Windows Server 2008 R2全般フォーラム、ＴＳ（ＲＤ）ゲートウェイ接続と証明書

ＴＳ（ＲＤ）ゲートウェイはWindows Server 2008、Windows Server 2008R2から利用可能となったセキュリティレベルを高く保ち、社員の自宅（クライアント側）から社内システム（サーバー側）を利用したいという要望に対して、ＶＰＮのセキュリティ上の問題、使い勝手の良さを改良した通信プロトコルとしてはRDP over HTTPSを採用し、インターネット上はRDPをカプセル化したHTTPS(TCPポート443番)による暗号化（ＳＳＬ）通信を行い、TSゲートウェイから社内サーバまでをRDP（TCPポート3389番）で通信するという方法である。遠隔地から利用するクライアントにはＴＳ（ＲＤ）ゲートウェイサーバーの証明書が必要である。
自己署名証明書は、MSの証明機関を構築せずに、発行・クライアントに配布できるが有効期限が切れたら新規に発行し手動でクライアントにインストールする必要がある。
 
（質問）
リモートデスクトップ接続と証明書について
 
WinXPよりTSゲートウェイ・自己証明書にてリモートデスクトップ接続をしていました。
証明書の有効期限切れが近いため、サーバーにて証明書を作成し各PCへ新証明書をインポートしました。
対象PCのほとんどが問題なく接続可能ですが、一部のPCのみ証明書が正しくない（有効期限が旧証明書となっている）
とのメッセージ表示にて接続できません。
 
新証明書は画面確認にて正しくインポートできているように思われます（有効期限等が最新になっている）が何が原因でしょうか。
 
ご教授を宜しくお願い致します。
 
（質問・続）
サーバー側（Windows2008）にて再度、証明書を作成してみました。
http://www.atmarkit.co.jp/fwin2k/operation/tsgw01/tsgw01_04.html
多分ですが、証明書の作成時にインストール（格納）されるはずなのですが、
手動にて作成した証明書をインストールしたら接続できました。
ルート証明書を格納するチェックをONにしていたのですが・・・
 
有難うございました。

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－ 
（回答）
　略

（ＭＳページ）
http://technet.microsoft.com/ja-jp/library/cc725706.aspx
（参考資料-@IT）
ターミナルサービスのインストール
http://www.atmarkit.co.jp/fwin2k/winsv2008/10ts_03/10ts_03_01.html
Windows Server 2008のTSゲートウェイによるリモート・アクセス環境
http://www.atmarkit.co.jp/fwin2k/operation/tsgw01/tsgw01_01.html
（参考プログ）
http://www.aquanet.co.jp/howto/knowhow/kh001/kh001-1.html
http://ojaoki.blog.so-net.ne.jp/2008-08-06
http://inakami.blog120.fc2.com/blog-entry-85.html
（ベンダー資料-伊藤忠テクノソリューシュンズ株式会社）
http://www.ctc-g.co.jp/MungoBlobs/544/254/NAP_StepByStep_TSGateway.pdf
 
http://social.technet.microsoft.com/Forums/ja-JP/windowsserver2008r2ja/thread/186c4823-089b-412a-bc77-7708d9231bab/#1ff632c4-5f08-4427-b9f1-a73662406c6f
 

Hyper-Vフォーラム、仮想ディスクの配置・形態

Hyper-Vには、仮想マシンのハードディスクの構成に、二つの方法（パススルー接続と仮想ハードディスク）がある。
パススルー接続は、仮想マシンのディスクとして、物理サーバに搭載している物理ハードディスクをそのまま利用するというものである。スナップショットを取れない、可搬性がないといった制限があるが、パフォーマンスを追求する場合によい。
仮想ハードディスクは物理サーバ上ではVHDファイルとして扱われるが、仮想マシンからはハードディスクとして利用できる仕組みである。仮想ハードディスクには、容量可変／容量固定／差分の3種類がある。パフォーマンスを確保するためには、容量固定にする。
 
