users`	グローバル	保護されたユーザーのグループからの保護は、メンバーに適用されます。
`Cloud Service Group Policy Creator Owners`	ドメインローカル	メンバーはグループポリシーオブジェクト（GPO）を作成できます。GPO は `Cloud` の OU とその中のオブジェクトとのみリンクできます。
`Cloud Service Domain Join Accounts`	ドメインローカル	メンバーはコンピュータをドメインに参加させることができます。
`Cloud Service Fine Grained Password Policy Administrators`	ドメインローカル	メンバーは、ユーザーとグループに対してパスワードポリシーを変更して割り当てることができます。

Managed Microsoft AD は、Active Directory ドメインサービス用の特権アクセス管理を使用して、ユーザーに期間限定のグループメンバーシップを提供することはサポートしていません。

グループポリシーオブジェクト

マネージド Microsoft AD は、いくつかのグループポリシーオブジェクト（GPO）を自動的に作成して、特定のグループポリシー機能をサポートします。

**表 3**.グループポリシーオブジェクト
名前	説明
`Cloud Service Default Computer Policy`	`Cloud` OU にリンクされています。`Cloud` OUに対する `Cloud Service Computer Administrators` ローカル管理者権限と `Cloud Service Computer Remote Desktop Users` リモートデスクトップ（RDP）権限を付与します。

カスタム GPO を作成して、Cloud OU または Cloud OU 内の任意の子 OU にリンクできます。GPO を OU にリンクする方法については、GPO をドメインにリンクするをご覧ください。

パスワード設定オブジェクト

マネージド Microsoft AD が 10 個のパスワード設定オブジェクト（PSO）を自動的に作成します。これらの PSO の名前または優先順位は変更できません。表 4 は、これらの PSO の名前と優先順位を示しています。

**表 4**.ポリシー設定オブジェクト
名前	優先順位
PSO-10	10
PSO-20	20
PSO-30	30
PSO-40	40
PSO-50	50
PSO-60	60
PSO-70	70
PSO-80	80
PSO-90	90
PSO-100	100

デフォルト値は、各 PSO のパスワードポリシー設定に割り当てられます。これらの値は変更できます。表 5 は、これらのデフォルト設定を示しています。

**表 5**.デフォルトの PSO 設定
ポリシー	設定
複雑さの有効化	True
ロックアウト期間	30分
ロックアウトの観察期間	30分
ロックアウトのしきい値	0
パスワードの最長期間	42 日
パスワードの最短期間	1 日
最小パスワード長	7
パスワード履歴の数	24
復元可能な暗号化が有効	偽

ユーザー

マネージド Microsoft AD は、表 6 に示すユーザーを自動的に作成します。

**表 6.**ユーザー
名前	説明
`setupadmin`（デフォルト）	ドメインを管理するために委任された管理者アカウント。名前のデフォルトは `setupadmin` です。ドメインの作成時に別の名前を指定できます。ドメインのパスワードをリセットすると、このアカウントのパスワードが設定されます。
`cloudsvcadmin`	マネージド Microsoft AD がドメインを管理するために使用するサービスアカウント。このアカウントはシステムでの使用を目的としているため、直接使用、変更、または削除しないでください。

代理管理者

表 7 は、ドメインのプロビジョニング時に委任された管理者アカウントに自動的に付与される Active Directory 権限を示しています。こうした権限は、アカウントのグループメンバーシップによって付与されます。グループのいずれかからアカウントを削除すると、権限および利用可能なアクションが影響されることがあります。このアカウントのデフォルト名は setupadmin です。アカウント名を変更したが値を覚えていない場合には、値を取得できます。詳細は、委任された管理者アカウントを使用するをご覧ください。

委任された管理者アカウントには、Domain Admins、Enterprise Admins、BUILTIN\Administrators の権限がありません。これは、Managed Microsoft AD がマネージドサービスであり、Google がこれらの権限を使用する権限を有しているためです。したがって、ドメインレベルで GPO を構成し、ディレクトリ変更を複製し、フォレストの機能レベルを上げて、フォレスト全体の他の変更を行って、分散ファイルシステム（DFS）、DHCP など、マネージド Microsoft AD でこれらの権限を必要とする Active Directory 機能を使用できません。

**表 7.** 委任された管理者アカウントの権限
Active Directory オブジェクト	識別名	オブジェクトで許可された委任管理者アカウントアクション
クラウド	`OU=Cloud,DC=<domain-name>`	`Cloud` OU の下の任意のオブジェクトタイプに対して CRUD 操作を実行できます。 GPO をこの OU とそのサブ OU にリンクできます。 OU を削除または名前変更することはできません。
マネージドサービスアカウントコンテナ	`CN=Managed Service Accounts, DC=<domain-name>`	グループのマネージドサービスアカウントと関連するすべての管理を作成、更新、削除できます。
MicrosoftDNS コンテナ	`CN=MicrosoftDNS,CN=System, DC=<domain-name>`	DNS マネージャーを使用して、AD 統合された DNS サーバーに接続できます。
DomainDNSZones フォルダ	`CN=MicrosoftDNS, DC=DomainDNSZones,DC=<domain-name>`	条件付きフォワーダー、A レコード、CNAME レコード、DNS 委任、前方参照ゾーン、および逆引き参照ゾーンを作成できます。
ForestDNSZones フォルダ	`CN=MicrosoftDNS, DC=ForestDNSZones,DC=<domain-name>`	条件付きフォワーダー、A レコード、CNAME レコード、DNS 委任、前方参照ゾーン、および逆引き参照ゾーンを作成できます。
委任された管理者アカウント（デフォルトの名前: `setupadmin`）	`CN=<delegated-admin-name>, OU=Cloud Service Objects,DC=<domain-name>`	ドメインのプロビジョニング中に自動的に作成された委任された管理者アカウントのパスワードを変更できます。詳しくは、このアカウント名を取得とパスワードをリセットをご覧ください。
クラウドサービス管理者	`CN=Cloud Service Administrators, OU=Cloud Service Objects, DC=<domain-name>`	AD オブジェクトを `Cloud Service Administrators` マネージド.グループに追加または削除できますこのグループに追加されたアカウントには、委任された管理者アカウントに付与されているものと同じ権限セットが付与されます。
すべてのサイト	すべてのサイト: `CN=Sites,CN=Configuration, DC=<domain-name>`	Active Directory サイト名を変更できます。
すべての管理対象グループ	クラウドが管理するすべてのグループ: `OU=Cloud Service Objects, DC=<domain-name>`	事前に作成されたクラウド管理グループから AD オブジェクトを追加および削除できます。 AD のインストール中に作成された組み込みの Active Directory グループには適用されません。
ポリシーコンテナ	`CN=Policies, CN=System,DC=<domain-name>`	グループポリシーオブジェクトを作成、更新、削除できます。デフォルトのドメインコントローラーまたはデフォルトのドメインポリシー GPO を編集または削除することはできません。
パーティションコンテナ（UPN サフィックス）	`CN=Partitions,CN=Configuration, DC=<domain-name>`	UPN サフィックスを変更できます。
ターミナルサービスライセンスサーバー	`CN=Terminal Server License Servers,CN=Builtin, DC=<domain-name>`	ターミナルライセンスサーバーの役割を持つ Windows サーバーを、ターミナルサービスライセンスサーバーの組み込みグループに追加できます。

次のステップ

Active Directory オブジェクトを管理する