大変難しい質問（２）

難しい質問にも、ＭＳＦＴ氏とＭＶＰ氏は丁寧に回答している。 

（質問）

お世話になります。

WindowsServer 2008 のドメインコントローラーで、
次のようなエラー文が、再起動を行うたびに出てきます。

イベント ID:       1126
レベル:           エラー
タスクのカテゴリ:      グローバル カタログ
説明:　　　　　　Active Directory ドメイン サービスは、グローバル カタログと）の接続を確立できませんでした。

エラー値:　　　　1355 指定されたドメインがないか、またはアクセスできません。

しかし、とくに目に見えて問題が見当たりません。
なにか見えないところで異常が発生しているのでしょうか。

以下、環境です。

親ドメイン
　ドメインコントローラA　　各種操作マスタ５つ　　グローバルカタログ　DNSサーバ
　ドメインコントローラB　　　　　　　　　　　　 　　　　グローバルカタログ　DNSサーバ

子ドメイン
　ドメインコントローラC　　操作マスタ３つ　　グローバルカタログ　DNSサーバ
　ドメインコントローラD　　　　　　　　　　　　　　グローバルカタログ　DNSサーバ

エラーがでるのは、子ドメインのC、Dだけです。
再起動を他のサーバと同時に行ってはいません。


このエラーが、出るとどのような問題があるのでしょうか。
また、このエラーを出ないようにするにはどのようにすればよいのでしょうか。

分かられる方がおられましたら、ご教授いただけないでしょうか。
どうぞよろしくお願いいたします。

 

（ＭＳＦＴ氏の回答）

こんにちは！
フォーラム オペレーターのxxxxxです。

このエラーは、無視できない重要なもので、TechNet では以下のように説明されています。
「ネットワーク上のドメイン コントローラは、機能を実行するにあたって必ずグローバル カタログ サーバーにアクセスしなければいけません。 例えば、管理者がフォレスト内の別のドメインからユーザーをローカルドメインのドメイン ローカル グループに追加する場合、ユーザーに関する適切な追加情報を取得するためにグローバル カタログ サーバーが使用されます」

 

このページでは、イベント ID 1126 について、色々な確認情報や解決方法が紹介されているのですが、情報はすべて英語のみとなっています。。。
すべてを和訳するのは難しいので、このページの解決方法 （「Resolve」） で紹介されている各項目のタイトルのみを和訳して紹介したいと思います。
ぜひ一度、この中から参考になりそうな箇所を探ってみてください。

・ドメイン コントローラがグローバル カタログ サーバーに接続できることを確認してください。

・エラーを報告しているドメイン コントローラのネットワーク接続を確認してください。

・エラーを報告しているドメイン コントローラからグローバル カタログ サーバーに接続できるかどうかテストしてください。

・フォレストに対して少なくとも1つのグローバル カタログが構成されていることを確認してください。

・グローバル カタログ サーバーのローカル ネットワーク接続が機能していることを確認してください。

・グローバル カタログ サーバーで NTDS サービスが動いていることを確認してください。

・グローバル カタログ サービスのポートを使用して、エラーを報告しているドメイン コントローラからグローバル カタログ サーバーに接続できるかどうかテストしてください。

・また、このページの最下部 （「Verify」） では、ドメイン コントローラからグローバル カタログ サーバーへの接続を検証する方法が紹介されていますので、こちらは全文を和訳して紹介したいと思います。

 

<検証>
１．この手順を実行するには、Domain Admins のメンバーであるか、適切な権限を委任されている必要があります。ドメイン コントローラからグローバル カタログサーバーへの接続を検証するには、

管理者としてコマンド プロンプトを開く。 管理者としてコマンド プロンプトを開くには、[スタート] をクリックします。 [検索の開始] に [コマンド プロンプト] と入力する。 [スタート] メニューの [コマンド プロンプト] を右クリックして、[管理者として実行] をクリックする。 [ユーザー アカウント制御] ダイアログ ボックスが表示された場合は、ご自身が開始した操作であることを確認して、[続行] をクリックする。

２．nltest /server:<サーバー名> /dsgetdc:<ドメイン名> /gc /force と入力して、[Enter] を押す。 <サーバー名> には、グローバル カタログサーバーに接続したいドメイン コントローラの名前を入力し、<ドメイン名> にはドメイン名を入力する。 もしドメイン コントローラがグローバル カタログにアクセスできる場合は、グローバルカタログ サーバーとして構成されているドメイン コントローラの名前がコマンド結果に返されます。

 

こちらの情報が役に立つことを願っています。
もしどうしても分からない英語の個所がありましたら、返信していただければと思います。

それでは、また！

 

