入退社・異動のたびに疲弊しない Active Directory の運用：OU 設計と台帳の分け方

入社・退社・部署異動のたびに、Active Directory（AD）の設定変更と、Excel の台帳の更新が重なって、毎回の作業が重くなっている情シスは多いです。この記事では、AD 側の設計で減らせる手間と、AD では扱わない方がよい情報の切り分けをまとめます。

症状：異動のたびに、設定が人手で変わる

典型的なのは、次のような状態です。

• 部署ごとに OU を切り、GPO と権限を OU に紐づけている。異動のたびに、ユーザーを OU 間で移動している
• OU 移動で、適用される GPO が変わる。移動の直後は、前の部署の設定が残ったり、新しい設定が当たらなかったりする
• 退職者のアカウントを、いつ誰が無効化・削除したかが、人によって違う

対処1：OU は「組織図」ではなく「ポリシーの単位」にする

OU は、GPO の適用範囲と、委任管理の単位で決めます。部署名の変更や統廃合のたびに OU を作り替えると、GPO のリンクも作り直しになります。

• 部署の違いは、OU ではなくセキュリティグループで表す。アクセス権はグループに付ける
• 異動はグループの付け替えで済ませる。OU 移動は、ポリシーそのものが変わるときだけにする

対処2：退職は「無効化 → 専用 OU へ移動 → 一定期間後に削除」の順に決める

退職日に、すぐ削除はしません。メールの転送や、データの引き継ぎが終わるまで、アカウントは残す必要があるためです。

• 退職日に、アカウントを無効化する（グループからも外す）
• 「退職者」専用の OU に移す
• 引き継ぎ期間（たとえば 30〜90 日）が過ぎたら、削除する

期間は、会社の規程で決めます。決めたことを、手順書に1枚で残しておくと、担当が変わっても同じ運用になります。

対処3：端末の特権アカウントは LAPS で自動化する

ローカル管理者のパスワードを、全端末で同じにしていると、1台の漏えいが全台に広がります。Windows LAPS は、端末ごとのローカル管理者パスワードを自動で変更し、AD または Microsoft Entra ID に保存します。

Intune で端末を配る場合は、Autopilot でキッティングを標準化し、LAPS のポリシーを合わせて配るのが手堅い構成です。

それでも残る手間：AD の外にある「台帳」

AD と Intune で、ここまでは締められます。しかし、社員名簿・部署の一覧・入社日・誰が誰の承認者かといった情報は、AD の管理対象ではありません。ここが Excel や紙に散らばっていると、異動のたびに、AD の変更に加えて、台帳の更新が総務や管理部門に回ってきます。

補足：台帳と手続きは、別の道具に切り分ける

KASANERU は、AD や Intune の代わりにはなりません。権限やアカウントは、これまでどおり AD で管理します。

一方で、社内の名簿・部署の情報と、入退社の手続き、承認者の決め方は、KASANERU で一元化できます。

• 社員・部署の情報を、CSV でまとめて取り込める
• 承認者を、名前ではなく「所属長」などの役割で決めるため、異動のたびに承認ルートを作り直さなくてよい
• 入退社の手続きを、チェックリストで進められる

インフラ側を AD で締めたうえで、台帳と手続きを分けると、総務側の更新作業が減ります。詳しくは、総務・人事の手間を減らすをご覧ください。30日間、無料で試せます。