Active DirectoryのDHCPサーバ機能でのIPアドレス割り当ての制限

Question

Windows Server2019のActive DirectoryのDHCPサーバ機能を利用して、ドメインに参加している

コンピュータだけにIPアドレスを割り当てする方法はありますか。

Answer 1

チャブーンです。

この件ですが、Hebikuzureさんのコメント通り、直接のご要望は満たせない、が答えですね。

Active DirectoryでのDHCP登録が行われる、その意味は、「ドメインに参加しているサーバーマシン(Windows Server)でDHCPが使えないようにする」ということです。ドメインに参加していないサーバーや非WindowsサーバーでDHCPが動作していても、阻止もできませんし、通常にDHCPが配布されてしまいます。逆もまた、同様です。

で、こういう要望があるということは、「ドメインに参加しているコンピュータ間でだけ、Active Directory含む通信ができるようにしたい」ということではないでしょうか？この場合は、「ドメインの分離(Domain Isolation)」という機能で可能だったりします。全ドメインリソース同士でIPsec通信を強制することで、ドメインに参加していない=IPsec通信がブロックされる、こういう挙動です。ただしこの場合、DHCPにつながらないとIPアドレスの割り当て自体がもらえないので、DHCPは無条件に割り当てられ、ネットワークにアクセスした段階でIPsec認証でブロックされる、というかたちに設計する必要がありますね。

サーバーおよびドメインの分離を理解する | Microsoft Learn

Domain Isolation Policy Design | Microsoft Learn

Answer 2

DHCP では（プロトコルのレベルで）DHCP Discover を出している PC がドメインに参加しているかどうかは知りようがないので、単純には「できない」ということになるでしょう。

Answer 3

チャブーン様

ご教授いただき有難うございます。

要望としては”ドメインに参加していないコンピュータをネットワーク（社内も社外も）に入れたくない”でして、

ActiveDirectoryのDHCP機能でシンプルに実現できないかと思いご質問させていただきました。

別の手段での実現を検討してみます。

ありがとうございました。