ドメインコントローラー とは？

Windows Active Directoryを動かす中心サーバ。社員がPCにログインするとき「ID・パスワードが正しいか」を確認するのはドメインコントローラー（DC）。グループポリシーという「このPCはUSBを使えないように」などのルールを全社PCに配布するのも仕事。

社員がログインできなくなる（認証できないため）、グループポリシーが適用されなくなる、などの問題が起きる。だから本番環境では最低2台のDCを置いて冗長化する。2台あれば1台が止まっても別のDCで認証できる。

「ドメイン参加」は会社のPCをActive Directoryの管理下に入れること。参加済みのPCは起動時にDCと通信してポリシーを取得し、社員が会社のアカウントでログインできるようになる。個人のMicrosoftアカウントとは別の概念で、企業ネットワーク専用。

オンプレミスのドメインコントローラーとAzure AD（現Entra ID）を連携させるのが「ハイブリッドAD」。Azure AD Connectというツールでオンプレのユーザー情報をクラウドに同期する。これでMicrosoft 365やSaaSにもシングルサインオンできるようになるんだ。

DCは攻撃者にとって最大の標的だよ。DCの管理者権限を奪われたら全社のアカウントが乗っ取られる。Golden Ticket攻撃という手法では、DCのkrbtgtアカウントのハッシュを盗むだけで任意のユーザーに成りすませてしまう。だからDCは物理的にも論理的にも最重要資産として保護するのが鉄則なんだ。