Configuration Manager (現在のブランチ) に適用
Configuration Manager の検出方法では、ネットワーク上のさまざまなデバイス、Active Directory のデバイスとユーザー、または Microsoft Entra ID のユーザーを検索します。 検出方法を効率的に使用するには、使用可能な構成と制限事項を理解する必要があります。
Active Directory フォレストの検出
構成可能: はい
既定で有効: いいえ
このメソッドの実行に使用できるアカウント:
Active Directory フォレスト アカウント (ユーザー定義)
サイト サーバーのコンピューター アカウント
他の Active Directory 検出方法とは異なり、Active Directory フォレストの検出では、管理できるリソースは検出されません。 代わりに、このメソッドは Active Directory で構成されているネットワークの場所を検出します。 階層全体で使用するために、それらの場所を境界に変換できます。
このメソッドを実行すると、ローカルの Active Directory フォレスト、信頼された各フォレスト、および Configuration Manager コンソールの [Active Directory フォレスト] ノードで構成したその他のフォレストが検索されます。
Active Directory フォレストの検出を使用して、次のことを行います。
Active Directory サイトとサブネットを検出し、それらのネットワークの場所に基づいて Configuration Manager の境界を作成します。
Active Directory サイトに割り当てられているスーパーネットを識別します。 各スーパーネットを IP アドレス範囲の境界に変換します。
フォレストへの発行が有効になっている場合は、フォレスト内の Active Directory Domain Services (AD DS) に発行します。 指定した Active Directory フォレスト アカウントには、そのフォレストへのアクセス許可が必要です。
Active Directory フォレストの検出は、Configuration Manager コンソールで管理できます。 [管理] ワークスペースに移動し、[階層構成] を展開します。
検出方法: Active Directory フォレスト検出を有効にして、階層の最上位サイトで実行できるようにします。 また、ディスカバリーを実行するスケジュールを指定することもできます。 検出した IP サブネットと Active Directory サイトから境界を自動的に作成するように構成します。 Active Directory フォレストの検出は、子プライマリ サイトまたはセカンダリ サイトでは実行できません。
Active Directory フォレスト: 検出する他のフォレストを構成し、各 Active Directory フォレスト アカウントを指定し、各フォレストへの公開を構成します。 検出プロセスを監視します。 IP サブネットと Active Directory サイトを Configuration Manager の境界および境界グループのメンバーとして追加します。
階層内の各サイトで Active Directory フォレストの発行を構成するには、Configuration Manager コンソールを階層の最上位サイトに接続します。 Active Directory サイトの [プロパティ] ダイアログ ボックスの [発行] タブには、現在のサイトとその子サイトのみが表示されます。 フォレストの公開が有効になっていて、そのフォレストのスキーマが Configuration Manager 用に拡張されている場合、その Active Directory フォレストへの公開が有効になっているサイトごとに次の情報が公開されます。
SMS-Site-<site code>SMS-MP-<site code>-<site system server name>SMS-SLP-<site code>-<site system server name>SMS-<site code>-<Active Directory site name or subnet>
注:
セカンダリ サイトは常にセカンダリ サイト サーバーのコンピューター アカウントを使用して Active Directory に発行します。 セカンダリ サイトを Active Directory に発行する場合は、セカンダリ サイト サーバーのコンピューター アカウントに Active Directory に発行するアクセス許可があることを確認します。 セカンダリ サイトは、信頼されていないフォレストにデータを公開できません。
注意
サイトを Active Directory フォレストに公開するオプションのチェックを外すと、使用可能なサイト システムの役割を含む、そのサイトについて以前に公開したすべての情報が Active Directory から削除されます。
Active Directory フォレスト検出のアクションは、次のログに記録されます。
