試験問題作成委員会の独り言

[PR]

[PR]上記の広告は3ヶ月以上新規記事投稿のないブログに表示されています。新しい記事を書く事で広告が消えます。

（質問）
信頼関係を結んでいる二つのドメインで使用する動的ポートについて

信頼関係を結んでいる二つのドメイン間で開放する必要のある動的ポートについての質問です。
OS：Windows Server 2003及びWindows Server 2008 R2　SP1
Windows Server 2003のDC2台で管理されているドメインとWindows Server 2008 R2のDC2台で管理されているドメインが信頼関係（フォレストの信頼）を結んでいます。信頼関係は2008R2ドメイン内のファイルサーバーに2003DCに属するコンピュータから2003DCのアカウントでシングルサインオンでアクセスする用途のためだけに結んでいます。
下記のサイトを参照すると、ADで使用する動的ポートとしては2003では1024-65535を2008では49152-65535を使用するとのことですので、本環境では二つのバージョンの動的ポートを網羅するため以下のそれぞれの箇所にあるファイアウォールで1024-65535を解放している状況でした。
1.2003ドメインと2008R2ドメインの間
2.2003ドメイン内
3.2008R2ドメイン内
しかし、そうすると開放しているポートがあまりに広範囲となるため、ためしに以上の３つの地点で1024-65535を解放していたものを49152-65535に狭めたら、特にADの動作に問題はありませんでした。
これにより、信頼関係を結んでいる相手のファイルサーバにアクセスするだけの用途であれば2003で必要な1024-49151が開放されている必要はないのかもしれないと解釈しているのですが、このままの環境にしておいて何か想定される問題はありますでしょうか
ご回答頂けると大変うれしいです。

（回答）
●●●●です。
片方向のみへのアクセス、という意味での信頼でしょうか？リクツとしては2003側のRPCサービス(エンドポイントマッパからの2次接続)にアクセスしない、ということならこの設定で大丈夫だと思うのですが、本当にそれで問題ないかどうかは、実際に想定する操作を一通り行って確認した方がいいと思います。RPCがどのポートを使っているかは、portqryuiツールで確認できます。
http://support.microsoft.com/kb/832919/ja
RPCポートのせいでFWが全開になってしまうのがちょっと、ということなら、RPC2次ポート範囲を明示的に指定し、その範囲だけFWを通す、という対応はどうでしょうか。したの情報を参考に設定を行ってください。ただし、ポートの範囲は数百個は必要なので、そこは注意してください。
http://support.microsoft.com/kb/154596

(MSのプログ)
ドメイン環境で使用されるポートについて
(MSのページ)
Active Directory および Active Directory ドメインサービスのポートの要件
（参考ページ）
http://www.infraexpert.com/study/tea5.htm
http://www.cman.jp/network/term/port.html
http://www.vwnet.jp/mura/PortNumbers/tcpip-port.asp
（過去ログ）
http://social.technet.microsoft.com/Forums/ja-JP/activedirectoryja/thread/529fa9f2-3b6e-4584-a87b-44f4ad6bbbd3/#43fcbc02-653b-49ed-afd4-7d27594f707c
http://social.technet.microsoft.com/Forums/ja-JP/activedirectoryja/thread/f6c6e5c1-0199-4244-89dc-f95ce3663250

http://social.technet.microsoft.com/Forums/ja-JP/activedirectoryja/thread/65ee97fc-fe41-4ae5-92d5-c387a5a9a166

[0回]

