信頼されていない Active Directory ドメインでの管理ポイントの展開手順例

Configuration Manager (現在のブランチ) に適用

この例では、サイト サーバーを含むドメインとの双方向の信頼関係がない Active Directory ドメイン内のサーバーに Configuration Manager 管理ポイント (MP) をインストールする方法を示します。 このシナリオは、境界ネットワーク (DMZ)、パートナー ドメイン、または完全に信頼していない別のネットワーク セグメントに管理を拡張する必要がある場合に一般的です。

ご使用の環境に適用される手順とベスト プラクティスについては、organization のネットワークと Active Directory のドキュメントを確認してください。 この記事の手順を概念実証のリファレンスとして使用します。 運用環境のガイダンスについては、「 Active Directory フォレスト間の通信」を参照してください。

テスト環境

この記事の手順ごとの説明では、次のテスト環境を使用します。

• 信頼されたドメイン (corp.contoso.com): Configuration Managerプライマリ サイト サーバー (SiteServer) とSQL Serverサイト データベース (SQLServer) が含まれます。 サイト コードは P01 です。

• 信頼されていないドメイン (branch.fabrikam.com): 管理ポイント (DMZ-MP) をホストするサーバーが含まれます。 2 つのドメイン間に Active Directory の信頼は存在しません。

• どちらのドメインも Windows Server DNS を使用しており、DNS 条件付きフォワーダーは双方向に構成されているため、各ドメインがもう一方のドメイン内の FQDN を解決できます。

• 両方のドメインにドメイン管理者としてサインインして、すべての手順を実行できます。

展開手順の概要

次の表は、この展開の概要と、各手順が必要な理由を示しています。

手順 1: ドメイン アカウントを作成する

2 つの専用ユーザー アカウントを使用します。 両方のアカウントを有効期限切れのパスワードで構成し、不要な特権を付与しないでください。

信頼されていないドメインでサイト システムのインストール アカウントを作成するには

1. ドメイン管理者アカウントを使用して、 branch.fabrikam.com のドメイン コントローラーにサインインします。

2. [Active Directory ユーザーとコンピューター] を開きます。

3. ナビゲーション ウィンドウで branch.fabrikam.com を展開し、 サービス アカウント 組織単位 (OU) を右クリックして、[ 新規作成>ユーザー] を選択します。

   ヒント

   専用のサービス アカウント OU が存在しない場合は、最初に作成するか、適切な OU にアカウントを配置します。 運用環境の既定の Users コンテナーにサービス アカウントを配置しないでください。

4. 次の設定で [New Object – User (新しいオブジェクト - ユーザー )] ウィザードを完了し、[ 完了] を選択します。

   • 名: svc-cm-dmzmpinstall
   • ユーザー ログオン名: svc-cm-dmzmpinstall
   • パスワード: 有効期限のない強力なパスワードを使用します。
   • [ パスワードを無期限にする] を選択し、[ ユーザーは次回ログオン時にパスワードを変更する必要があります] をオフにします。

5. [Active Directory ユーザーとコンピューター] を閉じます。

信頼されたドメインに MP データベース接続アカウントを作成するには

1. ドメイン管理者アカウントを使用して、 corp.contoso.com のドメイン コントローラーにサインインします。

2. [Active Directory ユーザーとコンピューター] を開きます。

3. ナビゲーション ウィンドウで corp.contoso.com を展開し、サービス アカウント組織単位 (OU) を右クリックして、[新規>ユーザー] を選択します。

4. 次の設定で [New Object – User (新しいオブジェクト - ユーザー )] ウィザードを完了し、[ 完了] を選択します。

   • 名: svc-cm-dmzmpdbconnect
   • ユーザー ログオン名: svc-cm-dmzmpdbconnect
   • パスワード: 有効期限のない強力なパスワードを使用します。
   • [ パスワードを無期限にする] を選択し、[ ユーザーは次回ログオン時にパスワードを変更する必要があります] をオフにします。

5. [Active Directory ユーザーとコンピューター] を閉じます。

管理ポイント サーバー上のローカル管理者グループにインストール アカウントを追加するには

1. ローカルまたはドメイン管理者アカウントを使用して DMZ-MP にサインインします。

2. [ コンピューターの管理] を開き、[ ローカル ユーザーとグループ] を展開して、[ グループ] を選択します。

3. [ 管理者] を右クリックし、[ グループに追加] を選択します。

4. [ 管理者のプロパティ ] ダイアログ ボックスで、[ 追加] を選びます。

5. [ ユーザー、コンピューター、サービス アカウント、またはグループの選択 ] ダイアログ ボックスで、[オブジェクト名] ボックスに「 FABRIKAM\svc-cm-dmzmpinstall 」と入力し、[ 検証する名前の確認] を選択して、[ OK] を選択します。

