「秘伝のタレ」を、地図にする。
Active Directory 健全性診断
20年つぎ足してきたAD。退職者のアカウント、いつ消えたか分からないドメインコントローラーの残骸、誰も触れないサイト構成——まず、全体像を出しましょう。手を入れるかどうかは、それを見てから決めればいい。
何を見るのか
専用の検査スクリプトで、次の観点を洗い出します。それぞれに重要度（High／Medium／Low）と、利用者への影響、推奨アクションを付けて一覧化します。
特権と認証
- krbtgt のパスワード経過日数 — Golden Ticket 攻撃の成立余地
- ビルトイン Administrator のパスワード経過日数
- 特権グループのメンバー数 — Domain / Enterprise / Schema Admins
- 制約なし委任 — 侵害時に他人のチケットを奪われる設定
- SPN 付きユーザー（Kerberoasting の標的）
- Kerberos 事前認証が無効なアカウント（AS-REP Roasting）
アカウントの衛生状態
- パスワード不要の設定になっているアカウント
- 可逆暗号化でパスワードが保存されているアカウント
- パスワード無期限のアカウント（特権かどうかも判定）
- 長期間使われていないユーザー・コンピューター
基盤の設定
- サポート終了 OS の残存
- AD ごみ箱の有効化状況
- パスワードポリシー（長さ・ロックアウト・複雑さ）
- Windows LAPS の導入状況
- ドメイン／フォレストの機能レベル
復元できるか・守れているか
- バックアップの鮮度 — ジョブの成否ではなく、AD 自身が持つ最終取得日時を見ます。古いと復元できません
- LDAP 署名・チャネルバインディング — 認証情報を中継される攻撃への耐性。OSが新しくても設定は引き継がれます
- SYSVOL / NETLOGON 共有と複製状態 — 壊れるとポリシーだけ当たらない、気づきにくい障害になります
- DCSync 相当の権限 — 管理者グループに入っていなくても全員のパスワードを引き出せる権限の保持者
イベントログ
- 複製が止まっている兆候 — トゥームストーン超過、lingering object、KCC の構成エラー
- 時刻同期の失敗 — 放置すると Kerberos 認証が突然通らなくなります
- グループポリシー・セキュアチャネルの失敗
- そのほか記録されているエラーの集計
※ 既知のイベントには「なぜ問題なのか」と「どう対処するか」を添えます。ID の羅列では判断できないためです。
複製と、純正ツールによる診断
- DC 間の複製 — 失敗の有無と、最後に成功してからの経過時間
- dcdiag の失敗テスト（Microsoft 純正の DC 診断）
- repadmin /replsummary のエラー
- SPN の重複 — Kerberos 認証が特定のサービスだけ失敗する原因
※ netdiag は Windows Vista / Server 2008 で削除されており、後継はありません。同等の確認は dcdiag と repadmin で行います。
※ すべてのドメインコントローラーを対象にします（1台だけ見て全体を語らないため）。
Microsoft の評価基準に合わせています
Microsoft が Defender for Identity で定義している 「セキュリティ体制評価」と同じ観点を検査します。アカウント・ID インフラ・ハイブリッド・グループポリシー・証明書の各領域です。
- AdminSDHolder の書き換え権限 — ここを握られると全特権アカウントが取られます
- Operator 系グループ・DnsAdmins — Domain Admins ほど見られないのに、実質 DC を掌握できます
- SID History・プライマリグループ — メンバー一覧に出ない形で特権を持ち続ける経路
- 属性に書かれたパスワード — 説明欄は認証済みなら誰でも読めます
- GPO を書き換えられる非特権アカウント／SYSVOL の cpassword（復号鍵は公開されています）
- Entra Connect 関連アカウント — オンプレとクラウドをまたぐ最短経路
- 証明書テンプレート（ESC1〜ESC4）／DC の Print Spooler／一般ユーザーのドメイン参加可否
※ Defender for Identity の体制評価を使うには 対象ライセンス（EMS E5／Microsoft 365 E5／同 E5 セキュリティ／F5 セキュリティ+コンプライアンス／スタンドアロンのいずれか）と、すべての DC へのセンサー導入が必要です。本診断はどちらも必要としません。すでにお使いの場合も、センサーが入っていない DC を含めて確認できます（→ 純正機能の導入・運用）。
検出のあとが、本題です
サイト・サブネットの矛盾など、環境の「残骸」も併せて洗い出します。ただし、これらは「消していいもの」と「消すと壊れるもの」の判別が難しい領域です。検出はツールでできても、判断には経験が要ります。他社の無償ツール（PingCastle 等）の出力をお持ち込みいただき、その読み解きだけをご依頼いただくこともできます。
実際の成果物を、先にご覧ください。