発行に関連するアクションを除くすべてのアクションは、サイト サーバーの <InstallationPath>\Logs フォルダーの ADForestDisc.Log ファイルに記録されます。
Active Directory フォレスト検出の公開アクションは、サイト サーバーの <InstallationPath>\Logs フォルダーにある hman.log ファイルと sitecomp.log ファイルに記録されます。
この検出方法を構成する方法の詳細については、「 検出方法を構成する」を参照してください。
Active Directory グループの検出
構成可能: はい
既定で有効: いいえ
このメソッドの実行に使用できるアカウント:
Active Directory グループ検出アカウント (ユーザー定義)
サイト サーバーのコンピューター アカウント
ヒント
このセクションの情報に加えて、「 Active Directory グループ、システム、およびユーザー検出の一般的な機能」を参照してください。
この方法を使用して、Active Directory Domain Servicesを検索して以下を特定します。
ローカル、グローバル、ユニバーサル セキュリティ グループ。
グループのメンバーシップ。
グループのメンバー コンピューターとユーザーに関する情報が制限的であり、別の検出方法でそれらのコンピューターとユーザーが以前に検出されていない場合でも。
この検出方法は、グループおよびグループのメンバーのグループ関係を識別することを目的としています。 既定では、セキュリティ グループのみが検出されます。 配布グループのメンバーシップも検索する場合は、[Active Directory グループ検出のプロパティ] ダイアログ ボックスの [オプション] タブで、[配布グループのメンバーシップを検索する] オプションのチェック ボックスをチェックする必要があります。
Active Directory グループの検出では、Active Directory システム検出または Active Directory ユーザー検出を使用して識別できる拡張 Active Directory 属性はサポートされていません。 この検出方法はコンピューター リソースとユーザー リソースの検出に最適化されていないため、Active Directory システム検出と Active Directory ユーザー検出を実行した後に、この検出方法を実行することを検討してください。 この推奨事項は、この方法ではグループの完全な検出データレコード (DDR) が作成されますが、グループのメンバーであるコンピューターおよびユーザーの DDR は限定的であるためです。
このメソッドによる情報の検索方法を制御する、次の検出スコープを構成できます。
場所: 1 つ以上の Active Directory コンテナーを検索する場合は、場所を使用します。 このスコープ オプションでは、指定された Active Directory コンテナーの再帰検索がサポートされます。 このプロセスでは、指定したコンテナーの下にある各子コンテナーが検索されます。 子コンテナーが見つからなくなるまで続行されます。
グループ: 1 つ以上の特定の Active Directory グループを検索する場合は、グループを使用します。 既定のドメインとフォレストを使用するように Active Directory ドメインを構成するか、検索を個々のドメイン コントローラーに制限することができます。 さらに、検索するグループを 1 つ以上指定することもできます。 少なくとも 1 つのグループを指定しない場合、指定された Active Directory ドメインの場所にあるすべてのグループが検索されます。
注意
検出スコープを構成するときは、検出する必要があるグループのみを選択します。 この推奨事項は、Active Directory グループの検出が検出スコープ内の各グループの各メンバーを検出しようとするためです。 大規模なグループの検出では、帯域幅と Active Directory リソースを広範囲に使用することが必要になる場合があります。
注:
拡張された Active Directory 属性に基づくコレクションを作成し、コンピューターとユーザーの正確な検出結果を保証するには、検出対象に応じて Active Directory システム検出または Active Directory ユーザー検出を実行します。
Active Directory グループ検出のアクションは、サイト サーバー上の <InstallationPath>\LOGS フォルダーのファイルadsgdis.logに記録されます。
この検出方法を構成する方法の詳細については、「 検出方法を構成する」を参照してください。
Active Directory システム検出
構成可能: はい
既定で有効: いいえ
このメソッドの実行に使用できるアカウント:
Active Directory システム探索アカウント (ユーザー定義)
サイト サーバーのコンピューター アカウント
ヒント
このセクションの情報に加えて、「 Active Directory グループ、システム、およびユーザー検出の一般的な機能」を参照してください。