（質問）
仮想ディスク配置・形式について
 
お世話になります。
Hyper-Vホストサーバを構築中でゲストOSの配置方針等検討しております。
外部ストレージへの仮想ディスクの構築・配置について下記で考えておりますが、認識相違ありませんでしょうか。
より良い方法がありましたらご教示下さい。
※LiveMigration利用予定無し。
・ゲストOSのシステムディスクはパフォーマンスを重視し固定でホストサーバローカルにVHDを作成
・ゲストOSのデータディスクは拡張性を重視し、iSCSI上の外部ストレージのLUNに対しゲストOSのiSCSIイニシエータで直接アクセス
（ゲストクラスタの方法と同一）
・ゲストOSのデータバックアップディスクも拡張性を重視し、バックアップサーバをゲストOSとして構築し、バックアップサーバからiSCSI上の外部ストレージのLUNに対しゲストOSのiSCSIイニシエータでアクセス
 
＜質問＞
・上記ゲストOSのiSCSIイニシエータを利用した場合、外部ストレージはオンライン拡張が可能ですが、マウントしているゲストOSで見てもオンラインで拡張が可能でしょうか？（記憶域の管理の操作のみ？）
・ホストサーバから外部ストレージのLUNをマウントしてパススルーディスクとしてゲストOSからマウントすると、オンライン拡張が不可能になると認識しておりますが、オフライン拡張は可能でしょうか？
 
・ゲストOSからiSCSIで外部ストレージのLUNをマウントしてゲストOSの固定VHDを配置する場合のメリットはありますでしょうか？
様々な方法があるので、推奨方法等ありましたらご教示下さい。
 
宜しくお願い致します。

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－ 
（回答）
わかる範囲でお答えします。
VHDの拡張はHyper-Vマネージャーのディスクの編集から行う
OSでは記憶域のディスクの管理から行う
 
＞上記ゲストOSのiSCSIイニシエータを利用した場合、外部ストレージはオンライン拡張が可能ですが、マウントしているゲストOSで見てもオンラインで拡張が可能でしょうか？（記憶域の管理の操作のみ？）
 
可能だと思われます。
 
＞ゲストOSからiSCSIで外部ストレージのLUNをマウントしてゲストOSの固定VHDを配置する場合のメリットはありますでしょうか？
 
固定VHDにすることによってほぼネイティブと同様のパフォーマンスを発揮するのでメリットはあります。パフォーマンスの観点ではパススルーを使うメリットはほとんどありません。
 
以上、参考になれば幸いです。
 
（MSページ）
http://technet.microsoft.com/ja-jp/library/dd183729(WS.10).aspx
（したなどの資料がある）
Windows 7／Windows Server 2008 R2でVHDファイルを直接マウントする
http://www.atmarkit.co.jp/fwin2k/win2ktips/1231vhdmount/vhdmount.html
Hyper-Vで仮想ディスクを追加する
http://www.atmarkit.co.jp/fwin2k/win2ktips/1084hvaddhd/hvaddhd.html
仮想ハードディスクのサイズを拡大する（Hyper-V編）
http://www.atmarkit.co.jp/fwin2k/win2ktips/1214vhdextendhv/
vhdextendhv.html
Disk2vhdツールで物理ディスク環境をVHDファイルに変換する
http://www.atmarkit.co.jp/fwin2k/win2ktips/1228disk2vhd/disk2vhd.html
Hyper-Vの仮想マシンに物理ディスクの内容を簡単にコピーする方法は？
http://itpro.nikkeibp.co.jp/article/COLUMN/20110120/356287/
（参考ブログ）
USB HD をパススルーディスクでゲスト OS に接続-ＳＥの雑記
 
http://social.technet.microsoft.com/Forums/ja-JP/hypervja/thread/935976c4-12fc-41e2-846f-85d57d0f2fe2/#688f6fd9-094f-40bd-9db9-1ece7590e6e3

Windows Server 2008 R2全般フォーラム、MSFC＋クイックマイグレーション＋Hyper-V＋SCVMM

「クイック・マイグレーション」とは、Windows Server 2008のEnterprise／Datacenterに標準搭載されているフェイルオーバー・クラスタ機能を利用した、仮想マシンをクラスタリングするための機能である。
「SCVMM （System Center Virtual Machine Manager）」とは複数のHyper-Vマシンの一元管理を支援するMS製品のことである。
 
