ドメイン参加前にパブリック DNS ではなく Active Directory の DNS を設定する理由

Active Directory は社内 DNS と SRV レコードでサービスを検出します。クライアント DNS、フォワーダー、セカンダリ DNS、外部名前解決の安全な設計を解説します。

最初に切り分ける範囲

このディレクトリ／認証の事象では、まず「DNS DNS」と「ldap/ kerberos SRV」で障害境界を決め、その後「DNS FQDN」へ進みます。本番設定を変更する前に、現状、発生時刻、正常な比較対象を記録します。

依存関係に沿った確認順序

ipconfig /all
nslookup -type=SRV _kerberos._tcp.corp.example

根拠を確認してから変更する

1. まず読み取り中心で証跡を取得し、設定変更前に「クライアント優先 DNS の内部 DNS 指定」と「ldap/ kerberos SRV」を確認します。
2. 最初の確認が正常なら「DNS サフィックスと FQDN」と「内部 DNS が使用する外部フォワーダー」へ進み、障害時刻と結び付く証跡を残します。
3. 証跡が症状を説明できる場合に限って設定を変更します。「セカンダリ DNS の整合性」を変更する前に元の値と切り戻し条件を定義します。
4. 「複数 NIC／VPN の DNS 優先順位」は限定範囲で検証してから、本番ユーザーまたは本番トラフィックへ展開します。

復旧確認と切り戻し

• ユーザーまたはアプリケーションの一連の業務動作を確認し、「クライアント優先 DNS の内部 DNS 指定」単独の状態だけで完了としません。
• 変更後に「セカンダリ DNS の整合性」と「複数 NIC／VPN の DNS 優先順位」を再確認し、新たな迂回、権限拡大、二次障害がないことを確認します。
• 「クライアント優先 DNS の内部 DNS 指定」から「複数 NIC／VPN の DNS 優先順位」までの証跡、変更前後の設定、業務確認結果、切り戻し点を保存します。

よくある誤判断

• 「DNS DNS」と「ldap/ kerberos SRV」を同時に変更し、どちらが原因だったか追跡できなくすること。
• 「DNS FQDN」が正常というだけで、「DNS」を含む業務経路全体も正常と判断すること。
• 「DNS」または「複数 NIC／VPN の DNS 優先順位」の一時例外を、責任者・期限・切り戻し記録なしで本番に残すこと。

関連する確認事項