この検出方法を使用して、指定した Active Directory Domain Services の場所で、コレクションとクエリの作成に使用できるコンピューター リソースを検索します。 クライアント プッシュ インストールを使用して、検出されたデバイスに Configuration Manager クライアントをインストールすることもできます。
既定では、このメソッドは、次の属性を含む、コンピューターに関する基本情報を検出します。
コンピューター名
OS とバージョン
Active Directory コンテナー名
IP アドレス
[Active Directory サイト]
最後のサインインのタイム スタンプ
コンピューターに対して DDR を正常に作成するには、Active Directory システム検出がコンピューター アカウントを識別し、コンピューター名を IP アドレスに正しく解決できる必要があります。
[ Active Directory システム検出のプロパティ ] ダイアログ ボックスの [ Active Directory 属性 ] タブで、検出された既定のオブジェクト属性の完全な一覧を表示できます。 拡張属性を検出するようにメソッドを構成することもできます。
Active Directory システム検出のアクションは、サイト サーバー上の <InstallationPath>\LOGS フォルダーのファイルadsysdis.logに記録されます。
この検出方法を構成する方法の詳細については、「 検出方法を構成する」を参照してください。
Active Directory ユーザー検出
構成可能: はい
既定で有効: いいえ
このメソッドの実行に使用できるアカウント:
Active Directory ユーザー検出アカウント (ユーザー定義)
サイト サーバーのコンピューター アカウント
ヒント
このセクションの情報に加えて、「 Active Directory グループ、システム、およびユーザー検出の一般的な機能」を参照してください。
この検出方法を使用して Active Directory Domain Services を検索し、ユーザー アカウントと関連する属性を識別します。 デフォルトでは、このメソッドは、次の属性を含む、ユーザー アカウントに関する基本情報を検出します。
ユーザー名
ドメイン名を含む一意のユーザー名
ドメイン
Active Directory コンテナー名
[ Active Directory ユーザー検出プロパティ ] ダイアログ ボックスの [ Active Directory 属性 ] タブで、検出したオブジェクト属性の完全な既定の一覧を表示できます。 拡張属性を検出するようにメソッドを構成することもできます。
Active Directory ユーザー検出のアクションは、サイト サーバー上の <InstallationPath>\LOGS フォルダーのファイルadusrdis.logに記録されます。
この検出方法を構成する方法の詳細については、「 検出方法を構成する」を参照してください。
Microsoft Entra ユーザー検出
Microsoft Entra ユーザー検出を使用して、最新のクラウド ID を持つユーザーを Microsoft Entra サブスクリプションで検索します。 Microsoft Entra ユーザー検出では、次の属性を見つけることができます。
objectIddisplayNamemailmailNicknameonPremisesSecurityIdentifieruserPrincipalNametenantIDonPremisesDomainNameonPremisesSamAccountNameonPremisesDistinguishedName
このメソッドでは、Microsoft Entra ID からのユーザー属性の完全同期と差分同期がサポートされています。 この情報は、他の検出方法から収集した検出データと併用できます。
ユーザー検出Microsoft Entra操作は、階層の最上位サイト サーバー上のSMS_AZUREAD_DISCOVERY_AGENT.logファイルに記録されます。
Microsoft Entra ユーザー検出を構成するには、「クラウド管理用の Azure サービスの構成」を参照してください。 この検出方法を構成する方法の詳細については、「Microsoft Entra ユーザー検出の構成」を参照してください。
Microsoft Entra ユーザー グループの検出
ユーザー グループとそのグループのメンバーは、Microsoft Entra ID から検出できます。 Microsoft Entra ユーザー グループの検出では、次の属性を見つけることができます。
objectIddisplayNamemailNicknameonPremisesSecurityIdentifiertenantID
ユーザー グループ検出Microsoft Entra操作は、階層の最上位サイト サーバー上のSMS_AZUREAD_DISCOVERY_AGENT.logファイルに記録されます。 この検出方法を構成する方法については、「Microsoft Entra ユーザー グループ検出の構成」を参照してください。
