Active Directory のドメインには、ユーザーやコンピューターなどのオブジェクトを入れる入れ物として、コンテナーと組織単位（OU）があります。見た目はどちらもフォルダーですが、できることが違います。
この記事では、コンテナーと OU の違いを確認したうえで、OU の追加と削除を、Active Directory ユーザーとコンピューター、Active Directory 管理センター、Windows PowerShell の3つの方法で確認します。
- 既定のコンテナーと OU の違い（GPO のリンク、作成・削除）
- OU を3つの方法（ユーザーとコンピューター／管理センター／PowerShell）で追加する
- 削除の保護を外してから、OU を3つの方法で削除する
コンテナとOUの違い
ドメインを作ると、Users や Computers などのコンテナーと、Domain Controllers という OU が自動で作られます。管理者はこれに加えて、組織に合わせて OU を作ります（図1）。
| コンテナー | 組織単位（OU） | |
|---|---|---|
| 作られ方 | ドメインの構築時に既定で作られる | Domain Controllers は既定で作られる。ほかは管理者が作る |
| 作成・削除 | 管理ツールに新しく作るメニューはない。Users・Computers はシステムで保護されていて削除できない | 作成・削除できる（既定で誤削除の保護がかかる） |
| 入れ子 | ― | OU の中に OU を作れる |
| GPO のリンク | できない | できる |
| 制御の委任 | 既定の設定のまま使うのが推奨 | OU ごとに管理を委任できる |
コンテナとは
コンテナーは、ユーザーやコンピューター、グループなどのオブジェクトを入れるフォルダー（入れ物）です。Active Directory を構築すると、既定でいくつかのコンテナーが作られます。コンピューターをドメインに参加させると、既定では Computers コンテナーにコンピューター オブジェクトが作られ、ユーザーを作ると Users コンテナーに入ります。
コンテナーの大きな特徴は、グループ ポリシー（GPO）をリンクできないことです。Users や Computers に入っているユーザーやコンピューターには、ドメインにリンクした GPO しか適用されません。部署ごとに違うポリシーを適用したい場合は、OU を作ってオブジェクトを移動します。
コンテナーは、サーバー マネージャーの ツール ›› Active Directory 管理センター を開き、左ペインでドメイン名を選ぶと確認できます。
この記事の画面は、実際の画面ではなく、検証時の画面から設定する項目（見るポイント）を抜き出して描いたイメージです。バージョンによって、項目の並びや表記は変わります。
| 名前 | 種類 |
|---|---|
| 1Builtin | builtinDomain |
| Infrastructure | infrastructureUpdate |
| 2LostAndFound | lostAndFound |
| NTDS Quotas | msDS-QuotaContainer |
| TPM Devices | msTPM-InformationObjectsContainer |
| Users | コンテナー |
| System | コンテナー |
| Program Data | コンテナー |
| Managed Service Accounts | コンテナー |
| Keys | コンテナー |
| ForeignSecurityPrincipals | コンテナー |
| Computers | コンテナー |
| 3Domain Controllers | 組織単位 |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | Builtin | 組み込みのグループ（Administrators など）が入る入れ物 |
| 2 | LostAndFound 〜 Computers | 既定のコンテナー。Users と Computers が、ユーザーとコンピューターの既定の作成先 |
| 3 | Domain Controllers | 既定で作られる唯一の OU。ドメイン コントローラーのコンピューター オブジェクトが入る |
Active Directory ユーザーとコンピューターでもコンテナーを確認できますが、既定では一部しか表示されません。表示 ›› 拡張機能 を選ぶと、すべてのコンテナーが表示されます。
▾ hirotanoblog.local Builtin builtinDomain Computers コンテナー Domain Controllers 組織単位 (OU) ForeignSecurityPrincipals コンテナー Managed Service Accounts コンテナー Users コンテナー1 Infrastructure infrastructureU… Keys コンテナー LostAndFound lostAndFound NTDS Quotas msDS-QuotaC… Program Data コンテナー System コンテナー TPM Devices msTPM-Inform…
| No. | 表示 | 意味 |
|---|---|---|
| 1 | Infrastructure 〜 TPM Devices | 拡張機能を表示して、はじめて見えるようになったコンテナーなど |
組織単位 (OU)とは
組織単位（OU）も、コンテナーと同じくオブジェクトを入れるフォルダーです。違いは、管理者が作成・削除でき、OU の中に OU を作る（入れ子にする）ことができる点です。
OU の特徴は、グループ ポリシーをリンクできることと、制御を委任できることです。たとえば営業部の OU を作り、営業部のユーザーとコンピューターを移せば、営業部にだけ GPO を適用したり、営業部のユーザー管理を別の担当者に任せたりできます。既定で作られる OU は Domain Controllers だけです。
ここからは、hirotanoblog.local ドメインに Sales という OU を追加し、そのあと削除する手順を確認します。OU の作成・削除は、ドメイン管理者（Domain Admins のメンバー）か、その権限を委任されたユーザーで行います。
OUの追加
ユーザーとコンピューターで追加する
Active Directory ユーザーとコンピューターで hirotanoblog.local を右クリック ›› 新規作成 ›› 組織単位 (OU) を選びます。
| 作成先 | hirotanoblog.local/ |
| 1名前 | Sales |
| 2保護 | ☑ 間違って削除されないようコンテナーを保護する |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | 名前 | Sales と入力して［OK］ |
