RODC(アールオーディーシー)とは | 意味や読み方など丁寧でわかりやすい用語解説

RODCとは、Active Directory環境において、ディレクトリデータベースの読み取り専用コピーを保持する特殊なドメインコントローラーのことである。RODCは「Read-Only Domain Controller」の略であり、日本語では「読み取り専用ドメインコントローラー」と訳される。主に、物理的なセキュリティが十分に確保できない場所や、IT管理者の常駐が難しい遠隔地、例えば支店や営業所などに配置することで、Active Directoryのセキュリティを強化し、同時に認証サービスの可用性を向上させることを目的としている。通常のドメインコントローラー（書き込み可能なドメインコントローラー、Writable Domain Controller: WDC）がActive Directoryデータベースの完全なコピーを持ち、ユーザーやコンピューターオブジェクトの追加、変更、削除といった操作が可能なのに対し、RODCはデータベースの参照と認証要求への応答のみを行う。これにより、万が一RODCが不正アクセスや物理的な盗難に遭った場合でも、Active Directoryの重要な情報が変更されるリスクや、すべてのユーザーパスワードが漏洩するリスクを大幅に低減できる。

RODCの導入が求められる背景には、分散した組織におけるセキュリティと運用上の課題がある。一般的な組織では、本社に複数のWDCを配置し、そこでActive Directoryのすべての変更を管理する。しかし、支店や営業所のような遠隔地でも、ユーザー認証やリソースアクセスにActive Directoryの機能が必要となる。ここにWDCを設置した場合、もしそのWDCが物理的に盗まれたり、ネットワークを通じて不正にアクセスされたりすると、Active Directoryのデータベース全体が危険に晒され、攻撃者が管理者権限を奪取したり、新たな悪意のあるユーザーを作成したりする可能性が生じる。このようなリスクを回避しつつ、遠隔地のユーザーにもローカルでの迅速な認証サービスを提供するために、RODCが開発された。

RODCは、その名の通りActive Directoryデータベースの読み取り専用レプリカを保持する。つまり、WDCから変更情報を受け取る「一方向レプリケーション」を行うが、RODC自身が変更を加えることはできず、他のドメインコントローラーにレプリケーションすることもない。これにより、RODCが改ざんされたとしても、その変更がフォレスト全体に波及する心配がない。

RODCの重要なセキュリティ機能の一つに「パスワードレプリケーションポリシー（Password Replication Policy: PRP）」がある。通常のWDCはすべてのユーザーのパスワードハッシュをデータベース内に保持するが、RODCは初期状態ではどのユーザーのパスワードもキャッシュしない。遠隔地のユーザーがRODCに対して初めて認証を行う際、RODCはWDCにパスワードハッシュの要求を転送し、認証が成功した場合にのみ、PRPで許可された特定のユーザーアカウントのパスワードハッシュをローカルにキャッシュする。このPRPによって、どのユーザーのパスワードをRODCにキャッシュさせるかを細かく制御できるため、例えば、本社に勤務する上位管理者や機密性の高いアカウントのパスワードはRODCにキャッシュさせないといった設定が可能になる。これにより、RODCが物理的に侵害された場合でも、漏洩するパスワード情報の範囲を限定し、重要なアカウントのセキュリティを保護できる。

また、RODCは通常の管理者権限を持たないユーザーにも、そのサーバー自体の管理を委任できる。例えば、支店の一般社員にRODCサーバーの再起動やハードウェアの管理といったローカルのタスクを任せることはできるが、Active Directoryのデータベースに対する変更権限を与えることはない。この機能により、遠隔地のITスタッフが限られている場合でも、サーバーの基本的な運用を現地で賄うことが可能になる。RODCはDNSサーバーとしても機能できるため、支店内でローカルな名前解決サービスを提供し、WAN回線の負荷を軽減することもできる。

RODCは、セキュリティと可用性のバランスを取るための有効な手段であるが、万能ではない。Active Directoryオブジェクトの追加や変更、パスワードのリセットといった操作は、RODCでは直接行えず、WDCへの接続が必要となる。そのため、RODCを設置する場所は、WDCとのネットワーク接続が確保されていることが前提となる。また、RODCはあくまで「読み取り専用」であるため、攻撃者がRODCを完全に掌握したとしても、その影響を「読み取り」と「キャッシュされたパスワード」の範囲に限定できるという点でセキュリティを向上させるが、完全なセキュリティ侵害のリスクをゼロにするものではない。計画的な導入と適切なPRP設定が、RODCのメリットを最大限に引き出す鍵となる。