・FSMOサーバー(残るDC)を降格DCのDNS(TCP/IP)の第一順位にしておく
でないと残るFSMOサーバー側にてエラーが出る
降格するDC DCPROMOを実行すると、netlogonサービスの停止に失敗
残るDC DNS動的更新に失敗
DNSを見ると降格するDCのレコードが残る
2016年3月3日木曜日
GPO
ココが詳しい
http://www.itserviceknowledgebase.com/article/214575333.html
以下、内容です。
最近グループポリシーに関する話題が節電を始め渦巻いています。
7/6追記 グループポリシー ・ 適用されない の検索でとても本記事が人気なため追記させて頂きます。
以下の設定でグループポリシー(GPO)が適用されないといったことがまったく無くなります。
いまの環境を確認し最適化を行いトラブルコールとインシデントの数を減らしましょう。
１．サブネットを設定する
ActiveDirectory サイトとサービスで設定が可能。
http://itpro.nikkeibp.co.jp/article/Windows/20051013/222700/zu02.html?ST=win
*ITpro
Q サブネットとは
Active Directoryでは，コンピュータが属する立地的な配置関係を表す「サイト」という概念があり，これを利用してログオンするDCをある程度制限できます。サイトが設定された環境では，通常以下のようにログオンを行おうとします。
・サイトにクライアントのサブネット（ネットワーク・アドレス）が関連付けられていれば，そのサイト内に存在する任意のDCにログオンします。
*ITpro
特にリダイレクと機能がサブネットを設定しないと初回ログイン時に機能しないことを私は結構実感しています。特に初回ログイン時に当たらなくて困っている！といったかたは設定してみてください。
２．低速リンクが有効になっていないか確認する。
GPOは回線速度が遅いとデフォルトでGPOの機能を抑制します。
低速リンクが有効になっているかどうかは・・・
スタート → ファイル名を指定して実行 → cmd → gpresult /z
と入力することを確認が可能です。
低速リンクで接続 ： いいえ （←こちらがはいの場合GPOが抑制されフォルダリダイレクトなどが適用されません。一部GPOは適用）
---
*一部とは
低速接続が検出された場合、デフォルトの動作は次のようになります。
デフォルトで適用されるポリシー
レジストリ設定 (管理用テンプレート) が常に適用される必要があります。-- これは変更できません。
セキュリティ ポリシーが常に適用される必要があります。-- これは変更できません。
EFS 回復ポリシー。
IP セキュリティ。
適用されないポリシー
アプリケーションの展開。
スクリプト。
フォルダ リダイレクト。
ディスク クォータ。
---
無効にするには
Gpoで低速リンクの無効が可能です。
*画像がよくないですが添付しておきます。
３．gpresult /zで現在の適用状況を確認。
先ほども利用したこちらのコマンドですが、
グループポリシーの欄で現在適用されているグループポリシーを確認できます。
４．gpupdate /forceでグループポリシーを再割り当てする
こちらを行うと現在のグループポリシー情報を捨ててグループポリシーを再取得します。
実行後にはログオフ・ログインが必要になります。
こちらとgpresult /zを扱うのが一般的なトラブルシューティングになります。
５．メーカからのLANドライバに関する最新パッチを適用する。
メーカーによってはLAN
ドライバの不具合によりGPOが適用されないことが少なからずあるようです。
１～４で改善されない場合はLANドライバを疑ってみましょう。
【7/6追記】６．新規作成したアカウントや端末の場合、対象のOUへアカウントへを移動し忘れていないか確認する。
OUに対してグループポリシーは設定を割り当てることになります。
対象アカウントがOUに入っていない時は右クリック⇒移動で対象のOUに移動しましょう。
【7/6追記】７．ファイアウォールを確認し、下図のポートを開放する。
昨今、ファイアウォールを導入する企業は増えております。念のための確認になりますが、ポートが空いているか確認しましょう。
注：既定の一時ポートは Windows XP と Windows Vista で異なりますので注意が必要です。
Windows XP および Windows Server 2003 : 1025-5000
Windows Vista および Windows Server 2008 : 49152-65535
Windows2008R2公開時に新規で追加されたもようです。
記載が多いですがこちらも必読となります。
http://support.microsoft.com/kb/832017/ja#method5
【7/6追記】８．ping ドメインサーバ -t -l 2048を実行しping疎通ができるか確認する。
グループポリシーの適用時に2048bitのping疎通を端末からドメインサーバに送信します。
こちらの応答にReplyしないとドメインコントローラからグループポリシーが配布されません。
以下のレジストリを追加すると解消されます。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
こちらにDWORDでPingBufferSizeを作成。値をルーターの最大値等に設定います。だいたいは1024程度で良いかとおもいます。
【8/4追記】９．アプリケーション ログに "イベント ID 1058" および "イベント ID 1030" エラーが記録される場合