| 2 | 保護 | 既定でチェックが入っている。このまま作ると、誤って削除できないよう保護された OU になる |
ドメインの直下に、Sales が組織単位 (OU) として追加されます。
管理センターで追加する
Active Directory 管理センターでは、hirotanoblog (ローカル) を右クリック ›› 新規 ›› 組織単位 を選びます。
| 1名前 | Sales |
| 作成先 | DC=hirotanoblog,DC=local |
| 2保護 | ☑ 誤って削除されないように保護する |
| ⋮ （管理者などの項目は省略） | |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | 名前 | Sales と入力して［OK］ |
| 2 | 保護 | こちらも既定でチェックが入っている |
一覧に、種類が「組織単位」の Sales が追加されます。
PowerShellで追加する
Windows PowerShell 用の Active Directory モジュールが入っているドメイン コントローラーなどで、New-ADOrganizationalUnit を実行します。続けて Get-ADOrganizationalUnit で OU 名の一覧を出し、追加されたことを確かめます。
PS C:\Users\（伏せています）> New-ADOrganizationalUnit "Sales" PS C:\Users\（伏せています）> Get-ADOrganizationalUnit -filter * | ft name name ---- Domain Controllers Sales
| コマンド・表示 | 意味 |
|---|---|
| New-ADOrganizationalUnit “Sales” | ドメインの直下に Sales という OU を作る。誤削除の保護は既定で有効になる |
| Get-ADOrganizationalUnit -filter * | すべての OU を取得し、ft name で名前だけを表示する |
| Sales | Domain Controllers に加えて、Sales が作られた |
OUの削除
追加した Sales を削除します。OU は既定で誤って削除されないよう保護されているので、保護を外さずに削除しようとするとエラーになります。
| 1 エラー | Sales を削除するための十分な特権がないか、または間違って削除されたりしないようにこのオブジェクトは保護されています。 |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | エラー（赤の×） | 保護がかかっているため削除できなかった。先に保護を外す |
ユーザーとコンピューターで削除する
保護の設定は、拡張機能を表示しているときだけプロパティに出てきます。表示 ›› 拡張機能 を選んでから、Sales を右クリック ›› プロパティ を開きます。
| オブジェクトの正規名 | hirotanoblog.local/Sales |
| オブジェクト クラス | 組織単位 (OU) |
| 1保護 | ☐ 誤って削除されないようにオブジェクトを保護する |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | 保護 | チェックを外して［OK］ |
続けて Sales を右クリック ›› 削除 を選び、「’Sales’ という名前の 組織単位 (OU) を削除しますか?」に［はい］を押すと、Sales が削除されます。
管理センターで削除する
Active Directory 管理センターでは、Sales を右クリック ›› プロパティ を開き、「誤って削除されないように保護する」のチェックを外して［OK］を押します。
| 名前 | Sales |
| 1保護 | ☐ 誤って削除されないように保護する |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | 保護 | チェックを外して［OK］ |
続けて Sales を右クリック ›› 削除 を選び、「組織単位 Sales を削除しますか?」に［はい］を押します。
PowerShellで削除する
PowerShell で削除する場合も、先に保護を外します。この記事では、STEP 4 または STEP 5 の画面で保護を外してから、Remove-ADObject で削除しました。-Recursive は OU の中のオブジェクトもまとめて削除する指定、-Confirm:$False は確認のメッセージを出さない指定です。
PS C:\Users\（伏せています）> Remove-ADObject -Identity "OU=Sales,DC=hirotanoblog,DC=local" -Recursive -Confirm:$False
PS C:\Users\（伏せています）> Get-ADOrganizationalUnit -filter * | ft name
name
----
Domain Controllers
OU の一覧から Sales がなくなり、Domain Controllers だけになりました。
保護の解除も PowerShell でできます。Set-ADOrganizationalUnit -Identity "OU=Sales,DC=hirotanoblog,DC=local" -ProtectedFromAccidentalDeletion $false で保護を外し、Remove-ADOrganizationalUnit（中にオブジェクトがある場合は -Recursive を付ける）で削除すれば、画面を使わずに作業できます。保護が有効なまま Remove-ADOrganizationalUnit を実行するとエラーになります。
まとめ
コンテナーは既定で作られる入れ物で、GPO をリンクできません。GPO の適用や管理の委任をしたい場合は、OU を作ってオブジェクトを移します。OU は既定で誤削除の保護がかかっているので、削除するときは保護を外してから削除します。
| 操作 | ユーザーとコンピューター | 管理センター | PowerShell |
|---|---|---|---|
| OU の追加 | ドメインを右クリック ›› 新規作成 ›› 組織単位 (OU) | ドメインを右クリック ›› 新規 ›› 組織単位 | New-ADOrganizationalUnit |
| 保護の解除 | 拡張機能を表示 ›› プロパティ ›› オブジェクト | プロパティ | Set-ADOrganizationalUnit -ProtectedFromAccidentalDeletion $false |
| OU の削除 | 右クリック ›› 削除 | 右クリック ›› 削除 | Remove-ADObject／Remove-ADOrganizationalUnit |
コメント