XP SP3とServer 2008 R2のNLA

したのXP SP3とServer 2008 R2のリモートデスクトップ接続の現象に対する修正プログラムはリリースされたのだろうか。

（質問）
XP SP3にて同じネットワークにある2008サーバに対してIPアドレスでリモートデスクトップ接続できません

はじめまして、お世話になります。
サーバA：ActiveDirectory　DC　（ドメインA）　windows2008R2 standard
クライアントPC(a)　ドメインA参加
サーバB:ActiveDirectory　DC　（ドメインB）　windows2008R2 SP1 foundation
クライアントPC(b)　ドメインB参加
この環境でクライアントPC(b)からサーバBへのリモートデスクトップ接続だけができません。
エラーメッセージは「認証エラーが発生しました。指定された対象は不明か、または到達できません」です。
接続の際のユーザはすべてそれぞれのドメインのadministratorsグループのユーザです
a---->A　OK　　a---->B OK
b---->B　NG    b---->A OK
何が問題なのかが分からず困惑しております。なにかヒントになればと思い質問させていただいております。
よろしくお願いいたします。
------------------------------------------------------------
その後、ドメイン未参加のPCなどを使ってとテストを行いました。
サーバA：ActiveDirectory　DC　（ドメインA）　windows2008R2 standard
クライアントPC(a)　ドメインA参加　（Vista）
　－－－10.0.0.0/24
サーバB:ActiveDirectory　DC　（ドメインB）　windows2008R2 SP1 foundation
クライアントPC(b)　ドメインB参加　（XP　SP3）
　－－－－10.0.1.0/24
サーバC：ActiveDirectory　DC　（ドメインC）　windows2008R2 SP1 foundation
クライアントPC(c)　ドメイン参加なし　（XP　SP3）
　－－－－10.0.2.0/24
a---->A　OK　　a---->B OK    a---->C OK
b---->A　OK    b---->B NG    b---->C OK
c---->A OK    c---->B OK    c----->C NG
でしたので、クライアントｃをネットワークAにつなげてテストしました。つまり
サーバA　クライアントPC(a)　クライアントPC（c）－－－10.0.0.0/24
サーバB　クライアントPC（b）－－－－10.0.1.0/24
サーバC－－－－10.0.2.0/24
の状態では
a---->A　OK　　a---->B OK    a---->C OK
b---->A　OK    b---->B NG    b---->C OK
c---->A NG    c---->B OK    c----->C OK
以上のことより同じネットワークに属するXPのクライアントよりリモートデスクトップ接続できないことがわかりました。
そこでIPアドレスの代わりにホスト名をいれるとリモートクライアント接続が可能になりました。
XPのみで発生していると思うのですが、同じネットワークに属するサーバに対しては　IPアドレスではなくホスト名を入れなければならない原因などわかりますでしょうか？
ちなみにリモートデスクトップのバージョン違いでテストした処
エラーメッセージは「認証エラーが発生しました　（コード：0ｘ80090303）」。になります
以上すべてのテストは　「ネットワークレベル認証」　を使用しての接続です。「ネットワークレベル認証」　を使用しない場合はIPアドレスで接続できることを確認しました。

（質問・続）
こんにちは、ご回答ありがとうございます。
IPアドレスで接続できないXPクライアントのリモート・デスクトップ接続クライアントのバージョンは
「シェル　バージョン　6.1.7600
コントロール　バージョン　6.1.7600
ネットワーク　レベル認証はサポートされています。
リモート　デスクトップ　プロトコル　7.0がサポートされています」
「シェル　バージョン　6.0.6001
コントロール　バージョン　6.0.6001
ネットワーク　レベル認証はサポートされています。
リモート　デスクトップ　プロトコル　6.1がサポートされています」
以上の2つのバージョンでテストしています。エラーメッセージは違いますが、どちらも接続できません。
ホスト名では接続できますので、その辺りが問題なのでしょうか？

（回答）
XP SP3にWindows XP 用リモートデスクトップ接続 (Terminal Services クライアント 6.1) (KB952155)、リモートデスクトップ接続 7.0 クライアント更新プログラム (KB969084)の２つをそれぞれ適用したり、リンク先のブログのとおりにレジストリを修正してみましたが、サーバー側でネットワーク認証レベルを有効にするとIPアドレスでの接続はRDC6.1ではおっしゃるとおりのエラーがでました。RDC7.0でもエラーメッセージは違いますが接続できませんでした。
したのブログ（？）のとおり、
http://2chnull.info/r/win/1261222620/
（51：名無し~3.EXE：2009/12/22(火) 18:02:22 ID:UZsNU3Ik　より一部を抜粋すると）
・PC1からサーバAにホスト名で接続をすると
サーバAローカルアカウントでもドメインアカウントでも接続可能
・PC1からサーバAにIPアドレスで接続をすると
サーバAローカルアカウントでは接続可能
ドメインアカウントではエラー(0ｘ80090303)が発生し接続不可
ネットワーク認証レベルを有効にしたメンバーサーバーにIPアドレスで接続するときは、メンバーサーバーのローカルアカウントでは接続可能でしが、ドメインコントローラーにIPアドレスではどのアカウントでも接続できませんでした。
MSからの修正プログラム（これから出るかどうか不明？）を待たれた方がよいかもしれません。

（別の方のコメント）
Windows XP に関連するプログラムの不具合だとすると、リリースされない可能性があります。
理由は延長サポートフェーズに入っているためです。
どうしても必要なのであれば、有償サポートに相談してみてください。費用がかかる可能性はあります。
http://support.microsoft.com/gp/lifecycle/ja のサポートライフサイクルを参照。

（参考:個人の方のブログ）
XP からネットワークレベル認証を有効化した 2008 へリモートデスクトップ接続する－えこ日記
XP SP3でネットワークレベル認証(NLA)を有効にできんのかよ－kamepress

http://social.technet.microsoft.com/Forums/ja-JP/windowsserver2008ja/thread/d92c4cee-ab9c-4dbd-8930-fdbf08912225

[0回]