（ＭＶＰ氏の回答）

xxxxxです。

 

MSFT xxxxxさんも答えておられるように、このエラーメッセージはグローバルカタログサーバが DNS ベースで見つけられない、あるいは何かの理由で接続できない、という状況を指しています。このままの状態では致命的ですが、ネットワークなどの問題で一時的に発生した場合、「グローバルサーバに接続しました」という解決メッセージのログが記録されるはずですので、そのログの有無で「とりあえずは」動作上の問題が継続しているかどうか、判断できるでしょう。

 

この件では、子ドメインだけ問題が発生してますので、子ドメインのドメインコントローラから親ドメインのドメインコントローラに名前解決ができるのかどうか、まずは確認するとよいのではないでしょうか。

 

まず、DNS サーバに正しく接続できること、_gc._tcp.example.com (example.com ドメインなら)の名前解決がきちんと行えることが前提です。_gc._tcp.example.com を確認するには nslookup "-set type=srv" _gc._tcp.example.com とコマンドを実行すると、グローバルカタログのドメインコントローラとIPアドレス一覧が表示されます。 

 

子ドメインの場合、状況によっては DNS サフィックスの問題でブボルブ機能が動作していないことがあります。ブボルブとは自分のドメインのサフィックスで名前解決ができない場合に(1階層上位の)親ドメインをサフィックスとして名前解決をやり直す機能です。この機能が使えているかどうかは、ipconfig /all コマンドで DNS Suffix Search List の項目に親ドメインが含まれているかどうかで確認できます。

 

これが問題ない場合、ドメインコントローラ同士の通信(セキュアチャネルの認証を含む)がきちんと行われていることを確認する必要があります。検査ツールとして、dcdiagやnetdiagコマンドを使うと、他のドメインコントローラに接続した検査結果などを表示してくれます。これを足がかりに調査を行うとよいでしょう。

 

またrepadmin /showreplコマンドを使うと、直前までドメインコントローラ間で複製が行われていたかどうか、確認できます。長期間の複製が行われていない場合、セキュアチャネルの認証に失敗していることが原因の可能性があり、ドメインコントローラコンピュータパスワードのリセットなどが必要になることがあります。

 

http://social.technet.microsoft.com/Forums/ja-JP/activedirectoryja/thread/5159e091-cd2d-4280-b8fd-763401598c53

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

dcdiag全体のテスト。
dcdiag /v /e

/q を付けるとエラーの部分だけが表示される。

DNSのテストは以下で可能。

dcdiag /v /e /TEST:DNS

http://social.technet.microsoft.com/Forums/ja-JP/activedirectoryja/thread/a082028d-5db9-4d7c-8125-9528dfa19fb2

苦労した回答（２）

Windows Server 2003 R2 のクライアント アクセス ライセンスの概要
http://www.microsoft.com/japan/windowsserver2003/howtobuy/licensing/caloverview.mspx
（以下抜粋すると）
Windows CAL の要件には、一般的に次のような例外があります。アクセスする際に認証されることなく、匿名でインターネットのみを通じてサーバーソフトウェアへアクセスするときには、Windows CAL が必要ありません。アクセスの認証とは、サーバー ソフトウェアとユーザーまたはデバイス間で、ユーザーまたはアプリケーションの資格情報が交換されることを言います。こうした例外には、身元確認なしでユーザーがパブリック Web サイトを参照する場合などがあります。その場合、ユーザーには Windows CAL が必要ありません。

Windows Server 2003 の価格とライセンス : よく寄せられる質問
クライアント アクセス ライセンス (CAL)
http://www.microsoft.com/japan/windowsserver2003/howtobuy/licensing/priclicfaq.mspx#E5E

（以下抜粋すると）
A. 必要です。使用許諾契約書に記載されている使用例の一覧は、すべてを網羅しているわけではなく、サーバー ソフトウェアの一般的な使用例を示すためのものです。デバイスまたはユーザーが、サーバーソフトウェアにアクセス、またはサーバー ソフトウェアを使用している場合、CAL が必要になります。ただし、以下の場合は例外です。

&#8226; インターネット経由でアクセスし、かつアクセスが認証されない場合。
&#8226; Windows Server 2003 Web Edition を実行しているサーバーへのアクセス。
&#8226; 外部ユーザーによるアクセスまたは使用。この場合は、CAL の代わりに、エクスターナルコネクタ ライセンスが必要になります。