ハートビート検出
構成可能: はい
既定で有効: はい
このメソッドの実行に使用できるアカウント:
- サイト サーバーのコンピューター アカウント
ハートビート検出は、他の Configuration Manager 検出方法とは異なります。 これは既定で有効になっており、サイト サーバーではなく各コンピューター クライアントで実行して DDR を作成します。 Configuration Manager クライアントのデータベース レコードを維持するために、ハートビート検出を無効にしないでください。 データベース レコードを維持するだけでなく、新しいリソース レコードとしてコンピューターを強制的に検出できます。 また、データベースから削除されたコンピューターのデータベース レコードを再設定することもできます。
ハートビート検出は、階層内のすべてのクライアントに対して構成されたスケジュールで実行されます。 ハートビート検出の既定のスケジュールは、7 日ごとに設定されています。 ハートビートの検出間隔を変更する場合は、サイト メンテナンス タスクの 「古い検出データの削除」よりも頻繁に実行されることを確認してください。 このタスクは、サイト データベースから非アクティブなクライアント レコードを削除します。 [古い検出データの削除] タスクは、プライマリ サイトに対してのみ構成できます。
特定のクライアントでハートビート検出を手動で実行することもできます。 クライアントの Configuration Manager コントロール パネルの [操作] タブで、探索データ収集サイクルを実行します。
ハートビート検出が実行されると、クライアントの現在の情報を含む DDR が作成されます。 次に、クライアントはこの小さなファイルを管理ポイントにコピーして、プライマリ サイトが処理できるようにします。 ファイルのサイズは約 1 KB で、次の情報が含まれています。
ネットワークの場所
NetBIOS 名
クライアント エージェントのバージョン
操作状態の詳細
ハートビート検出は、クライアントのインストール状態に関する詳細を提供する唯一の検出方法です。 これを行うには、システム リソース クライアント属性を更新して値が Yes に等しくなります。
ハートビート検出のアクションは、クライアントの %Windir%\CCM\Logs フォルダー内の InventoryAgent.log ファイルに記録されます。
この検出方法を構成する方法の詳細については、「 検出方法を構成する」を参照してください。
ネットワーク検出
構成可能: はい
既定で有効: いいえ
このメソッドの実行に使用できるアカウント:
- サイト サーバーのコンピューター アカウント
このメソッドを使用して、ネットワークのトポロジを検出し、IP アドレスを持つネットワーク上のデバイスを検出します。 ネットワーク探索では、以下のソースをクエリしてネットワーク内で IP 対応リソースを検索します。
- Microsoft 実装の DHCP を実行するサーバー
- ネットワーク ルーターのアドレス解決プロトコル (ARP) キャッシュ
- SNMP 対応デバイス
- Active Directory ドメイン
ネットワーク探索を使用する前に、実行する検出 のレベル を指定する必要があります。 また、ネットワーク探索でネットワーク セグメントまたはデバイスのクエリを実行できるようにする 1 つ以上の検出メカニズムも構成します。 また、ネットワーク上の検出アクションを制御するのに役立つ設定を構成することもできます。 最後に、ネットワーク探索が実行されるタイミングのスケジュールを 1 つ以上定義します。
この方法でリソースを正常に検出するには、ネットワーク検出でリソースの IP アドレスとサブネット マスクを識別する必要があります。 オブジェクトのサブネット マスクを識別するには、次の方法を使用します。
ルーターの ARP キャッシュ: ネットワーク探索は、ルーターの ARP キャッシュを照会してサブネット情報を検索します。 通常、ルータの ARP キャッシュ内のデータの存続期間は短くなります。 したがって、ネットワーク探索が ARP キャッシュをクエリすると、ARP キャッシュに要求されたオブジェクトに関する情報が含まれていない可能性があります。
DHCP: ネットワーク探索では、指定した各 DHCP サーバーにクエリを実行して、DHCP サーバーがリースを提供したデバイスを検出します。 ネットワーク探索では、Microsoft 実装の DHCP を実行する DHCP サーバーのみがサポートされます。
SNMP デバイス: ネットワーク探索では、SNMP デバイスに直接クエリを実行できます。 ネットワーク探索でデバイスにクエリを実行するには、デバイスにローカル SNMP エージェントがインストールされている必要があります。 また、SNMP エージェントが使用しているコミュニティ名を使用するようにネットワーク探索を構成します。
検出によって IP アドレス指定可能なオブジェクトが識別され、オブジェクトのサブネット マスクを特定できる場合は、そのオブジェクトの DDR が作成されます。 ネットワークに接続するデバイスの種類は異なるため、ネットワーク探索は Configuration Manager クライアントをサポートしていないリソースを検出します。 たとえば、検出はできるが管理できないデバイスには、プリンターやルーターなどがあります。