口頭で説明するより、出てくるものを見ていただくのが早いと思います。架空の組織のデータで生成したものを、加工せずそのまま公開しています（実在の環境の診断結果ではありません）。検査スクリプト自体は、Windows Server 2025 / Windows PowerShell 5.1 の実 Active Directory 環境で完走し、障害の検出と復旧後の指摘消失まで確認済みです。
📄 サンプルレポート（HTML）
検出結果をフェーズ1〜3に振り分け、それぞれに「利用者への影響」「推奨する対処」「参考情報」を添えた形式です。該当オブジェクトの一覧も折りたたみで確認できます。
- ブラウザで開くだけ（外部の読み込みなし・そのまま社内共有できます）
- 印刷・PDF 化してそのまま報告資料にできます
- 明細は CSV でもお渡しするので、作業リストとして使えます
- 掲載しているのは架空データによる出力例です（実在環境の結果ではありません）
レポートに載るもの
- 健全性スコア（改善前後の比較に使う目安。環境間の優劣を示すものではありません）
- 重要度別の件数（High / Medium / Low）
- フェーズ別の対処一覧 — 着手しやすい順に並びます
- 検出ごとの利用者への影響と推奨アクション
- Microsoft 公式ドキュメントへの参考リンク
- カテゴリ別の内訳と、読み方の注意
終わったとき、
こうなっています。
納品物はレポートとCSVですが、買っていただくのはレポートではありません。診断が終わった時点で、次の状態になっていることをお約束します。ならなかった場合は、そう正直にお伝えします。
- 「うちのADは大丈夫か」に、根拠を持って答えられる — 経営や監査から聞かれたときに、件数と重要度で示せます
- 手を付ける順番が決まっている — 何から直すかで社内が止まらなくなります（フェーズ1〜3に振り分け済み）
- 「復元できない状態」かどうかが分かっている — バックアップのジョブ成否ではなく、AD自身が持つ最終取得日時で確認します
- 担当が代わっても引き継げる形になっている — 属人的な「秘伝のタレ」が、文書と一覧に変わります
何もしなかった場合に起きること
ADは壊れるまで静かです。止まるのは、krbtgt が攻撃に使われたとき、複製が止まったまま時刻がずれたとき、そして復元が必要になったとき——どれも「気づいたときには全員がログインできない」形で来ます。 そのときに掛かる時間と説明の重さを、いま知っておく費用と比べてご判断ください。見た結果「特に急ぐ必要はありません」であれば、そう申し上げます。
御社の環境に、私が入る必要はありません。
アセスメントで最も時間を食うのは、技術ではなく手続きです。そこを飛ばせる形にしています。
🔒 安全に進めるための約束
- 読み取り専用です。使うのは情報を取得するコマンドのみ。設定を変更する処理は一切含みません
- スクリプトをお渡しし、御社の管理者が実行して、出てきたレポートをお預かりする形で診断できます
- そのため、当社向けのアカウント発行を省けます。スクリプト実行と診断データの提供について、御社内で必要な承認を得てから着手します
- スクリプトの中身は、実行前にすべてご確認いただけます
- ご希望に応じて、ユーザー名を伏せた形でのご提出にも対応します（対応表は御社の手元だけに出力され、送付は不要です）
- 「検査できなかった項目」を「問題なし」とは書きません。DCごとに何を見て何を見られなかったかを表で明示します
- Windows 標準の Windows PowerShell 5.1 で動作します（追加インストールは不要）
進め方
料金（仮）
- 検査スクリプトの提供と実行支援
- 検出結果の整理（重要度・推奨アクション付き）
- 所見レポート（社内共有できる形式）
- オンライン報告会 60分
- 目安期間: 2〜3週間
- クイック診断の内容すべて
- 管理者へのヒアリングと、設計意図の掘り起こし
- セキュリティ観点の評価（権限・認証・攻撃経路）
- 改善ロードマップ（何を・どの順で・どのリスクで）
- 経営層向けの説明資料
- 目安期間: 1〜2か月
💡 診断のあとは、お好きにどうぞ。自社で直すなら、その計画までお渡しして終わりで構いません。一緒に直したいなら改善案件として、継続的に見てほしいなら顧問契約として——診断結果を持ったまま、次を選べます。診断を受けたからといって、その先を発注する義務はありません。
先に申し上げておきます。この診断より良いものがあります。
継続的に監視したい、攻撃の検知まで必要、監査に対して「製品で担保している」と言いたい——そういう場合は、Microsoft純正の機能（Defender for Identity や、Unified Support に含まれる Active Directory アセスメント）のほうが上です。作っているのがMicrosoft自身なので当然です。
ただし上位ライセンスや Unified Support 契約が前提になります。この診断は、それを持っていない組織でも「今どうなっているか」を1回で知るためのものです。ライセンス投資に見合う環境かどうかを判断する材料としても使えます。
そして——すでに上位ライセンスを買っているのに、その機能を使っていないケースが、実はいちばん多い。その場合は新しく買うものは何もありません。→ Microsoft純正の検査・監視を、入れて・回す