6. [ OK ] を選択して [管理者のプロパティ] を閉じます。

手順 2: MP 接続アカウントの SQL Server データベースのアクセス許可を付与する

管理ポイントは、サイト データベース内のデータの読み取りと書き込みができる必要があります。 このアクセス権を付与するには、svc-cm-dmzmpdbconnect アカウントをSQL Server ログインとして追加し、必要なデータベース ロールを割り当てます。

SQL Server ログインを作成し、データベース ロールを割り当てるには

1. SQL Server 管理者アカウントで SQLServer にサインインし、SQL Server Management Studioを開きます。

2. オブジェクト エクスプローラーで、[セキュリティ] を展開し、[ログイン] を右クリックして、[新しいログイン] を選択します。

3. [ ログイン - 新規 ] ダイアログ ボックスの [ 全般 ] ページで、次の設定を行います。

   • ログイン名: CORP\svc-cm-dmzmpdbconnectを入力します。
   • [Windows 認証] を選択します。

4. [ Login – New ] ダイアログボックスの左側のペインで、[ User Mapping] を選択します。

5. [このログインにマップされたユーザー] リストで、Configuration Manager サイト データベース (CM_P01など) の横にあるチェックボックスを選択します。

6. ページの下部にある [データベース ロール メンバーシップ ] セクションで、次のロールを選択します。

   • smsdbrole_MP
   • smsdbrole_MPUserSvc

7. [ OK ] を選択してログインを作成します。

8. SQL Server Management Studio を閉じます。

手順 3: ファイアウォール規則を構成する

次の表に、この展開に必要な最小ファイアウォール規則を示します。 corp.contoso.com と branch.fabrikam.com の間のすべてのネットワーク ファイアウォールとホスト ベースの Windows ファイアウォール プロファイルで、これらの規則を構成します。

管理ポイントが CORP フォレスト内のドメイン コントローラーに対して認証を行えるように、またその逆の認証を行うには、次の接続が必要です。 DNS ポートは含まれていません。

手順 4: 管理ポイント サーバーに前提条件をインストールする

管理ポイントの役割を追加する前に、必要な Windows 機能とサポート コンポーネントを DMZ-MP にインストールします。 完全な最新の一覧については、「 サイトとサイト システムの前提条件」を参照してください。

この例では、次の Windows の役割と機能を使用して DMZ-MP を準備します。

• Web サーバー (IIS) の役割と自動選択機能。
• .NET Framework 3.5 機能。
• .NET Framework 4.8 機能。 Windows Server 2022 以降には、既定でこのバージョンが含まれています。
• IIS サーバー拡張機能 ( バックグラウンド インテリジェント転送サービス (BITS) 内)。 機能と自動的に選択されたすべてのオプションを選択します。
• Web サーバー (IIS) の役割サービス: Windows 認証、 ISAPI 拡張機能、 IIS 6 メタベース互換性、 および IIS 6 WMI 互換性

必要な Windows 機能をインストールするには

1. ローカルまたはドメイン管理者アカウントを使用して DMZ-MP にサインインします。

2. 管理者特権の Windows PowerShell セッションを開きます。

3. 次のコマンドを実行します。

   Install-WindowsFeature NET-Framework-Features, NET-Framework-Core, BITS, BITS-IIS-Ext, Web-Server, Web-WebServer, Web-Common-Http, Web-Default-Doc, Web-Dir-Browsing, Web-Http-Errors, Web-Static-Content, Web-Health, Web-Http-Logging, Web-Log-Libraries, Web-Request-Monitor, Web-Http-Tracing, Web-Performance, Web-Stat-Compression, Web-Security, Web-Filtering, Web-Windows-Auth, Web-App-Dev, Web-ISAPI-Ext, Web-Http-Redirect, Web-Mgmt-Tools, Web-Mgmt-Console, Web-Mgmt-Compat, Web-Metabase, Web-WMI -IncludeManagementTools
   

4. Windows が再起動を求め DMZ-MP 場合は再起動します。

手順 5: 管理ポイントの役割をインストールする

この手順では、[サイト システム サーバーの作成] ウィザードを使用して、DMZ-MP に管理ポイントの役割をインストールします。 このウィザードでは、ロールに必要なフォレスト間のアカウントと設定を指定できます。

