フォレスト【forest】

フォレストとは？

米マイクロソフト（Microsoft）社のディレクトリサービス「Active Directory」における最上位の管理単位。複数のドメインおよびドメインツリーを包括する論理構造の総体である。

Active Directoryでは、ユーザーアカウントやコンピュータ、グループなどの情報を「ドメイン」（domain）という単位で管理する。関連するドメインを階層構造に連ねた集合体を「ドメインツリー」（domain tree）といい、さらに複数のドメインツリーをまとめた最大の管理範囲がフォレストである。木（tree）が集まって森（forest）を形成することになぞらえた名称である。

フォレストは、独立した新規ドメインを作成した時点で自動的に生成される。ドメイン作成時に既存のツリーへ参加すれば、そのツリーが属するフォレストに加わることになる。後からドメインやツリーを統合してフォレストを構成することはできない。フォレスト内で最初に作成されたドメインは「フォレストルートドメイン」（forest root domain）と呼ばれる。

フォレスト内の全ドメインは共通のスキーマと構成パーティションを共有している。スキーマとはオブジェクトの属性や種別を定義した情報である。これがフォレスト全体で統一されることで、異なるドメイン間でもオブジェクトの扱いに一貫性が保たれる。また、「グローバルカタログ」（GC：Global Catalog）と呼ばれる仕組みにより、フォレスト全体に存在するオブジェクトの検索や参照を効率的に行える。

フォレスト内の全ドメイン間には、既定で双方向かつ推移的な信頼関係が自動的に設定される。これにより、あるドメインで認証された利用者は、権限が与えられた範囲で他のドメインのリソースにもアクセスできる。一方、異なるフォレスト間は標準状態では完全に分離されており、相互連携が必要な場合は「フォレストの信頼関係」（trust relationship）を明示的に構成する必要がある。このように、フォレストはセキュリティ上の境界としても機能する。

複数のフォレストを構築するケースとしては、セキュリティポリシーや管理体制が根本的に異なる組織が同一のActive Directory基盤を利用する場合がある。グループ企業間や合併後の統合時に、各組織のフォレストを維持しながら信頼関係だけを結ぶ構成とする場合もある。