ネットワーク探索は、作成する検出レコードの一部として、いくつかの属性を返すことができます。 これらの属性には次のものが含まれます。
NetBIOS 名
IP アドレス
リソース ドメイン
システムの役割
SNMP コミュニティ名
MAC アドレス
ネットワーク検出アクティビティは、検出を実行するサイト サーバー上の InstallationPath>\Logs の Netdisc.log ファイルに記録されます。
この検出方法を構成する方法の詳細については、「 検出方法を構成する」を参照してください。
注:
複雑なネットワークや低帯域幅の接続では、ネットワーク検出の実行に時間がかかり、大量のネットワーク トラフィックが生成される可能性があります。 他の検出方法では、検出する必要があるリソースが見つからない場合にのみ、ネットワーク探索を実行します。 たとえば、ネットワーク探索を使用してワークグループのコンピューターを検出します。 他の検出方法では、ワークグループ コンピューターは検出されません。
ネットワーク検出のレベル
ネットワーク探索を構成するときは、次の 3 つのレベルの検出のいずれかを指定します。
| 検出のレベル | 詳細 |
|---|---|
| トポロジ | このレベルでは、ルーターとサブネットは検出されますが、オブジェクトのサブネット マスクは識別しません。 |
| トポロジとクライアント | トポロジに加えて、このレベルでは、コンピューターなどの潜在的なクライアントや、プリンターやルーターなどのリソースも発見されます。 このレベルの検出では、検出されたオブジェクトのサブネット マスクの識別が試行されます。 |
| トポロジ、クライアント、およびクライアント オペレーティング システム | このレベルでは、トポロジと潜在的なクライアントに加えて、コンピューターのオペレーティング システムの名前とバージョンの検出も試みます。 このレベルでは、Windows ブラウザーと Windows ネットワーク呼び出しが使用されます。 |
レベルが増分されるごとに、ネットワーク探索のアクティビティとネットワーク帯域幅の使用量が増加します。 ネットワーク探索のすべての側面を有効にする前に、生成される可能性のあるネットワーク トラフィックを検討してください。
たとえば、ネットワーク探索を初めて使用するときは、ネットワーク インフラストラクチャを識別するためにトポロジ レベルのみから開始する場合があります。 次に、ネットワーク探索を再構成して、オブジェクトとそのデバイス オペレーティング システムを検出します。 また、ネットワーク探索を特定の範囲のネットワーク セグメントに制限する設定を構成することもできます。 そうすることで、必要なネットワーク上の場所にあるオブジェクトを検出し、不要なネットワーク トラフィックを回避できます。 このプロセスにより、エッジ ルーターやネットワーク外のオブジェクトを検出することもできます。
ネットワーク探索オプション
ネットワーク探索を有効にして IP アドレス指定可能なデバイスを検索するには、次のオプションを 1 つ以上構成します。
注:
ネットワーク探索は、検出を実行するサイト サーバーのコンピューター アカウントのコンテキストで実行されます。 コンピューター アカウントに信頼されていないドメインへのアクセス許可がない場合、ドメインおよび DHCP サーバーの構成でリソースの検出に失敗する可能性があります。
DHCP
ネットワーク探索でクエリを実行する各 DHCP サーバーを指定します。 ネットワーク探索では、Microsoft 実装の DHCP を実行する DHCP サーバーのみがサポートされます。
ネットワーク探索では、DHCP サーバー上のデータベースへのリモート プロシージャ コールを使用して情報を取得します。
ネットワーク探索では、32 ビットと 64 ビットの両方の DHCP サーバーに照会して、各サーバーに登録されているデバイスの一覧を取得できます。
ネットワーク探索で DHCP サーバーへのクエリを正常に実行するには、検出を実行するサーバーのコンピューター アカウントが、DHCP サーバー上の DHCP ユーザー グループのメンバーである必要があります。 たとえば、次のステートメントのいずれかに該当する場合、このレベルのアクセスが存在します
指定された DHCP サーバーは、検出を実行するサーバーの DHCP サーバーです。
検出を実行するコンピューターと DHCP サーバーが同じドメイン内にある。
探索を実行するコンピューターと DHCP サーバーの間には双方向の信頼が存在します。
サイト サーバーは、DHCP ユーザー グループのメンバーです。
ネットワーク探索で DHCP サーバーを列挙しても、静的 IP アドレスが常に検出されるとは限りません。 ネットワーク検出では、DHCP サーバー上の除外された範囲の IP アドレスの一部である IP アドレスが検出されません。 また、手動割り当て用に予約されている IP アドレスも検出されません。
ドメイン
ネットワーク探索でクエリを実行するドメインごとに指定します。