1. Configuration Manager コンソールで、[管理] ワークスペースに移動します。 [ サイトの構成] を展開し、[ サーバー] と [サイト システムの役割] を選択します。

2. [ ホーム] タブの [ 作成 ] グループで、[ サイト システム サーバーの作成] を選択します。

3. [ 全般 ] ページで、次の設定を行い、[ 次へ] を選択します。

   • 名前: 管理ポイント サーバーの FQDN を入力します: DMZ-MP.branch.fabrikam.com。

   • サイト コード: P01 (または環境に適したサイト コード) を選択します。

   • サイト システムのインストール アカウント: [アカウントの指定] を選択し、「 FABRIKAM\svc-cm-dmzmpinstall」と入力します。

     重要

     ターゲット サーバーが信頼されていないフォレスト内にある場合は、 サイト システムのインストール アカウント を指定する必要があります。 サイト サーバーは、信頼のないフォレスト内のサーバーに対して独自のコンピューター アカウントを使用して認証することはできません。 詳細については、「 サイトのシステムのインストール アカウント」を参照してください。

4. [ 全般 ] ページで、[ このサイト システムへの接続を開始するためにサイト サーバーを要求する] を選択します。

   重要

   DMZ-MP サイト サーバーに接続するためのアクセス許可がありません。 このオプションを選択すると、すべてのデータ転送はサイト サーバーによって開始され、同じ サイト システムのインストール アカウントが使用されます。

5. インターネット エンドポイントにアクセスするためにプロキシ サーバーが必要な場合は、プロキシ ページでDMZ-MPプロキシ サーバーを構成します。 それ以外の場合は、[ Next] を選択します。

6. [システムの役割の選択] ページで、[管理ポイント] を選択し、[次へ] を選択します。

7. [ 管理ポイント ] ページで、次の設定を行い、[ 次へ] を選択します。

   • クライアント接続: HTTPS を選択して、暗号化されたクライアント通信 ( DMZ-MP 上の IIS 既定の Web サイトにバインドされた PKI Web サーバー証明書が必要) または EHTTP を選択します。
   • 管理ポイントが正常でない場合にアラートを生成する: 必要に応じて、管理ポイントが異常なときにコンソール内アラートを受信するには、これを選択します。
   • その他のオプションは既定の設定のままにします。

8. [ 管理ポイントのデータベース接続] ページで、次の設定を行い、[ 次へ] を選択します。

   • サイト データベースを使用します。これは既定の構成です。 サイトにはこの情報が既に含まれているため、SQL Server インスタンスを指定する必要はありません。
   • 管理ポイント データベース接続: [アカウントの指定] を選択し、「 corp.contoso.com\svc-cm-dmzmpdbconnect」と入力します。 FQDN 形式を使用して、管理ポイントが信頼されたドメイン内のアカウントを解決し、SQL Server に対して正常に認証できることを確認します。

     重要

     管理ポイントは信頼されていないドメインの SQL Server に対して直接認証されるため、管理ポイントが信頼されていないドメインまたはフォレスト内にある場合は、管理ポイント接続アカウントを指定する必要があります。 アカウントを DomainFQDN\UserName の形式 ( corp.contoso.com\svc-cm-dmzmpdbconnect など) で指定すると、Kerberos 認証時の名前解決に役立ちます。 詳細については、「 管理ポイント接続アカウント」を参照してください。

9. [ 概要 ] ページで概要を確認し、[ 次へ ] を選んでウィザードを完了します。

10. [完了] ページで [閉じる] を選択します。

手順 6: 管理ポイントのインストールを確認する

ウィザードが終了したら、クライアントをその管理ポイントに転送する前に、管理ポイントが正常にインストールされ、正常であることを確認します。

Configuration Manager コンソールで管理ポイントの状態を確認するには

1. Configuration Manager コンソールで、[監視] ワークスペースに移動します。 [System Status] を展開し、[Component Status] を選択します。

2. DMZ-MP.branch.fabrikam.com で SMS_MP_CONTROL_MANAGER コンポーネントを見つけます。 [ 状態] 列で、状態が [OK] であることを確認します。

   注:

   ウィザードが閉じてから管理ポイントが正常に表示されるまでに最大 30 分かかる場合があります。 ステータスが「警告」または「クリティカル」の場合は、コンポーネントを右クリックし、「メッセージを表示」>「すべて」を選択して、障害の詳細を確認します。 次に、以下に示すログ ファイルを確認します。