イベントログに記載されるエラーに対する対応について追記です。
この問題は、以下の両方の条件に該当する場合に発生することがあります。
• Windows XP ベースのコンピュータがドメインのメンバになっています。
• Microsoft 分散ファイル システム (DFS) クライアントが無効になっています。
[スタート] ボタンをクリックし、[ファイル名を指定して実行] をクリックします。
2. [名前] ボックスに regedt32 と入力し、[OK] をクリックします。
3. [レジストリ エディタ] ウィンドウで、以下のレジストリ キーを見つけます。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Mup
4. 右側のウィンドウで、[DisableDFS] をダブルクリックします。
[値のデータ] ボックスの値を 1 に設定すると、DFS クライアントが無効になります。
[値のデータ] ボックスの値を 0 に設定すると、DFS クライアントが有効になります。
5. [DWORD 値の編集] ダイアログ ボックスの [値のデータ] ボックスに 0 と入力し、[OK] をクリックします。
6. [ファイル] メニューの [レジストリ エディタの終了] をクリックして、レジストリ エディタを終了します。
さらに、インターフェイス上で Microsoft ネットワーク用ファイルとプリンタ共有を有効にします。有効にするには、次の手順を実行します。
1. [スタート] ボタンをクリックし、[接続] をポイントし、[すべての接続の表示] をクリックします。
2. 目的の接続を右クリックし、[プロパティ] をクリックします。
3. [全般] タブをクリックします。
4. [この接続は次の項目を使用します] ボックスの一覧の [Microsoft ネットワーク用ファイルとプリンタ共有] の横にあるチェック ボックスがオンになっていることを確認し、[OK] をクリックします。
【8/4追記】１０．ログ ファイル (Userenv.log)の解析
ここまで来ると個別の解析が必要です。
ログの保存先：%Systemroot%\Debug\UserMode\Userenv.log
(通常、ユーザーに適用するグループ ポリシー オブジェクトの一覧を列挙する際の一般的なエラーの根本的原因が示されています。)
設定方法：
レジストリ エディタを使用して、以下のレジストリ エントリを追加するか、既に存在する場合は編集します。 スタート⇒ファイル名を指定して実行⇒regedit
サブキー :
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
エントリ : UserEnvDebugLevel
種類 : REG_DWORD
値のデータ : 10002 (16 進) UserEnvDebugLevel には以下の値を設定できます。
NONE : 0x00000000
NORMAL : 0x00000001
VERBOSE : 0x00000002
LOGFILE : 0x00010000
DEBUGGER : 0x00020000
デフォルト値は NORMAL|LOGFILE (0x00010001) です。
Userenv.logが保存されたらフレーズを確認しMSサイトで検索しましょう。
http://support.microsoft.com/?ln=ja
※ ログを無効にするには、NONE (0x00000000) を指定します。
もし解決に至らなかったりその他の方法で改善された場合、
是非ともコメントお願い致します。あなたの１文が何千ものパソコンと管理者を救います。
仕事を効率化してトラブルを減らしましょう！
http://www.itserviceknowledgebase.com/article/214575333.html
以下、内容です。
最近グループポリシーに関する話題が節電を始め渦巻いています。
7/6追記 グループポリシー ・ 適用されない の検索でとても本記事が人気なため追記させて頂きます。
以下の設定でグループポリシー(GPO)が適用されないといったことがまったく無くなります。
いまの環境を確認し最適化を行いトラブルコールとインシデントの数を減らしましょう。
１．サブネットを設定する
ActiveDirectory サイトとサービスで設定が可能。
http://itpro.nikkeibp.co.jp/article/Windows/20051013/222700/zu02.html?ST=win
*ITpro
Q サブネットとは
Active Directoryでは，コンピュータが属する立地的な配置関係を表す「サイト」という概念があり，これを利用してログオンするDCをある程度制限できます。サイトが設定された環境では，通常以下のようにログオンを行おうとします。
・サイトにクライアントのサブネット（ネットワーク・アドレス）が関連付けられていれば，そのサイト内に存在する任意のDCにログオンします。
*ITpro
特にリダイレクと機能がサブネットを設定しないと初回ログイン時に機能しないことを私は結構実感しています。特に初回ログイン時に当たらなくて困っている！といったかたは設定してみてください。
２．低速リンクが有効になっていないか確認する。
GPOは回線速度が遅いとデフォルトでGPOの機能を抑制します。
低速リンクが有効になっているかどうかは・・・
スタート → ファイル名を指定して実行 → cmd → gpresult /z
と入力することを確認が可能です。
低速リンクで接続 ： いいえ （←こちらがはいの場合GPOが抑制されフォルダリダイレクトなどが適用されません。一部GPOは適用）
---
