Active Directory パラメータシート（AD DS / Windows Server 2022）

Windows Server パラメータシートとは別に立てています。OSのベースラインとはパラメータの性質が違い（FSMO・機能レベル・サイトとレプリケーション・GPOの適用順）、混ぜると両方が薄くなります。★核は2枚です。（1）サイト・レプリケーション設計 … サブネットをサイトへ登録していないと、クライアントがどのDCで認証するかが決まりません。拠点の端末が本社のDCで認証して遅くなる形で出ますが、動いてはいるので気づけません。（2）GPO設計 … 適用順は ローカル → サイト → ドメイン → OU で、後に適用されたものが勝ちます。さらに同一コンテナ内の複数リンクは「リンクの順序」の番号が小さいものが後に適用されて勝ちます（番号が大きい方ではありません）。★FSMOは5役割それぞれ「停止したときに何が起きるか」を備考に書いてあります。★既定値は版とドメインの作成時期で変わるため、確証のあるものだけを記載し、それ以外は「要確認」と明記しています。

★サブネットは必ずサイトへ登録してください。拠点ごとに nltest /dsgetsite を実行して確認してください。1拠点だけ確認して済ませないでください（登録漏れはその拠点でしか現れません）。★GPOのリンクの順序は、番号が小さいものが後に適用されて勝ちます。Get-GPInheritance で確認してください。★セキュリティフィルタからコンピューターの読み取りを外すとコンピューター構成が適用されません。GPOはコンピューターの資格情報で取得されるため、ユーザーだけに絞る運用は成立しません。★パスワードポリシーはドメイン単位でしか効きません。OUに設定しても適用されません。分けたい場合はきめ細かいパスワードポリシー（PSO）を使ってください。★ADのごみ箱は構築時に有効化してください（有効化そのものは取り消せませんが、あとから有効にしても過去の削除は戻せません）。★DCをスナップショットから戻さないでください。レプリケーションが壊れます。★確認コマンド集の「（必須）」7項目は飛ばさないでください。ADは壊れていても業務が動くため、確認を省くと問題が見えないまま運用に入ります。ドメイン名は保有するドメインのサブドメインにしてください（.local は mDNS 用に予約されています）。管理者パスワード・DSRMのパスワードは書かず「別紙参照」としてください。