>アクセスする際に認証されることなく、匿名でインターネットのみを通じてサーバー
>ソフトウェアへアクセスするときには必要ありません。

ということは、アクセスする際に認証が必要で、イントラネットでのＨＴＴＰＳでのサーバーへのアクセスには必要と解釈するべきでしよう。

しかし、厳密なライセンスの使用許諾契約についてはしたなどから問い合わせされたほうがよいでしょう。
Microsoft カスタマーサービス&サポート
http://www.microsoft.com/japan/customer/

http://www.atmarkit.co.jp/bbs/phpBB/viewtopic.php?topic=47783&forum=6

苦労した回答（１）

暇であった頃はしたのような丁寧な回答ができたのですが、最近は忙しくて丁寧な回答ができません。

 

 その１

業者に依頼したりMSのサポートを受けられる前に、IPアドレスとネットマスク・ネットワークアドレスの関係をまず調べないといけないと思います。

IPアドレスとネットマスクの関係はたとえばしたのページに書いてあります。
http://www.geocities.co.jp/SiliconValley-Cupertino/2190/topic/ipaddr/ipaddr.html

たとえば
IPアドレス [192.168.1.11] 11000000. 10101000. 00000001. 00001011
ネットマスク[255.255.254.0] 11111111. 11111111. 11111110. 00000000
理論積をとると　　　　　　　11000000. 10101000. 00000000. 00000000
ネットワークアドレス[192.168.0.0]に属している　

IPアドレス [192.168.2.11] 11000000. 10101000. 00000010. 00001011
ネットマスク[255.255.254.0] 11111111. 11111111. 11111110. 00000000
理論積をとると　　　　　　　11000000. 10101000. 00000010. 00000000
ネットワークアドレス[192.168.2.0]に属している　

IPアドレス [192.168.3.11] 11000000. 10101000. 00000011. 00001011
ネットマスク[255.255.254.0] 11111111. 11111111. 11111110. 00000000
理論積をとると　　　　　　　11000000. 10101000. 00000010. 00000000
ネットワークアドレス[192.168.2.0]に属している
したがってIPアドレス [192.168.2.11/23]と[192.168.3.11/23] は同一のネットワークということになると思います。

IPアドレス [192.168.4.11] 11000000. 10101000. 00000100. 00001011
ネットマスク[255.255.254.0] 11111111. 11111111. 11111110. 00000000
理論積をとると　　　　　　　11000000. 10101000. 00000100. 00000000
ネットワークアドレス[192.168.4.0]に属している　
なお、ネットワーク部は上位２３ビット、ホスト部は下位９ビットであるため、同一ネットワークには、２の９乗－２＝５１０台のホスト数が可能。

という理屈になると思いますが間違っていたら申し訳ありません。
　
２進数　10進数の変換はたとえばしたのページからできます。（関数電卓を使う方法もあります。）
http://hogehoge.tk/tool/number.html

-------------------------------------------------------------------------------

その２

１．ADサーバーおよびDNSサーバーのIPアドレス、サブネット値の変更
２．DHCPサーバーのIPアドレス、サブネット値の変更、スコープの変更
３．ルーター、L3スイッチ、F/Wなどのルート設定変更作業
４．固定IPアドレスを割り当てているファイル・プリンタ・アプリケーションサーバー等のメンバーサーバーのIPアドレス、サブネット値の変更
５．固定IPアドレスを割り当てているベンダー提供のプリンタ装置のIPアドレス、サブネット値の変更
６．クライアントが変更後のDHCPスコープ（IPアドレス、サブネットマスク）をうまくリースできるかの確認

以上、考えられる作業をビックアップしてみましたが、ベンダー提供の装置はそのベンダーの作業の協力が必要でしょう。検証環境が作れればよいのですが、作れなければ休日に設定変更作業をして検証するしかないですね。DHCPサーバーのスコープを変更したあとクライアントが変更後のスコープ（IPアドレス、サブネットマスク）をうまくリースできるかがポイントとなると思います。社内で慎重に手順を検討しないといけないと思います。またうまくいかなけば、サポートがすぐ受けれるようにしておくことが肝心だと思います。

 

http://www.atmarkit.co.jp/bbs/phpBB/viewtopic.php?topic=48240&forum=6

MSのソフトウェアライセンス条項に関する模範回答

答えてねっと for Business最多回答者のあるMVP氏の模範回答である。TechNet フォーラムにても活躍していただきたい。

（質問）

お世話になります。

ライセンスに関して、ライセンスに関する資料を読みました
（Windows Server 2003 R2 ソフトウェア ライセンス条項http://www.microsoft.com/japan/windowsserver2003/howtobuy/licensing/EULA.mspx

また、他の関連掲示板も調べました。

 