検出を実行するサイト サーバーのコンピューター アカウントには、指定した各ドメイン内のドメイン コントローラーを読み取るためのアクセス許可が必要です。
ローカル ドメインからコンピューターを検出するには、少なくとも 1 台のコンピューターで Computer ブラウザー サービスを有効にする必要があります。 このコンピューターは、ネットワーク探索を実行するサイト サーバーと同じサブネット上に存在する必要があります。
ネットワーク探索では、ネットワークを参照するときにサイト サーバーから表示できる任意のコンピューターを検出できます。
ネットワーク探索により IP アドレスが取得されます。 次に、インターネット制御メッセージ プロトコル (ICMP) エコー要求を使用して、見つかった各デバイスに ping を実行します。 ping コマンドは、現在アクティブなコンピューターを特定するのに役立ちます。
SNMP デバイス
ネットワーク探索でクエリを実行する各 SNMP デバイスを指定します。
ネットワーク探索は、クエリに応答する任意の SNMP デバイスから
ipNetToMediaTable値を取得します。 この値は、クライアント コンピューターまたはその他のリソース (プリンター、ルーター、その他の IP アドレス指定可能なデバイスなど) である IP アドレスの配列を返します。デバイスにクエリを実行するには、デバイスの IP アドレスまたは NetBIOS 名を指定する必要があります。
デバイスのコミュニティ名を使用するようにネットワーク探索を構成するか、デバイスが SNMP ベースのクエリを拒否します。
ネットワーク探索の制限
ネットワーク探索がネットワークの端にある SNMP デバイスにクエリを実行すると、ネットワーク探索は、即時ネットワークの外部にあるサブネットおよび SNMP デバイスに関する情報を識別できます。 次の情報を使用して、ネットワーク探索を制限します。探索が通信できる SNMP デバイスを構成し、クエリを実行するネットワーク セグメントを指定します。
サブネット
ネットワーク探索が SNMP および DHCP オプションを使用する場合にクエリを実行するサブネットを構成します。 これら 2 つのオプションでは、有効なサブネットのみが検索されます。
たとえば、DHCP 要求は、ネットワーク全体の場所からデバイスを返すことができます。 特定のサブネット上のデバイスのみを検出する場合は、[ネットワーク探索のプロパティ] ダイアログ ボックスの [サブネット] タブで特定のサブネットを指定して有効にします。 サブネットを指定して有効にすると、今後の DHCP および SNMP 検出タスクがこれらのサブネットに制限されます。
注:
サブネット構成では、 ドメイン検出オプション が検出するオブジェクトは制限されません。
SNMP コミュニティ名
ネットワーク探索を有効にして SNMP デバイスのクエリを正常に実行するには、デバイスのコミュニティ名を使用してネットワーク探索を構成します。 SNMP デバイスのコミュニティ名を使用してネットワーク探索が構成されていない場合、デバイスはクエリを拒否します。
最大ホップ数
ルーター ホップの最大数を構成する場合は、SNMP を使用してネットワーク探索がクエリを実行できるネットワーク セグメントとルーターの数を制限します。
構成するホップ数によって、ネットワーク探索が照会できるデバイスとネットワーク セグメントの数が制限されます。
たとえば、ルーター ホップが 0 (ゼロ) のトポロジのみの検出では、発信元サーバーが存在するサブネットが検出されます。 これには、そのサブネット上のすべてのルーターが含まれます。
次の図は、トポロジのみのネットワーク探索クエリが、0 個のルーター ホップ (サブネット D とルーター 1) を指定してサーバー 1 で実行した場合に検出される内容を示しています。
次の図は、トポロジとクライアント ネットワーク検出クエリが、0 個のルーター ホップを指定してサーバー 1 (サブネット D とルーター 1、およびサブネット D 上のすべての潜在的なクライアント) で実行した場合に検出される内容を示しています。
ルーター ホップを増やすと、検出されるネットワーク リソースの量がどのように増えるかをよりよく理解するには、次のネットワークについて検討します。
1 つのルーター ホップを使用してサーバー 1 からトポロジのみのネットワーク検出を実行すると、次のエンティティが検出されます。
ルーター 1 とサブネット 10.1.10.0 (0 ホップで検出)
サブネット 10.1.20.0 および 10.1.30.0、サブネット A、およびルーター 2 (最初のホップにあります)
警告
ルーター ホップ数を増やすたびに、検出可能なリソースの数が大幅に増加し、ネットワーク探索で使用されるネットワーク帯域幅が増加する可能性があります。
サーバーの検出
構成可能: いいえ
ユーザーが構成可能な検出メソッドに加えて、Configuration Manager ではサーバー検出 (SMS_WINNT_SERVER_DISCOVERY_AGENT) という名前のプロセスが使用されます。 この検出方法では、管理ポイントとして構成されているコンピューターなど、サイト システムであるコンピューターのリソース レコードが作成されます。
