[PR]上記の広告は3ヶ月以上新規記事投稿のないブログに表示されています。新しい記事を書く事で広告が消えます。
[0回]
グループポリシーだけでは完全な外部記憶媒体のデバイス制御は難しい。
（質問）
グループポリシーでのデバイス制御について
お世話になります。初めて質問させて頂きます。
テスト環境にてグループポリシーの適用をテストしておりましたが設定がうまくいかず、
以下のスレッドを参照しましたが別の部分で不明な点がありましたのでご質問させてください。
当方のデバイス制御を行おうとしている環境は以下の様になっています。
サーバ：Windows2003R2 StandardEdition(機能レベル：Windows2000混在)※ドメイン環境
クライアント：WindowsXP/Vista/7
[質問]
１．クライアントがWindows2000/XPの場合「コンピュータの構成」で管理することができ、「ユーザーの構成」で管理できるのはWindowsVista/7以降とありますが、サーバーの機能レベル上げる、またはサーバを2008にするなどして、ユーザー単位でポリシー設定をすることは可能でしょうか。それとも、サーバーに関わらず、クライアントが2000/XPであれば、やはりユーザー単位ではできないのでしょうか。
２．グループポリシーがクライアントに適用された場合、ネットワークが切断した状態ではポリシーは適用されるのでしょうか。切断された状態でもデバイス制御が効いている。という環境にしたいです。
３．グループポリシーの適用タイミングについて、「コンピュータの構成」は起動時、「ユーザーの構成」はログオン時、以降は約90分間隔とありますが、ポリシーの内容が変わらなくてもこの間隔でクライアントのレジストリが書き換わるのでしょうか。クライアントの挙動に、レスポンスなど、なにか変化が起こりますでしょうか。
宜しくお願い致します。
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
（わかる範囲で調べた結果）
Windows XPのUSB制御のポリシーは以下レジストリ値をみる。コンピュータ単位のみ対象になる。
（１）USBメモリを禁止
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR
値の名前 Start
型 REG_DWORD
値 3（使用を許可）／4（使用を禁止）
（２）USBメモリへの書き込みを禁止
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\StorageDevicePolicies
（StorageDevicePoliciesキーがない場合、キーを新規に作成する）
値の名前 WriteProtect
型 REG_DWORD
値 1
Vista以降は
・［コンピュータの構成］－［管理テンプレート］－［システム］－［リムーバブル記憶域へのアクセス］
HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\
RemovableStorageDevices\{53f5630b-b6bf-11d0-94f2-00a0c91efb8b}! Deny_Write
コンピュータのみに設定
・［ユーザーの構成］－［管理テンプレート］－［システム］－［リムーバブル記憶域へのアクセス］
HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\
RemovableStorageDevices\{53f5630b-b6bf-11d0-94f2-00a0c91efb8b}! Deny_Write
ユーザーのみに設定
（参考ページ）
http://news.livedoor.com/article/detail/3848807/
また、
情報漏えい対策ガイド（Windows Server 2003編）の
3.2 リムーバブル記憶装置がインストールされていない場合（Ｐ１８～
該当のリムーバブル記憶装置を禁止するポリシーにスタートアップで、スタートアップスクリプト「BlockRmStor.wsf /D:Everyone /Q」を追加すると（P20～P24参照）確かに、スタートアップでリムーバブル記憶装置をインストールきなくなる。しかし、このスタートアップスクリプトを追加し「ＳＤ記憶域カード」使用禁止のポリシーをリンクすると、クライアントのアプリケーションログに、「ＳＤ記憶域カード」に関するものと思われるエラーがでる。「ＳＤ記憶域カード」については使用禁止にはできない。
この「ＳＤ記憶域カード」に関するアプリケーションログにエラーが出るとWindows XP にSP3 をインストールする際にエラーがでる。このXP SP3インストールエラー回避方法についてはしたの個人の方のブログで紹介されている
解決方法 Windows XP SP3 インストール時の失敗－ねこ鯖 nekoserver 鯖缶はたいへんだニャーの巻
http://social.technet.microsoft.com/Forums/ja-JP/activedirectoryja/thread/7f455507-ed77-4889-a1b9-6c55fcc3bc52
