OSを整える
中級Active Directoryを整える。
＝ 会社の名簿と部署ごとの決まり
① 会社にたとえた図を押す
四角を押すと、その部品の役目と、会社でたとえた姿が下に出ます。
名簿を持つサーバー（同じ内容を複数台で）
⇄ は、変更が他の DC へ複製されること。
営業部とは別の決まりを結べる。
② OU の木に GPO を結んで、効く順を見る
場所を選び、OU を足したり、GPO を結んだりしてください。下に、選んだ人とパソコンに「どの GPO がどの順で効くか」が出ます。
場所（押して選ぶ）
上から順に適用されます。ローカルは各パソコンの中の決まりで、変えられません。
選んだ場所:
結んである GPO
同じ場所に複数あるときは、リンクの順番が小さい GPO が優先（最後に適用）されます。
GPO の中身（この図の例）
見る人とパソコン（所属の OU も変えられます）
この図で扱わないもの: 強制（Enforced）、継承のブロック（Block Inheritance）、セキュリティフィルター、WMI フィルター、ループバック処理。公式の資料にあるとおり、強制を付けた GPO は下位の OU に上書きされず、継承のブロックはその OU より上の設定を止めますが、ここでは順番だけに絞っています。
③ ログインの流れを1手ずつ
パスワードを入れてから、ファイルサーバーが開くまで。「次へ」で1手ずつ進めてください。
パソコン
DC（KDC）
ファイルサーバー
要点は、パスワードそのものはネットワークに流れないことです。パソコンは手元でパスワードから暗号の鍵を作り、その鍵で暗号化した認証データを送ります。DC は名簿にあるその人の鍵で開いて、本人かどうかを確かめます。いったん TGT をもらえば、各サーバーを使うたびにパスワードを入れ直す必要はありません。
試験と実務での出方
研修・試験での出方。 「ドメインコントローラーの役目」「OU とグループの違い」「グループポリシーの適用順（ローカル、サイト、ドメイン、OU。親の OU から子の OU へ）」「Kerberos の TGT とサービスチケット」は、IT の基礎や Windows Server の入門でよく問われます。順番は LSDOU と略されます。
実務での意味。 新入社員が入ったら、名簿にユーザーを作って、正しい OU とグループに入れます。すると、画面ロックや USB の扱いといった部署の決まりと、ファイルサーバーの権限が自動で揃います。どの OU に何を結んだかが分かっていれば、「このパソコンだけ設定が違う」ときに、効く順を上から追えます。
OU とグループの使い分け。 OU は「管理とポリシーの区切り」で、1つの OU にしか入れません。グループは「権限をまとめる箱」で、1人が複数のグループに入れます。
用語は2026年11月時点の公式の説明に合わせています。 設定の項目名と値（画面ロック5分など）は、仕組みを見せるために作った例です。実際の GPO の設定名ではありません。ここで見た順番や流れの考え方は、仕組みの説明として読んでください。手順書ではありません。
関連: パスワードの強さは パスワード強度、パスワードを使わない認証は パスキー、OS の違いは OSのサポート期限、仮想マシンの考え方は 仮想化 のページにあります。
出典（2026年11月時点で確認）
- Microsoft Learn「Active Directory Domain Services overview」（ドメイン・DC・複製・グローバルカタログ）
- Microsoft Learn「Group Policy processing for Windows」（適用順・リンクの順番・Enforced・Block Inheritance・適用のタイミング）
- Microsoft Learn「Kerberos authentication overview in Windows Server」「Authentication Service Exchange」「Ticket-Granting Service Exchange」（KDC・TGT・サービスチケット・暗号化の鍵）
- Microsoft Learn「Active Directory Security Groups」（グループで権限をまとめる）
このツールについて
会社の名簿と規則を全員で共有する仕組みを、図を押し、部署の木を組み立て、ログインの流れをたどって覚えます。ブラウザの中で動きをまねるだけで、実物の Windows Server は動かしません。
ドメインが会社全体の名簿、OUが部署のフォルダ、GPOが部署ごとのパソコンの決まりです。決まりは ローカル → サイト → ドメイン → OU（親から子） の順に適用され、後のものが優先されます。
主な機能
- 会社にたとえた図の部品を押して説明を見る
- OU を追加・名前変更・削除して木を組み立てる
- GPO を結び、人とパソコンに効く順と勝つ設定を一覧で確認
- Kerberos のログイン（TGT・サービスチケット）を6手で再生
- 実物を動かさず、入力は外に出ない
よくある質問
Q. ドメインコントローラーとは何ですか。
A. ドメインの名簿（Active Directory）を持ち、ログオンの確認に答えるサーバーです。ふつう複数台あり、どれも同じ内容を持ちます。変更は他の DC にも複製されます。
Q. OU とグループは何が違いますか。
A. OU は管理とグループポリシーを結ぶための区切りで、1つの OU にしか入れません。グループは権限をまとめる入れ物で、1人が複数のグループに入れます。
Q. グループポリシーはどの順で適用されますか。
A. ローカル、サイト、ドメイン、OU の順です。入れ子の OU では、親の OU が先、子の OU が後になり、後から適用されたものが前の設定を上書きします。同じ場所に複数結んだときは、リンクの順番が小さいものが優先されます。
Q. Kerberos ではパスワードがネットワークに流れますか。
A. パソコンは手元でパスワードから鍵を作り、その鍵で暗号化した認証データを DC に送ります。パスワードそのものは送りません。DC は TGT を返し、以後のサーバー利用ではそれを見せて、サービスチケットを受け取ります。
Q. このページは実際の Windows Server の設定手順ですか。
A. いいえ。仕組みのイメージをつかむためのページで、手順書ではありません。設定の項目名と値は説明用の例です。動きはブラウザの中でまねるだけで、入力は外に出ません。
入力値はURLの「#」以降に入るためサーバーには送信されません。リンクを開くと同じ状態を復元します。
