ドメインコントローラー

Active Directoryのディレクトリサービスを提供し、KDCの機能やNTLMのパススルー認証の相手を担うサーバー。

概念URI: https://comcomponent.com/knowledge/domain-controller/
別名・表記: DC
最終確認日: 2026-08-01
機械可読データ: JSON-LD

この概念が関わる関係

オンプレミスリソースへのSSOはドメインコントローラーを前提とします。Entra join機からオンプレミスのファイルサーバー等へSSOするには、デバイスからドメインコントローラーへの見通しが前提になる。Entra join自体はDCなしで完結し、オンプレ資産へのアクセスにだけこの条件が付く。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典出典
ドメインGPOはドメインコントローラーを前提とします。GPOはドメインコントローラーからポリシーを取得するため、そこに届かない社外PCには実質VPN頼みになる。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典
ドメインコントローラーはバックグラウンド更新を利用します。ドメインコントローラーの既定の更新間隔は5分で、一般の端末の90分+0〜30分より短い。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
ADMXのセントラルストアはドメインコントローラーに保存されます。セントラルストアはドメインコントローラーのSYSVOL配下のPolicyDefinitionsフォルダーとして作成し、内容はドメイン内の全ドメインコントローラーに複製される。更新は現行フォルダーをリネームして退避し、新しいフォルダーをPolicyDefinitionsへリネームして本番化する手順が案内されている。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
gMSA(group Managed Service Account)はドメインコントローラーを前提とします。gMSAのパスワード生成には、ドメインコントローラー側のKDS(Key Distribution Service)ルートキーが必要 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
Kerberosはドメインコントローラーを前提とします。Active Directory環境のKerberos認証は、ドメインコントローラー上で動くKDCがチケットを発行することを前提とする。MITやHeimdalのようなAD以外のレルムでは、ドメインコントローラーを介さずKDCがチケットを発行する / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
ドメインアカウントはドメインコントローラーを前提とします。ドメインアカウントでのNTLM認証はドメインコントローラーへの問い合わせを伴い、その痕跡がイベント8004として記録される / 確度: 確立した関係 / 確認日: 2026-08-01 出典
NTLMはドメインコントローラーを前提とします。ドメインアカウントでのNTLM認証では、リソースサーバーは新しいアクセストークンが必要になるたびにドメインコントローラーへ問い合わせる / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
NTLMはドメインコントローラーを前提とします。ドメインアカウントでの認証では、リソースサーバーは自分でハッシュを持たないため、認証のたびにドメインコントローラーへ問い合わせる(パススルー認証)が必要になる。ローカルアカウントならこの依存はない / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
ドメインコントローラーはSMB署名を前提とします。SYSVOL・NETLOGON共有へ接続してくる相手に対しては、ドメインコントローラーは既定でSMB署名を要求する。DCが提供する他のプロトコル・共有すべてに当てはまるわけではない / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
ドメインコントローラーはSMB署名を前提とします。ドメインコントローラーは以前からSYSVOL・NETLOGONへ接続する相手にSMB署名を要求している(この既定はSYSVOL・NETLOGON共有への接続に限られ、ドメインコントローラーの通信全般に及ぶものではない) / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
Kerberosの委任はドメインコントローラーで構成できます。制約付き委任やリソースベースの制約付き委任の設定はアプリケーション側ではなくドメイン側で行うため、ドメインコントローラーが提供するAD DS上のアカウント属性で構成する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
イベント4776(資格情報の検証)はドメインコントローラーに保存されます。4776が記録されるのは資格情報に対して権威を持つコンピューターだけで、ドメインアカウントならドメインコントローラーに残る。 / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
イベント4771(Kerberos事前認証失敗)はドメインコントローラーに保存されます。4771はドメインコントローラーでのみ生成されるため、端末やメンバーサーバーのログをいくら探しても見つからない。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
KDSルートキーはドメインコントローラーに保存されます。ルートキーはドメインコントローラーが保持し、そこからgMSAのパスワードを計算する。 / 確度: 確立した関係 / 確認日: 2026-08-20 出典
gMSA(group Managed Service Account)はドメインコントローラーを前提とします。gMSAのパスワードはドメインコントローラーが自動管理し、許可されたホストがそれを取得する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
ドメインコントローラーはPDCエミュレーターを前提とします。ドメインコントローラーの時刻同期の場合、自ドメインのDC、親ドメインのDCとたどり、最終的にフォレストルートドメインのPDCエミュレーターに行き着く時刻階層に従う。ディレクトリサービスや認証などPDCエミュレーターに関係しないDCの機能は、この到達を前提としない。 / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
Windows Timeサービス(w32time)はドメインコントローラーを前提とします。ドメイン環境(Type=NT5DS)のw32timeは、自ドメインのドメインコントローラーとの同期を前提とする / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
/manualpeerlistによる同期先の手動指定をドメインコントローラーに用いることは推奨されません。ドメイン階層から時刻を受け取る通常のドメインコントローラーやドメインメンバーの場合、/manualpeerlistでの外部NTP指定は認証されない時刻源になるため使わない。フォレストルートのPDCエミュレーターは例外で、そこに外部の権威ある時刻源を指定するのが通常の構成である。 / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典

この概念を扱う記事

一次資料

https://learn.microsoft.com/windows-server/security/kerberos/ntlm-overview

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。