（質問）
Hyper-V＋クイックマイグレーション構成における、MSFCの振る舞いについて
 
WidnowsServer2008R2　SP1をHyper-Vを使用し仮想化サーバの構築をしています。
サーバ1台に対し、WindowsServer2008R2+Hyper-V（ホストOS）上にWindowsServer2008R2(ゲストOS)を1つだけ起動させて、
クイックマイグレーション構成にしています。
同じ構成のサーバが全部で4台あり、3台は運用系、のこり1台を共通の待機系（クイックマイグレーション先）として構成しています。
その場合、MSFC上での起動可能ノードを１－４、２－４、３－４とする事で、SCVMM上からのクイックマイグレーションは正常に動作する事は確認しました。
ところが、たとえば、1台目のホストOSをシャットダウン（障害を想定）したところ、ノード４にフェールオーバーしてしまいました。
そこで、起動可能ノードからノード４を削除（チェックをはずし）したところ、クイックマイグレーションが行えなくなりました。
上記の構成において、ホストOSをシャットダウンした場合のフェールオーバ―を手動で行う事（同時に落ちたゲストOSを手動でマイグレーションしたい）は可能でしょうか。
また、可能な場合の設定箇所がわかればうれしいです。
 
－－－－－－－－－－－－－－－－－－－－－－－－－－－－
（回答）

（略）
 
MSFC（Windows Server 2008のサーバークラスタ）
こちらの記事参照
 
（MSページ）
仮想マシンをノード間でライブ マイグレーション、クイック マイグレーション、または移動する
http://technet.microsoft.com/ja-jp/library/dd759225.aspx
（資料）
Hyper-Vによるクイック・マイグレーションの実践
http://www.atmarkit.co.jp/fwin2k/operation/hv_knowhow04/
hv_knowhow04_01.html
 
（MSページ）
System Center Virtual Machine Manager 2008（SCVMM）
http://www.microsoft.com/japan/systemcenter/scvmm/default.mspx
（資料）
SCVMMによって複数のHyper-Vを一元管理する
http://www.atmarkit.co.jp/fwin2k/operation/scvmm01/scvmm01_01.html

http://social.technet.microsoft.com/Forums/ja-JP/windowsserver2008r2ja/thread/deb36126-2cf4-4543-ac80-eff0880babe7/#918408f1-c4fc-46f4-9c19-1e54961d3e73

Internet Information Services 7.x – 全般フォーラム、IIS7.5のSSLサーバー証明書設定

Windows Server 2008 R2のIIS7.5のSSLサーバー証明書設定に関する手順はあまり見かけない。
 
（質問）
SSL設定でクライアント証明書をインストールしているPCのみアクセスさせたい
 
SSL証明書は自己証明書ではなくRapidSSLを取得しサーバへインストールしました。
クライアントからは　https://ドメイン名　で警告も出なくSSL接続できています。
ここで該当するサイトより「SSL設定」→「SSLが必要」、「クライアント証明書」が「必要」
しました。
クライアントからアクセスしますと（windows7 IE9）
「Web サイトによってこのページの表示を拒否されました」
になってしまいますので
クライアントブラウザのオプションで「コンテンツ」→「証明書」→「インポート」で
SSL証明書をインストールしました。
しかし状況はかわりません。
「SSL設定」→無視」「受理」でアクセスできます。しかし証明書の有無に関係なくなってしまうためしたくありません。
その他環境
サーバ側
IISクライアント証明書のマッピングのみインストール
 
クライアント側
SSL証明書をインストール時に「中間証明機関」とう選択しウィザードは完了しますが
「個人」「他の人」に入っているのが確認できました。
サーバやクライアントでなにか追加設定が必要でしょうか？いろいろ調べてみたのですがよろしくお願いします。
 
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
（回答）
「クライアント証明書認証」などの単語で検索すれば、いくらか情報がヒットするかもしれませんが、確かにIIS7に関する手順はあまり見かけませんでした。
 
手順としては以下のような感じのはずですが。
http://d.hatena.ne.jp/replication/20100802/1280928631
 
MSページ
http://technet.microsoft.com/ja-jp/library/cc732230(WS.10).aspx
http://technet.microsoft.com/ja-jp/library/cc771043(WS.10).aspx
http://technet.microsoft.com/ja-jp/library/cc753983(WS.10).aspx
 
http://social.technet.microsoft.com/Forums/ja-JP/iis7ja/thread/7d17ceed-0a91-4619-a068-0c9a207e8302/#db58cbfc-2700-462f-87b7-d24ccb3f2839

