ドメインコントローラ【domain controller】ドメコン / AD DC

概要

ドメインコントローラ（domain controller）とは、Windows ネットワークにおいて、あるネットワーク上の範囲(ドメイン)における利用者アカウントやコンピュータなどへのアクセス権限などを一元的に管理し、利用者の認証を行うサーバコンピュータのこと。

企業などで同じネットワーク上に多くのWindows コンピュータや周辺機器、共有フォルダなどがある場合、個々の資源ごとに各利用者のアカウントを作ったり権限設定などを行うのは煩雑なため、Windows Serverが導入されたサーバをドメインコントローラとしてアカウントや権限の情報を集約し、各資源に一括して適用する仕組みが提供されている。

ドメインコントローラは自らの属するネットワーク上の範囲（ドメイン）について、ユーザーアカウントやユーザーグループを作成し、それぞれの業務上の役割や権限に応じてネットワーク上の資源（コンピュータや共有フォルダ、プリンタなど）へのアクセス権を付与する。

ネットワーク内のWindows パソコンはドメインに参加することでドメインコントローラの管理を受けることができ、ログイン時に利用者の資格情報をドメインコントローラに問い合わせ、通知された権限に基づいて資源の利用を許可する。

現在のWindows ネットワークで一般的な「Active Directory」（アクティブディレクトリ）で管理されているドメインを「AD ドメイン」（Active Directory domain）と呼び、各ドメインに一台以上のドメインコントローラを置くことができる。

複数設置した場合は互いに管理情報を共有・交換する対等な関係となり、一台が故障などで停止しても残りドメインコントローラが機能を提供し続けることができる（マルチマスター構成）。FSMO（Flexible Single Master Operation）機能を用いて特定の役割を一台に集中することもできる。

また、複数ドメインのドメインコントローラ間で上下関係を設けて頂点のドメインから階層的に枝分かれする木構造で管理情報を共有・適用することもでき、これを「ドメインツリー」（domain tree）という。複数のツリー間で信頼関係を結んで互いの設定情報を利用できるようにしたグループを「フォレスト」（forest）という。

NTドメインのPDCとBDC

Windows NT 4.0 Serverまで一般的だった「NTドメイン」でも、ドメインコントローラがユーザーアカウントなどの一元管理を行うのは同じだが、管理できる資源の種類は限られ、ドメイン間の階層的な連結などにも対応していない。

NTドメインを管理する大本のサーバを「プライマリドメインコントローラ」（PDC：Primary Domain Controller）と呼び、PDCの働きを支えるサーバを「バックアップドメインコントローラ」（BDC：Backup Domain Controller）という。

両者には上下関係があり、BDCはPDCの持つ情報を複製して保存しておき、PDCの停止時には一時的に処理の肩代わりをしたり、BDCのバックアップデータからPDCの情報を復元することができる。PDCはドメインに一台だがBDCは複数台を置くことができ、いずれかのBDCを昇格して新しいPDCとすることもできる。

(2021.4.17更新)