仮想環境にADCSのインストール

仮想環境にADCSをインストールしていると証明書発行に失敗することがある。

（質問）

失効サーバーがオフラインのため、失効の関数は失効を確認できませんでした。

Active Directory 証明書サービスを利用していましたが、突然、認証できない状態となりました。

調査の結果、ログに

"失効サーバーがオフラインのため、失効の関数は失効を確認できませんでした。

要求の署名の確認エラーまたは証明書の署名エラー"

というものが存在していましたが、失効サーバーがオフラインになる原因には、どの様な場合が

考えられるのでしょうか？(証明書の有効期限は切れていません。)

宜しくお願い致します。

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

（回答）

エラーから考えるにCRLがうまく読み込めていないようですね。

一つの原因として、DELTA CRL がうまく発行されないことが考えられます。

また、同じようなエラーに遭遇した体験談がありました。

証明書発行に失敗

以上、参考になれば幸いです。

http://social.technet.microsoft.com/Forums/ja-JP/activedirectoryja/thread/07fb0448-dea6-4a47-adfc-10b238494f9b

[0回]

Windows Update Client failed to detect with error 0x800b0001

WSUSサーバーの役割のあるWindows Server 2008 R2を再インストールした場合、Windows Server Update Servicesの役割追加と自動的に適切に設定されたIIS 7.5の役割追加がエラー（更新プログラムが適用されていない、ネットワークの設定が適切でない、などのメッセージがでて）できなくなることがある。（再インストールするWSUSサーバーがドメインコントローラ場合、そうなった。）その場合は、ここより64Bit版のWSUS SP2のインストーラー個別にをダウンロードしてインストールするしかないようである。（関連するIIS 7.5の役割については手順書を見て手動で適切なものを選択して役割追加する。）
0x800b0001のエラーでWSUSサーバー自体が、Windows Updateができない、WSUSクライアントの状態が報告されない(Windows Updateログにエラーが出ている）事態になればしたのKBと投稿が参考になる。
(MSのブログ)
WSUS 3.0 SP2 の Windows 8 / Windows Server 2012 対応について (KB2734608)

（質問）
Windows Update Client failed to detect with error 0x800b0001

WSUS3.0SP1サーバからWSUSクライアントに対して、WindowsUpdateが送られていません。
クライアント側のログを見ると、以下のメッセージがありました。
Windows Update Client failed to detect with error 0x800b0001
ちなみに、technetでこのエラーメッセージのスレッドが以下のURLにありました。
http://social.technet.microsoft.com/Forums/en-US/winserverwsus/thread/04e52fb1-6927-4cc6-9857-63fa44f8f5d9
Japan WSUS Support Team Blogにこれに関係して以下の情報があったのですが、KB954960の手順が解決策ということで
よろしいでしょうか？
KB2720211 適用後に WSUS サーバーが起動しなくなった - 続報
http://blogs.technet.com/b/jpwsus/archive/2012/07/02/wsus-kb2720211-issue-update.aspx?Redirected=true
教えてください。よろしくお願いします。

（回答）
はじめまして。
こちらはSP2環境で同じ事象がありましたが、KB2734608のパッチ適用で回避できました。
お使いの環境がSP1とのことで、上記パッチは対応してないようですが、ご参考まで。

WSUS管理コンソールへ接続エラーで接続できず、プログラムの追加と削除からWSUSをアンインストールもできなくなった場合はしたの個人の方のブログが参考になる。
http://ameblo.jp/somepick/theme-10014651500.html
（以下、本文一部抜粋）
WSUSアンインストール時に、WSUSは「Windows Internal Database」にアクセスします。「Windows Internal Database」はちゃんと稼働していないと、アンインストールに失敗します。
逆に言うと「Windows Internal Database」が正常稼働させることができない状態に陥ると、アンインストールができない（再インストールもできない）ということになります。
というわけで、WSUSをだまして、「Windows Internal Database」を使っていないことにします。
・レジストリで下記の値を変更
「HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Update Services\Server\Setup」の
　「wYukonInstalled」の値を「1」から「0」に変更。

※下記の個人の方のブログ記事は本件の事例には該当しませんが、参考まで。
WSUSの入れ直し－サーバ管理者の覚え書き

［WSUSのアンインストール・再インストール手順］
１．管理データのバックアップ
管理データはWindows Internal Database(以下、WID)に保存される。そのデータベースのバックアップを取得する。
●サービス一覧より[Windows Internal Database (MICROSOFT##SSEE)] を停止させる。
●WSUSのルートフォルダにある[UpdateServicesDbFiles]フォルダをバックアップする。(Eドライブにある場合。)
(E:\WSUS\UpdateServicesDbFiles\SUSDB.mdf)
と
(E:\WSUS\UpdateServicesDbFiles\SUSDB_log.ldf)
SUSDBデータベース用のファイル２つをバックアップする。
（@IT参考資料）
http://www.atmarkit.co.jp/fwin2k/operation/wsusqa08/wsusqa08_02.html
●サービス一覧より[Windows Internal Database (MICROSOFT##SSEE)] を開始させる。