2003 Serverを、WEBサーバーとして使う場合に、アクセスしてくる不特定多数の人のユーザー認証を行わない（すなわち匿名）場合は、CAL（ユーザーCALもデバイスCALも）は不要である、と認識しました。

 

また、そのWEBサーバーを、社内のイントラネットで使用する場合や、ユーザーIDとパスワードによって、アクセスしてくる人のユーザーの認証、識別を行う会員制サービスを行うような場合は、CALが必要である、と認識しました。

 

ここで質問なのですが、例えば、WEBサーバーの中に、ある一般向けWEBサイトを持っているとします。

そのWEBサイトへのアクセスに、ユーザーIDやパスワードは必要ありません。

不特定多数の匿名のアクセスが可能な、いわゆる普通のホームページです。

上記の認識に従うと、この部分においては、CALは必要ないと考えられます。

 

このホームページのあるボタンをクリックすると、会員サービス専用ログイン画面が表示されます。

ここで、ユーザーIDとパスワードによるユーザー認証を行ないます。

上記の認識に従うと、これより先の部分においては、CALが必要であると考えられます。

 

つまり、1つのWEBサイトにおいて、不特定多数のアクセスが可能な領域と、そうでない領域があります。

どちらも、同じWEBサーバーの中に入っているわけですから、ユーザー認証後にアクセスできる領域を持っている限り、CALは購入しなければならないと思うのです。

 

そこで、例えばユーザーCALを20購入したとします。

サーバー機器においても、その数字を管理するページがあると思いますので、そこに「20」と設定します。

ところが、このようにしてしまうと、不特定多数のアクセスを許可する領域においても、この「20」が適用されてしまい、20人を超える人が、このホームページに同時アクセスした場合、ホームページが見れなくなってしまう可能性が出てきてしまうのではないでしょうか。

まだWEBサーバーを実際に立ち上げたことがないので、具体的な記述が出来なくて申し訳ないのですが、もしこの場合、サーバーに対して、どのような処置を行うべきなのか、質問させて頂きました。

 

また別に、DNSサーバーを立てる場合ですが、これは、不特定多数の匿名のアクセスに対応するためのサーバーなので、CALは必要ないという認識でよろしいでしょうか。

よろしくお願い致します。

 
---------------------------------------------------------------------------------
（回答）

CALの認識については全て正しいと思いますが、文面に「アクセスしてくる不特定多数の人のユーザー認証を行わない（すなわち匿名）場合は、CAL（ユーザーCALもデバイスCALも）は不要である」とありますが、厳密にはこれに「インターネットを経由して」という言葉も必要です(次の箇所でイントラネットの場合と書かれているので正しく理解されているとは思いますが)。。

 

IISの認証には以下の種類などがあります。
・統合Windows認証
・ダイジェスト認証
・基本認証
・.NETパスポート認証

 

今回ご質問のサイトでは匿名アクセスを許可するようになると思いますので、標準ではアクセスしてきた人全員がIUSR_コンピュータ名というユーザーアカウントを利用してファイルなどにアクセスします。
つまりユーザーの管理など出来ないということになりますので、OSの制御上20のライセンスを超えることは無いはずです(ただしMicrosoftのライセンスの考え方上CALは必要です)。

この匿名アクセスの延長で、アプリケーションによるログイン画面でユーザー認証を行うのであれば、Windows上ではそれも全てIUSR_コンピュータ名というユーザーなので、ここでもOSの制御上20のライセンスを超えることは無いはずです。

 

たとえば統合Windows認証を有効にした場合には、Windows認証が可能であればWindowsのユーザーアカウントで認証されますので、このような場合には20のライセンスを超える場合には警告されるはずです。

DNSサーバーはCALは必要ないはずです。

 

ライセンスについては以下などから、お問い合わせされたほうがいいかもしれません。

Microsoft カスタマーサービス&サポート

http://www.microsoft.com/japan/customer/

http://social.technet.microsoft.com/Forums/ja-JP/windowsserver2003ja/thread/fb1b48fd-39d1-4270-abd6-4fa1f3e92e66

 

大変難しい質問（１）

【作業内容】を読むだけで頭を大変悩ませます。

（質問）

お世話になります。

【環境】Active Directory , ドメインコントローラー：Windows Server 2003 R2 SP2 2台　(別サイトにWindows 2000Server SP4 3台あり)

 

【イベントログ発生サーバー】　メンバーサーバー(ファイルサーバーとして使用) Windows Server2003 R2 SP2 ,ファイルサーバーリソースマネージャをインストール

 