3. SMS_MP_FILE_DISPATCH_MANAGER コンポーネントについてチェックを繰り返します。

ログ ファイルを確認して管理ポイントのインストールを確認するには

1. DMZ-MP にサインインし、いずれかのドライブのルートにある SMS フォルダーを見つけます。

2. フォルダーが存在しない場合は、サイト サーバー上の SiteComp.log を確認し、サイト サーバーが DMZ-MP に接続し、 サイト システムのインストール アカウントを使用してインストールを開始したことを確認します。 SMS フォルダーが見つからない場合は、サイト サーバーがDMZ-MPと通信できないか、フォルダーを作成してロールをインストールするアクセス許可がない可能性があります。

3. 管理ポイントのインストールと構成に関連するメッセージについては、 DMZ-MP で次のログ ファイルを確認します。

   ログ ファイル	場所 DMZ-MP	注意点
   MPSetup.log	\SMS\Logs	高レベルの前提条件と MP インストール メッセージ: 特に、 CcmSetup、 msoledbsql.msi、IIS ASPNET45機能と mp.msi。
   MPMSI.log	\SMS\Logs	MP のインストールと MSI ロールバック状態の詳細。 エラー 1603 でインストールが失敗する場合は、このファイルで詳細なエラー メッセージを検索してください。
   CCMSetup.log	%Windir%\CCMSetup\Logs	クライアント バイナリ インストール メッセージと関連する前提条件 (vcredist や Microsoft Policy Platform など)。 インストールは、リターン コード 0 で完了します。
   BGBSetup.log	\SMS\Logs	クライアント通知サーバーのインストール メッセージ: 正常に完了しているかどうかを確認します。

4. MP をインストールした後、 SMS_CCM フォルダーは SMS と同じドライブに表示されます。 クライアントが管理ポイントより前にインストールされている場合は、このフォルダーが表示されないことがあります。 その場合は、インストールされているクライアントの CCM\Logs フォルダーを確認してください。 次に、 DMZ-MP で次のログ ファイルで、サイト サーバーおよびサイト データベースとの管理ポイント通信に関連するメッセージを確認します。

   ログ ファイル	場所 DMZ-MP	注意点
   MpControl.log	\SMS\Logs	定期的な管理ポイントとユーザー サービスの可用性チェック。 成功したチェックはCall to HttpSendRequestSync succeeded for port 443 with status code 200, text: OKに似ています。
   BGBServer.log	\SMS\Logs	クライアント通知 (ファスト チャネル) サーバー レポート。 一般的なエントリには、接続されているクライアントの数 ( Total online clients: 100 (TCP: 99 HTTP: 1)~~ など) が含まれます。
   MPFDM.log	\SMS\Logs	DMZ-MP では、このログには最小限のアクティビティとRemote site is in pull-mode.が含まれている必要があります。 サイト サーバーでは、同じログにファイル移動アクティビティが、 ~Moved file... のようなエントリで示されているはずです。
   MP_Framework.log	\SMS_CCM\Logs	Loaded MP settings cache from reg key HKLM\Software\Microsoft\SMS\MP: Database Settings: などの管理ポイント接続アカウントを使用するデータベース接続メッセージ。 エラーが発生した場合は、失敗した認証または SQL Server 接続の問題を探します。

新しい管理ポイントとのクライアント通信をテストするには

1. branch.fabrikam.com のクライアント コンピューターで、クライアント インストール ファイルをローカル フォルダーにコピーします。 そのフォルダーで管理者特権のコマンド プロンプトを開き、次のコマンドを実行してクライアントを新しい管理ポイントに手動で割り当てます。

   ccmsetup.exe SMSSITECODE=P01 SMSMP=DMZ-MP.branch.fabrikam.com
   

   注:

   MP が HTTPS 用に構成されている場合は、クライアントに登録された PKI クライアント証明書があることを確認し、ccmsetup.exeに /UsePKICert スイッチを含めます。 詳細については、「 クライアントのインストールプロパティについて」を参照してください。

2. %Windir%\CCMSetup\Logs\CCMSetup.log を確認して、正常にインストールされたことを確認します。

3. \SMS_CCM\Logs\ClientIDManagerStartup.logを確認して、クライアントの登録が成功したことを確認します。 [RegTask] - Client is registered. Server assigned ClientID is GUID:00000000-0000-0000-0000-000000000000. Approval status 1 に類似したメッセージを探します。

4. クライアントが Configuration Manager コンソールに表示され、オンライン アイコンが表示されていることを確認します。 コンソール ビューに [管理ポイント ] 列を追加して、クライアントが DMZ-MP.branch.fabrikam.com に割り当てられていることを確認します。

詳細情報

• サイト システムの役割を追加する
• サイト システムの役割をインストールする
• Configuration Manager のサイトおよびサイト システムの前提条件
• Active Directory フォレスト間の通信
• Configuration Manager で使用されるアカウント
• Configuration Manager の PKI 証明書の要件