２．WSUSのアンインストール
アンインストールを実行するとウィザードが起動する。そのとき削除するデータの選択を求められる。
[Windows Server Update Services 3.0 SP2 データベース] は削除する。これは先程バックアップを取ったファイルである。
[ログファイル] は削除しても構わない。
[ダウンロードされた更新ファイル]は絶対に削除していはいけない。これはサーバにダウンロードされた更新プログラムファイル群である。

３．WSUSの再インストール
データベースはWIDを選択する。アンインストールでデータベースを削除しているので新規で作成される。

４．更新プログラムの適用
更新プログラム(KB2734608，KB2720211等)を適用する。

５．管理データの復元
●サービス一覧より[Windows Internal Database (MICROSOFT##SSEE)] を停止させる。
●バックアップしてあった[UpdateServicesDbFiles]フォルダ内の
(E:\WSUS\UpdateServicesDbFiles\SUSDB.mdf)
と
(E:\WSUS\UpdateServicesDbFiles\SUSDB_log.ldf)
SUSDBデータベース用のファイル２つを上書きして復元する。
●サービス一覧より[Windows Internal Database (MICROSOFT##SSEE)] を開始させる。

６．再度、更新プログラムの適用
再度更新プログラム(KB2734608，KB2720211等)を適用する。

※ WSUS サーバーのオプション設定は初期化されるので、現在の設定をメモに残す必要がある。（他にWSUSのレプリカがなく、WSUS管理コンソールへ接続エラーで接続できない場合、設定はデフォルトの状態からするしかない。）

http://social.technet.microsoft.com/Forums/ja-JP/wsusja/thread/59bb4605-b72a-41a7-89be-4eefb1ce56d8

[0回]

Office2010のインストールおよびサービスパックの適用

64bit 版のOS に普通にOffice2010のインストールDVDを挿入すると、32bit 版のOffice 2010がインストールされるのでサービスパック(SP1)も32bit 版のものを適用することになる。

（質問）
WSUS 3.0 SP2でOFFICE2010　64bit のサービスパックが適用されない

WSUS3.0　SP2　を導入しております。
更新の状況を確認したところ、office 2010 の64bit版のサービスパックだけが全てのクライアントで適用されていませんでした。
office 2010 の32bit版のサービスパックは全て適用されています。
製品とクラスで選択しているのは
[製品]
　　■Office 2003
　　■Office 2007　　
　　■Office 2010
　　■Windows 7
　　■Windows Vista Dynamic Installer
　　■Windows Vista Ultimate Language Packs
　　■Windows Vista
　　■Windows XP x64 Edition
　　■Windows XP
[クラス]
　■Service Packs
　■セキュリティ問題の修正プログラム
　■修正プログラム集
　■重要な更新
　■定義更新プログラム
です。Officeの32bit版と64bit版で区分けはされていましたでしょうか？
64bit版も適用したいのですが、その方法をご教授いただけれますでしょうか？
ちなみにWindows Server 2008 R2 SP1を使用しております。

（回答）
Office 2010 のインストール DVD には、Office 2010 32bit 版と 64bit 版の両方が入っています。64bit 版のOS に普通に挿入すると、32bit 版のOffice 2010がインストールされます。
（参考ブログ）
http://snow-white.cocolog-nifty.com/first/2010/06/microsoft-off-2.html

64bit版のOffice 2010を導入するメリットがあるか否かの判断する根拠については（例えば）したの資料にあります。
http://pc.nikkeibp.co.jp/article/news/20100615/1025530/
WSUSでは、64bit版のOffice 2010のサービスパックはまだ提供されていないものと思われるため、手動でインストール必要があると思います。
Office 2010 SP1 の説明
http://support.microsoft.com/kb/2460049/ja
（以下、参考）
http://technet.microsoft.com/ja-jp/library/ee681792.aspx

(MSのページ）
Microsoft Office の 32 ビット版と 64 ビット版を選択する
Office2010 Pro通常版［パッケージ］

http://social.technet.microsoft.com/Forums/ja-JP/wsusja/thread/f64087b6-37fa-4a1e-97f6-dfb8ff5fb18c

[0回]

無線LANでActive Directory構築

Active DirectoryへIEEE 802.1x認証を行っての無線LAN環境構築はまだ敷居が高いということか。IEEE 802.1x対応の機器、RADIUS、ＮＡＰＳ、PEAP-TLS、PEAP-EAP-MSCHAPv2、・・・と深い専門知識が必要である。

(MSのブログ)
802.1x 認証方式NAP対応