この記事では、Microsoft Metadirectory Services ADMA サービス アカウントの "ディレクトリ変更のレプリケート" アクセス許可を付与する方法について説明します。
元の KB 番号: 303972
まとめ
Active Directory 管理エージェント (ADMA) を使用して Active Directory 内のオブジェクトを検出する場合、Active Directory に接続するために指定されるアカウントには、ドメイン管理者アクセス許可、ドメイン管理者グループに属しているか、この管理エージェントがアクセスするフォレストのすべてのドメインに対するディレクトリ変更のレプリケートアクセス許可が明示的に付与されている必要があります。 この記事では、ドメインに対するディレクトリ変更のレプリケートアクセス許可をユーザー アカウントに明示的に付与する方法について説明します。
Note
Windows Server 2003 では、このアクセス許可の名前が "ディレクトリ変更のレプリケート" に変更されました。
詳細
Windows Server 2003 のディレクトリ変更のレプリケートアクセス許可と呼ばれるディレクトリ変更のレプリケートアクセス許可は、各ドメインの名前付けコンテキストのアクセス制御エントリ (ACE) です。 このアクセス許可は、Windows 2000 の ACL エディターまたは Adsiedit サポート ツールを使用して割り当てることができます。
ACL エディターを使用したアクセス許可の設定
- Active Directory ユーザーとコンピューター スナップインを開く
- [ View メニューの [ Advanced Features] をクリックします。
- "
company.com" などのドメイン オブジェクトを右クリックし、 Properties をクリックします。 - [Security] タブで、目的のユーザー アカウントが一覧にない場合は、[追加] をクリックします。目的のユーザー アカウントが一覧表示されている場合は、手順 7 に進みます。
- ユーザー、コンピューター、またはグループの選択] ダイアログ ボックスで目的のユーザー アカウントを選択し、追加] をクリック。
- OK をクリックして、Properties ダイアログ ボックスに戻ります。
- 目的のユーザー アカウントをクリックします。
- クリックして、一覧から ディレクトリの変更の複製 チェック ボックスをオンにします。
- 適用をクリックし、OK をクリックします。
- スナップインを閉じます。
Adsiedit を使用してアクセス許可を設定する
警告
Adsiedit を誤って使用すると、オペレーティング システムを再インストールする必要がある重大な問題が発生する可能性があります。 Microsoft は、Adsiedit の誤った使用に起因する問題を解決できることを保証できません。 Adsiedit は、ご自身の責任で使用してください。
- Windows 2000 サポート ツールがまだインストールされていない場合は、インストールします。
- Adsiedit.msc をドメインの管理者として実行します。 ドメイン名前付けコンテキスト (ドメイン NC) ノードを展開します。 このノードには、"DC=" で始まり、正しいドメイン名を反映するオブジェクトが含まれています。 このオブジェクトを右クリックし、 Properties をクリックします。
- [セキュリティ] タブをクリックします。
- 目的のユーザー アカウントが一覧にない場合は、 [追加] をクリックし、それ以外の場合は手順 8 に進みます。
- ユーザー、コンピューター、またはグループの選択] ダイアログ ボックスで目的のユーザー アカウントを選択し、追加] をクリック。
- OK をクリックして、Properties ダイアログ ボックスに戻ります。
- 適用をクリックし、OK をクリックします。
- 目的のユーザー アカウントを選択する
- [ディレクトリの変更を複製する] チェック ボックスをオンにします。
- 適用をクリックし、OK をクリックします。
- スナップインを閉じます。
Note
どちらの方法でも、フォレスト内の各ドメインに対して [ディレクトリ変更のレプリケート] アクセス許可を設定すると、Active Directory フォレスト内のドメイン内のオブジェクトを検出できます。 ただし、接続されたディレクトリの検出を有効にしても、他の操作を実行できるわけではありません。
非管理アカウントを使用して Active Directory 内でオブジェクトを作成、変更、削除するには、必要に応じてアクセス許可を追加することが必要になる場合があります。 たとえば、Microsoft Metadirectory Services (MMS) で組織単位 (OU) またはコンテナーに新しいユーザー オブジェクトを作成するには、使用されているアカウントに、オブジェクトの作成を許可するのに十分なディレクトリ変更のレプリケートアクセス許可が十分ではないため、使用されているアカウントに [すべての子オブジェクトの作成] アクセス許可を明示的に付与する必要があります。
同様に、オブジェクトを削除するには、すべての子オブジェクトの削除権限が必要です。
対象のオブジェクトに割り当てられている特定のセキュリティ設定や、継承が要因かどうかに応じて、属性フローなどの他の操作に制限がある可能性があります。