謹賀新年

          謹んで新年のお慶びを
                申しあげます

            平成二十四年元旦

Active Directoryフォーラム、PowerShellのGet-ADComputerコマンドレット

 Windows Server 2008 R2にはActive Directory専用のPowerShellモジュールが実装されている。
 
（質問）
特定OUのコンピュータオブジェクトのプロパティ情報抽出方法
 
特定のOUに属している、コンピュータ名一覧とオペレーションシステムの名前の抽出方法をご教授いただきたく質問させていただきます。
可能であれば、バージョンとServive Packの項目も出力できれば助かります。
Power ShellのGet-ADComputerコマンドでは、上記情報の出力はできなかったので他に方法があればと思います。
何卒、宜しくお願い致します。
 
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
（回答）
○○○○です。
 
Get-ADComputerコマンドレットでオブジェクトを取得すると、既定のセットのみの情報が取得され、すべての情報はしゅとくされません。で、すべての情報を取得するなら、-Propertiesオプションを使って追加属性を指定します。ワイルドカードで全属性を取得できます。

（略）

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
○○○○様
 
ご教授いただき有難うございました。
教えていただいたコマンドを参考にさせていただき出力することができました。
大変、助かりました。
テキストへ出力するコマンド
Get-ADComputer -Filter * -SearchBase "CN=Computers,DC=Example,DC=com" -Properties * | Format-List Name,operatingSystem,operatingSystemServicePack,operatingSystemVersion | -Out-File C:\data.txt
 
（MSページ）
http://technet.microsoft.com/ja-jp/library/dd378783(WS.10).aspx
（資料）
http://www.atmarkit.co.jp/fwin2k/winsv2008r2/03powershell/
03powershell_01.html
http://www.atmarkit.co.jp/fwin2k/winsv2008r2/06adr2/adr2_03.html
 
http://social.technet.microsoft.com/Forums/ja-JP/activedirectoryja/thread/5fb44a5a-2d0e-4170-a506-80aea9ad72bc

Active Directoryフォーラム、グループポリシーのループバック処理とWMIフィルター

「特定の名前のコンピュータにログオンするときだけ」グループポリシーを適用するにはグループポリシーのループバック処理を使う。グループポリシーのWMIフィルターを使う方法もあるがスクリプトの知識が必要である。
 
（質問）
ログオン/ログオフスクリプトを適用するコンピュータを指定したい
 
お世話になっております。
 
AD環境(ADサーバ:Win2008R2SP1)の[DefaultDomainPolicy]-[ユーザーの構成]-[ログオン/ログオフ]にてスクリプト(.vbs)を設定しております。
すべてのドメインユーザーをスクリプト実行の対象とし、コンピュータ単位でスクリプトを実行するか選択することはできるのでしょうか？
関数やサンプルソース、参考となるURLを添付いただけると幸いです。
 
以上、宜しくお願いいたします。
 
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

（回答１）
http://support.microsoft.com/kb/231287/ja
http://office-qa.com/win/win84.htm
http://technet.microsoft.com/ja-jp/library/cc756717(WS.10).aspx
にあるように、グループポリシーのループバック処理を使ってみてはいかがでしょうか。
 
なお、グループポリシーはDefault Domain Policyとは別に作成し、適用対象のコンピュータを集めたOUに対して適用するグループポリシーに設定する必要があるかと思います。

 －－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

（回答２）
○○○○です。
 
△△△△さんが適切な方法を紹介されていますが、別の方法もあります。
グループポリシーのWMIフィルターを使うことで、「特定の名前のコンピュータにログオンするときだけ」グループポリシーを適用する(あるいはその逆)、ということもできますよ。
 
http://jehupc.exblog.jp/13131701/
 
 （参考資料）
WMIを使うスクリプトを簡単に作成する
http://www.atmarkit.co.jp/fwin2k/win2ktips/756wmicreator/wmicreator.html
WMI Code Creator v1.0
 
http://social.technet.microsoft.com/Forums/ja-JP/activedirectoryja/thread/5567eb3e-84b9-4860-8909-a8b1bcf909dc/#8b207f3d-ac83-4820-88bb-e2acae7b4bcf