Active Directory グループ検出、システム検出、およびユーザー検出の一般的な機能
このセクションでは、次の検出方法に共通する機能について説明します。
Active Directory グループの検出
Active Directory システム検出
Active Directory ユーザー検出
注:
このセクションの情報は、Active Directory フォレストの検出には適用されません。
これら 3 つの検出方法は、構成と操作が似ています。 コンピューター、ユーザー、および Active Directory Domain Services に保存されているリソースのグループ メンバーシップに関する情報を検出できます。 ディスカバリー・プロセスは、ディスカバリー・エージェントによって管理されます。 エージェントは、検出を実行するように構成されている各サイトのサイト サーバーで実行されます。 これらの各検出方法を構成すると、1 つ以上の Active Directory の場所をローカル フォレストまたはリモート フォレスト内の場所インスタンスとして検索できます。
検出で信頼されていないフォレストでリソースが検索される場合、検出エージェントが正常に実行されるようにするには、次の問題を解決できなければなりません。
Active Directory システム検出を使用してコンピューター リソースを検出するには、検出エージェントがリソースの FQDN を解決できる必要があります。 FQDN を解決できない場合は、NetBIOS 名を使用してリソースの解決を試みます。
Active Directory ユーザー検出または Active Directory グループ検出を使用してユーザーまたはグループ リソースを検出するには、検出エージェントが Active Directory の場所に指定したドメイン コントローラー名の FQDN を解決できる必要があります。
指定する場所ごとに、場所の Active Directory 子コンテナーの再帰検索を有効にするなど、個々の検索オプションを構成できます。 また、その場所を検索するときに使用する一意のアカウントを構成することもできます。 このアカウントを使用すると、1 つのサイトで検出方法を構成し、複数のフォレストにまたがって複数の Active Directory の場所を検索する柔軟性が提供されます。 すべての場所へのアクセス許可を持つ 1 つのアカウントを構成する必要はありません。
これらの 3 つの検出方法のそれぞれが特定のサイトで実行されている場合、そのサイトの Configuration Manager サイト サーバーは、指定された Active Directory フォレスト内の最も近いドメイン コントローラーに接続して、Active Directory リソースを検索します。 ドメインとフォレストは、サポートされている任意の Active Directory モードにすることができます。 各場所のインスタンスに割り当てるアカウントには、指定した Active Directory の場所への 読み取り アクセス許可が必要です。
ディスカバリーでは、指定した場所でオブジェクトを検索し、それらのオブジェクトに関する情報を収集しようとします。 リソースに関する十分な情報を特定できた場合に DDR が作成されます。 必要な情報は、使用している検出方法によって異なります。
同じ検出方法を別の Configuration Manager サイトで実行するように構成し、ローカルの Active Directory サーバーへのクエリを利用する場合、各サイトに固有の検出オプションのセットを構成できます。 検出データは階層内の各サイトと共有されるため、これらの構成間の重複を避けて、各リソースを 1 回効率的に検出します。
小規模な環境の場合は、階層内の 1 つのサイトでのみ各検出方法を実行することを検討してください。 この構成により、管理オーバーヘッドが削減され、同じリソースを再検出するために複数の検出操作を行う可能性が軽減されます。 検出を実行するサイトの数を最小限に抑えると、検出で使用する全体的なネットワーク帯域幅が削減されます。 また、作成されてサイト サーバーで処理する必要がある DDR の総数を減らすこともできます。
検出メソッドの構成の多くは、一目瞭然です。 構成前に追加情報が必要になる可能性がある検出オプションの詳細については、次のセクションを参照してください。
次のオプションは、複数の Active Directory 検出方法で使用できます。
差分検出
以下で使用できます:
Active Directory グループの検出
Active Directory システム検出
Active Directory ユーザー検出
差分検出は独立した検出方法ではありませんが、適用可能な検出方法で使用できるオプションです。 差分検出では、該当する検出方法の前回の完全検出サイクル以降に行われた変更について、特定の Active Directory 属性を検索します。 属性の変更は、リソースの検出レコードを更新するために Configuration Manager データベースに送信されます。