[0回]
[0回]
[0回]
[0回]
KB816042の「内部のハードウェアクロックを使用するように Windows タイムサービスを構成する」の方法は 「つづきはこちら」より
（質問）
グループポリシーのソフトウェア配布と時刻同期について
Windows2003のActiveDirectory管理をしております。
Windows2003のActiveDirectory環境にて3台のドメインコントローラを構成しています。
サーバ時刻が実時刻より40分ほど遅れており運用に支障があるため実時刻に修正したいとの
要望があります。ドメインに参加するクライアントはサーバの時刻と同期されているため
40分遅れた状態で同期されています。
グループポリシーのソフトウェア配布でMSIアプリケーションを
配布しており時刻を修正することにより不具合が出るのではないかと懸念しております。
以下の事項について教えてください。
（１）既にインストールされているアプリケーションが削除されたりしないか。
（２）時刻修正するに当たり踏むべき手順はあるか。
全クライアントが起動中に実施すべきor起動前に実施すべきなど。
（３）サーバでの時刻修正後にクライアントで同期されるタイミングは。
（４）インテリミラーで配布失敗する事例に時刻ズレがあるがどの程度のずれか。
５分程度のズレが問題ないのであれば毎日5分ずつずらせば影響が出ないのではと考えています。
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
（質問・続）
○○○○ 様
2分毎に実行した際にはどのようなタイミングで実行したのでしょうか？（クライアント起動中？全クライアント停止後？）
親玉のドメインコントローラを探して2分ずつ運用時間内に（一般的には日中）変更したいと考えています。
私も既存アプリは削除されないはずとは思っていますが検証する手段がなく困っていました。
※補足します。
今回の質問はクライアントとサーバの時刻が同期されていないのではなく、同期はされています。インターネットに接続されていない閉鎖されたネットワークのドメイン内のクライアントとサーバが実時刻とずれているため合わせたいです。
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
（回答）
××××です。
分かる範囲でお答えします。
(1) インストール済みのアプリケーションは削除されません。これは「ドメインにログオンできなかったら、既存のアプリを削除する」というしくみ自体がIntelli Mirrorには用意されてないからです。ただし、ドメインから離脱(ワークグループに参加)したマシンからアプリケーションを削除するしくみはあります(設定を有効にしないとそうなりません)。
(2)時刻修正を行う場合、まずドメインコントローラの「PDCエミュレータ」の時刻を変更してください。それ以外のドメインコントローラは自動的にPDCエミュレータにあわせますが、念のため再起動した方がいいでしょう。ただしドメインコントローラ上やメンバサーバ等に、「なんらかのサーバアプリケーション」が載っている場合そのアプリケーションが大きく時刻を変更して問題が起こらないかどうか、事前調査が必要です。PDCエミュレータの時刻を変更する、については、したのページを参照下さい。
http://support.microsoft.com/kb/816042/ja
(3) クライアントが時刻同期するタイミングは、すでに起動しているクライアントは、時刻同期の状況に依存する(だんだん同期間隔が長くなる)ので、一概には言えません。ですが、確実に同期するのは「コンピュータの起動時」です。
(4) (ほかの方からの指摘どおり) Kerberos の既定では 5 分です。ですが、Windowsの標準的な環境であれば、実質上「クライアント側の時刻がドメインコントローラより10時間進んでいる」という状態が発生しない限り、「おおむね」問題は起こらないでしょう。「絶対に間違いのない方法」がお知りになりたいというなら、MSの有償サポートに確認いただくのが確実です。
ちなみに、「ちょっとだけ進んだ時刻をゆっくり戻す」機能はWindowsの時刻同期システム(Windows Timeサービス)にはありますが(既定は300秒以内です)、「遅れている時刻をゆっくり戻す」機能はありません(すべてStepモードです)。なのでNTPでいうところのSlew機能は、限定的な実装だと考えられた方がいいでしょう。
あと、時刻を大きく変更する場合、「(イベントログとか含め)記録されるログ類」の時刻自体が変わりますので、社内監査上(情報の記録の観点から)問題は起こらないですか？心当たりがおありになるなら、社内のしかるべき部署にご確認いただいた方がいいかもしれません。
[0回]
[0回]
プロフィール
カレンダー
カウンター
リンク
最新記事
最新コメント
最新トラックバック
カテゴリー
アーカイブ
ブログ内検索
リンク
忍者画像RSS
忍者AdMax
フリーエリア