Active Directory パラメータシート（AD DS / Windows Server 2022）
説明
FSMO・機能レベル・サイトとレプリケーション・GPOの適用順を書く Active Directory（AD DS）のパラメータシートです。★核は2枚です。（1）サイト・レプリケーション設計 … サブネットをサイトへ登録していないと、クライアントがどのDCで認証するかが決まりません。拠点の端末が本社のDCで認証して遅くなる形で出ますが、動いてはいるので気づけません。（2）GPO設計 … 適用順は ローカル → サイト → ドメイン → OU で、後に適用されたものが勝ちます。さらに同一コンテナ内の複数リンクは「リンクの順序」の番号が小さいものが後に適用されて勝ちます（番号が大きい方ではありません）。★FSMOは5役割それぞれ「停止したときに何が起きるか」を備考に書いてあります。★既定値は版とドメインの作成時期で変わるため、確証のあるものだけを記載し、それ以外は「要確認」と明記しています。★Windows Server パラメータシートとは別に立てています。OSのベースラインとはパラメータの性質が違い、混ぜると両方が薄くなるためです。
使い方
★サブネットは必ずサイトへ登録してください。拠点ごとに nltest /dsgetsite を実行して確認してください。1拠点だけ確認して済ませないでください（登録漏れはその拠点でしか現れません）。★GPOのリンクの順序は、番号が小さいものが後に適用されて勝ちます。Get-GPInheritance で確認してください。★セキュリティフィルタからコンピューターの読み取りを外すとコンピューター構成が適用されません。GPOはコンピューターの資格情報で取得されるため、ユーザーだけに絞る運用は成立しません。★パスワードポリシーはドメイン単位でしか効きません。OUに設定しても適用されません。分けたい場合はきめ細かいパスワードポリシー（PSO）を使ってください。★ADのごみ箱は構築時に有効化してください（有効化そのものは取り消せませんが、あとから有効にしても過去の削除は戻せません）。★DCをスナップショットから戻さないでください。レプリケーションが壊れます。★確認コマンド集の「（必須）」7項目は飛ばさないでください。ADは壊れていても業務が動くため、確認を省くと問題が見えないまま運用に入ります。ドメイン名は保有するドメインのサブドメインにしてください（.local は mDNS 用に予約されています）。管理者パスワード・DSRMのパスワードは書かず「別紙参照」としてください。
収録内容
全9シート。各シートに書いてあることは次のとおりです（ファイルの「目次」シートより）。
- 前提共通設計
- フォレスト・ドメイン・命名・FSMO・DNS・時刻・保全・パスワード
設定項目（43件）
フォレストの数・ドメインの数・ドメイン名（DNS）・NetBIOSドメイン名・フォレストの機能レベル・ドメインの機能レベル・ADのごみ箱・サーバー・端末・ユーザー・グループ・OUの分け方・既定のコンテナ・権限の委任・スキーママスター・ドメイン名前付けマスター・PDCエミュレーター・RIDマスター・インフラストラクチャマスター・配置の方針・移動の手順・ゾーンの種類・動的更新・DCのDNS参照先（1つ目）・DCのDNS参照先（2つ目）・メンバーのDNS参照先・フォワーダー・古いレコードの清掃・SRVレコード・外部と同期するDC・外部の同期先・他のDC・メンバー・ずれの許容・バックアップ・使えるバックアップの範囲・DSRMのパスワード・スナップショットの扱い・GPOのバックアップ・変更の記録・パスワードポリシー・個別のポリシー・ロックアウト・監査ポリシー・ログの保持
- 設定値DC別
- DCごとの記入欄。ネットワーク・役割・運用
設定項目（18件）
ホスト名・配置・サイト・物理・仮想・IPアドレス・既定ゲートウェイ・参照先（1つ目）・参照先（2つ目）・グローバルカタログ・FSMO・DNSサーバー・読み取り専用DC・他の役割の同居・時刻の同期元・バックアップ・再起動の順序・レプリケーション・死活・ディスク
- 設計サイト設計
- ★サブネットとサイトの対応。登録漏れは拠点でしか現れない
- 設計GPO設計
- ★適用順とリンクの順序。番号が小さい方が勝つ
- 確認確認コマンド集
- 設定が入っているかの確認方法と期待される結果
- 注意構築時の注意
- ADで実際に起きる失敗と、その回避手順
この型で検査する
記入済みのファイルをアップロードすると、この型の必須項目（パラメータシートの組込みルール）を満たしているか検査します。ファイルは保存されません。
関連するテンプレート
同じフェーズ（設計）や業界でよく使われている型です。
基本設計書（方式と方針の型）
「基本設計＝方式と方針、詳細設計＝具体的な値」の線引きを章構成で体現。設定値はパラメータシートに書き、本書には書かないことで二重管理を防ぎます。
IPアドレス管理表
セグメントの全アドレスを行に展開する台帳。「空き」が行として見えることで、重複払い出しを防ぎます。★セグメントごとの使用率を数式で出します（80%超で橙、90%超で赤）——IPは足りなくなってから増やせず、/24 を /23 へ広げるにはそのセグメントの全機器のアドレスを変えることになるためです。★ホスト名の重複を自動で検出し、使用中なのに用途・ホスト名が空の行、最終更新から1年以上動いていない行も色で出します。.0（ネットワークアドレス）と .255（ブロードキャスト）も「禁止」の行として残し、なぜ払い出せないかが見えるようにしました。★v3 では「実体（実機／仮想IP／機器のIF）」の列を追加しました。VIP・フローティングIP・ゲートウェイのSVIは★機器一覧に出てこないのにアドレスを消費するので、台帳に載せ忘れると後から同じIPを別の機器へ払い出して本番で衝突します。実機なのに機器IDが空の行は赤、仮想IPは薄紫で区別し、セグメント一覧に「うち仮想IP」の件数も出します（記入例はサーバー10台に対して使用中が14個になります）。払い出し記録シートつき。
構成図テンプレート（作図ルール＋部品集）
雛形・記法ルール・アイコン部品集のセット。新設＝赤枠／撤去＝グレーアウトなど更改案件の描き分けを標準化します。Visio不要、PPT標準図形のみ。
通信要件一覧（FWルール表）
ゾーン定義とゾーン間ポリシーを先に決め、個別ルールをその例外として書くFWルール表。送信元・宛先・サービスが any の行と、有効期限が過ぎた行には自動で色が付きます。★ゾーン間ポリシーに「≠（この区間はFWを通らない）」の記号を持たせてあります。VLAN間ルーティングをコアスイッチで行う構成では社内セグメント同士の通信がFWまで上がってこないため、ここを「×」と書くと止まっているつもりで素通りします。効かないルールの例と、棚卸しでヒット0からそれを見つける流れまで記入例に入れてあります。AD認証の内訳やIPsec・vSphereなど、毎回調べ直しているポート番号を約60件収録済み。FW機種を問わず使えます。