既定では、差分検出は 5 分のサイクルで実行されます。 このスケジュールは、完全な検出サイクルの一般的なスケジュールよりもはるかに頻繁です。 このような頻繁なサイクルが可能なのは、デルタ検出が使用するサイト サーバーとネットワーク リソースが完全検出サイクルよりも少ないためです。 差分検出を使用すると、その検出方法の全検出サイクルの頻度を減らすことができます。
差分検出で検出される最も一般的な変更は次のとおりです。
Active Directory に追加された新しいコンピューターまたはユーザー
基本的なコンピューター情報とユーザー情報の変更
グループに追加される新しいコンピューターまたはユーザー
グループから削除されたコンピューターまたはユーザー
システム グループ オブジェクトに対する変更
差分検出では、新しいリソースやグループ メンバーシップの変更を検出できますが、リソースが Active Directory からいつ削除されたかは検出できません。 デルタ検出で作成された DDR は、完全検出サイクルで作成される DDR と同様に処理されます。
デルタ検出は、各検出方法のプロパティの [ ポーリング スケジュール] タブで構成します。
ドメイン サインインによる古いコンピューター レコードのフィルター処理
以下で使用できます:
Active Directory グループの検出
Active Directory システム検出
古いコンピューター レコードを持つコンピューターを除外するように検出を構成できます。 この除外は、コンピューターの最後のドメイン サインインに基づきます。 このオプションを有効にすると、Active Directory システム検出は、識別した各コンピューターを評価します。 Active Directory グループの検出では、検出されたグループのメンバーである各コンピューターが評価されます。
このオプションを使用するには:
コンピューターは、Active Directory Domain Services で
lastLogonTimeStamp属性を更新するように構成する必要があります。Active Directory ドメインの機能レベルは、Windows Server 2003 以降に設定する必要があります。
この設定に使用する最後のサインイン後の時間を構成するときは、ドメイン コントローラー間のレプリケーションの間隔を考慮してください。
フィルターは、[Active Directory システム探索のプロパティ] ダイアログ ボックスと [Active Directory グループ探索のプロパティ] ダイアログ ボックスの [オプション] タブで構成します。 [指定した 期間内にドメインにログオンしたコンピューターのみを検出する] を選択します。
警告
このフィルターを構成し、[ 古いレコードをコンピューター パスワードでフィルター処理する] を指定すると、どちらかのフィルターの条件を満たすコンピューターが検出で除外されます。
古いレコードをコンピューター パスワードでフィルター処理する
以下で使用できます:
Active Directory グループの検出
Active Directory システム検出
古いコンピューター レコードを持つコンピューターを除外するように検出を構成できます。 この除外は、コンピューターによる最後のコンピューター アカウント パスワードの更新に基づきます。 このオプションを有効にすると、Active Directory システム検出は、識別した各コンピューターを評価します。 Active Directory グループの検出では、検出されたグループのメンバーである各コンピューターが評価されます。
このオプションを使用するには:
- コンピューターは、Active Directory Domain Services で
pwdLastSet属性を更新するように構成する必要があります。
このオプションを構成するときは、この属性の更新間隔を考慮してください。 ドメイン コントローラー間のレプリケーション間隔も考慮してください。
フィルターは、[Active Directory システム探索のプロパティ] ダイアログ ボックスと [Active Directory グループ探索のプロパティ] ダイアログ ボックスの [オプション] タブで構成します。 [ 特定の期間内にコンピューター アカウント パスワードを更新したコンピューターのみを検出する] を選択します。
警告
このフィルターと [ドメイン ログオンで古いレコードをフィルター処理する] を構成すると、検出では、いずれかのフィルターの条件を満たすコンピューターが除外されます。
カスタマイズされた Active Directory 属性を検索する
以下で使用できます:
Active Directory システム検出
Active Directory ユーザー検出
各検出方法は、検出可能な Active Directory 属性の一意のリストをサポートします。
カスタマイズされた属性のリストは、[Active Directory システム検出のプロパティ] ダイアログ ボックスと [Active Directory ユーザー検出プロパティ] ダイアログ ボックスの [Active Directory 属性] タブで表示および構成できます。