【イベントログ内容】　ソース：AutoEnrollment , イベントID:1 , ユーザー:N/A　

説明:ローカル システム の証明書の自動登録で、ldap:///CN=Certification Authorities,CN=Public Key Services,CN=Services,CN=Configuration,DC=

会社名,DC=co,DC=jp?cACertificate?one?objectCategory=certificationAuthority (0x8007006e) から ROOT ストアの証明書をダウンロードできませんでした。 指定されたデバイスまたはファイルを開けません。

 

が、8時間間隔で記録されるようになりました。

エラーが発生しだす前に以下の作業を行いました。

 

【概要】

もともとドメインコントローラー(Windows2000ServerSP4)が2台ありました。

今回ドメインコントローラーを新規に2台構築し(Windows Server2003 R2 SP2)、古いドメインコントローラーをADから削除しました。

【作業内容】

・フォレスト、ドメインをW2K3用にアップグレード

・新規DC(ドメインコントローラ)2台（名前をNewDC1,NewDC2とします)をADに追加

・FSMOを移動、グローバルカタログをOｌｄDC1からNewDC1に変更

・旧DC(名前をOldDC1,OldDC2とします)をメンバーに降格

・その後、OldDC1,OldDC2をワークグループにする

・その後、OldDC1,OldDC2をLANから外す

・NewDC1のIPアドレスをOldDC1で使用していたIPアドレスに変更

・NewDC2のIPアドレスをOldDC2で使用していたIPアドレスに変更

・DNSサーバーにて(NewDC1,2に同居)NewDC1のエイリアスとしてOldDC1を登録

・DNSサーバーにて(NewDC1,2に同居)NewDC2のエイリアスとしてOldDC2を登録

・DCのイベントログには特にエラーは発生していないことを確認しています

 

上記作業は、各工程後にDC全体に情報がいきわたるのを待って次の作業を行っています。

上記作業後にメンバーサーバーの再起動は行っていません。(なるべく再起動はしたくないので)

エラーが記録されているメンバーサーバーは共有フォルダーを作成し、フォルダー単位でクオータをかけている程度です。

また、メンバーサーバーは長期間？（サーバーとして稼動後)Windows Updateを行っていません。

 

インターネット上で情報を探しているのですが、これだという物が見つからず行き詰っています。

アドバイスや情報、チェック箇所何でもいいのでご教授いただけると幸いです。

 

宜しくお願いいたします。

 

http://social.technet.microsoft.com/Forums/ja-JP/activedirectoryja/thread/bc6e7513-97b4-4216-a807-5a7b2a36be72

無料でMCP試験のスキルチェックができるサイト

無料でMCP（マイクロソフト認定技術者試験）のスキルチェックができるサイト。
（2012/03/09時点）
 

http://jibun.atmarkit.co.jp/scenter/ittrain/96_cal.html

問題提供： グローバル ナレッジ ネットワーク株式会社

© 2001-2011 Global Knowledge Network Japan, Ltd. All Rights Rese

学習費用だけで最低でも３万円はかかるので暇な時にスキルチェックをしてみてください。

答えてねっと for Business本日で閉鎖（最後の魚拓）

これが答えてねっと for Businessの最後の魚拓となると思います。質問自体の回答はしていないが、質問が解決したことに対して質問者に”解決”として閉じる要求を第三者として促すことにより適切な回答を寄せた△△△△さんへのお礼のポイントを加算させるルール・マナー順守に関する投稿と思われる。

回答4：○○○○狼

××××さんのお悩みが解決したことをお喜び申し上げます。

しかしながら、口うるさいことで申し訳ありません。一部の方が、「また、こいつ、文句を言ってやがる！」と思われるやもしれませんが・・・このコミュニティサイトのルール遵守・マナー向上のため、あえて苦言を呈しますことをご容赦ください。

単に、回答でのお礼ではなく、この質問を”解決”で閉じていただきますよう、お願いします。閉じていただくことにより、適切な回答を寄せた△△△△さんへのお礼のポイントが加算されます。

質問の閉じ方については、　http://www.biz.kotaete-net.net/Docs.aspx?docname=QST4　をご確認ください。

この「答えてねっと for Business」の利用ルール・マナーに対しましては、　http://www.biz.kotaete-net.net/Docs.aspx?docname=TOP1　を今一度ご確認ください。

「答えてねっと for Business」のルール・マナーをご利用・ご協力いただき、ありがとうございます。深く感謝いたします。

WEB魚拓

http://s02.megalodon.jp/2009-0730-1702-52/www.biz.kotaete-net.net/Default.aspx?pgid=14&qid=16073144080