Active Directory とは？

会社のネットワークで「誰が・どのパソコンから・どのサービスにアクセスできるか」を一か所でまとめて管理する仕組みだよ。朝にWindowsにログインすると、その1回で社内のファイルサーバーもメールも使えるようになるよね？あれはActive Directoryがあるからなんだ。

それが「シングルサインオン（SSO）」という機能なんだ。Active Directoryの中心にある「ドメインコントローラー」というサーバーが認証を引き受けて、「この人はログイン済みで信用できます」という証明書を発行する。各サービスはその証明書を見て「OK、どうぞ」ってアクセスを許可する仕組みなんだよ。

理論上はそうなんだ。だから普通は冗長化といって、複数台のドメインコントローラーを用意してどれかが壊れても動き続けるようにしているよ。企業のインフラでは最重要サーバーの1つとして扱われているんだ。

ちょっとマニアックな話になるけど、「Kerberos（ケルベロス）」というプロトコルが使われていて、パスワードを直接ネットワークに流さない工夫がされているんだ。ログイン時にドメインコントローラーから「チケット（TGT）」という証明書をもらって、各サービスへのアクセス時はそのチケットで別のチケットを取得してアクセスする、という「チケット交換方式」で動いているんだよ。パスワードが盗聴されにくい優れた仕組みなんだけど、「チケットの有効期限が切れたらどうなるか」「オフライン環境でどう動くか」まで正確に説明できるWindowsエンジニアは意外と少ないくらい、奥が深い話なんだよ。