*一部とは
低速接続が検出された場合、デフォルトの動作は次のようになります。
デフォルトで適用されるポリシー
レジストリ設定 (管理用テンプレート) が常に適用される必要があります。-- これは変更できません。
セキュリティ ポリシーが常に適用される必要があります。-- これは変更できません。
EFS 回復ポリシー。
IP セキュリティ。
適用されないポリシー
アプリケーションの展開。
スクリプト。
フォルダ リダイレクト。
ディスク クォータ。
---
無効にするには
Gpoで低速リンクの無効が可能です。
*画像がよくないですが添付しておきます。
３．gpresult /zで現在の適用状況を確認。
先ほども利用したこちらのコマンドですが、
グループポリシーの欄で現在適用されているグループポリシーを確認できます。
４．gpupdate /forceでグループポリシーを再割り当てする
こちらを行うと現在のグループポリシー情報を捨ててグループポリシーを再取得します。
実行後にはログオフ・ログインが必要になります。
こちらとgpresult /zを扱うのが一般的なトラブルシューティングになります。
５．メーカからのLANドライバに関する最新パッチを適用する。
メーカーによってはLAN
ドライバの不具合によりGPOが適用されないことが少なからずあるようです。
１～４で改善されない場合はLANドライバを疑ってみましょう。
【7/6追記】６．新規作成したアカウントや端末の場合、対象のOUへアカウントへを移動し忘れていないか確認する。
OUに対してグループポリシーは設定を割り当てることになります。
対象アカウントがOUに入っていない時は右クリック⇒移動で対象のOUに移動しましょう。
【7/6追記】７．ファイアウォールを確認し、下図のポートを開放する。
昨今、ファイアウォールを導入する企業は増えております。念のための確認になりますが、ポートが空いているか確認しましょう。
注：既定の一時ポートは Windows XP と Windows Vista で異なりますので注意が必要です。
Windows XP および Windows Server 2003 : 1025-5000
Windows Vista および Windows Server 2008 : 49152-65535
Windows2008R2公開時に新規で追加されたもようです。
記載が多いですがこちらも必読となります。
http://support.microsoft.com/kb/832017/ja#method5
【7/6追記】８．ping ドメインサーバ -t -l 2048を実行しping疎通ができるか確認する。
グループポリシーの適用時に2048bitのping疎通を端末からドメインサーバに送信します。
こちらの応答にReplyしないとドメインコントローラからグループポリシーが配布されません。
以下のレジストリを追加すると解消されます。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
こちらにDWORDでPingBufferSizeを作成。値をルーターの最大値等に設定います。だいたいは1024程度で良いかとおもいます。
【8/4追記】９．アプリケーション ログに "イベント ID 1058" および "イベント ID 1030" エラーが記録される場合
イベントログに記載されるエラーに対する対応について追記です。
この問題は、以下の両方の条件に該当する場合に発生することがあります。
• Windows XP ベースのコンピュータがドメインのメンバになっています。
• Microsoft 分散ファイル システム (DFS) クライアントが無効になっています。
[スタート] ボタンをクリックし、[ファイル名を指定して実行] をクリックします。
2. [名前] ボックスに regedt32 と入力し、[OK] をクリックします。
3. [レジストリ エディタ] ウィンドウで、以下のレジストリ キーを見つけます。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Mup
4. 右側のウィンドウで、[DisableDFS] をダブルクリックします。
[値のデータ] ボックスの値を 1 に設定すると、DFS クライアントが無効になります。
[値のデータ] ボックスの値を 0 に設定すると、DFS クライアントが有効になります。
5. [DWORD 値の編集] ダイアログ ボックスの [値のデータ] ボックスに 0 と入力し、[OK] をクリックします。
6. [ファイル] メニューの [レジストリ エディタの終了] をクリックして、レジストリ エディタを終了します。
さらに、インターフェイス上で Microsoft ネットワーク用ファイルとプリンタ共有を有効にします。有効にするには、次の手順を実行します。
1. [スタート] ボタンをクリックし、[接続] をポイントし、[すべての接続の表示] をクリックします。
2. 目的の接続を右クリックし、[プロパティ] をクリックします。
3. [全般] タブをクリックします。
4. [この接続は次の項目を使用します] ボックスの一覧の [Microsoft ネットワーク用ファイルとプリンタ共有] の横にあるチェック ボックスがオンになっていることを確認し、[OK] をクリックします。
【8/4追記】１０．ログ ファイル (Userenv.log)の解析
ここまで来ると個別の解析が必要です。
ログの保存先：%Systemroot%\Debug\UserMode\Userenv.log
(通常、ユーザーに適用するグループ ポリシー オブジェクトの一覧を列挙する際の一般的なエラーの根本的原因が示されています。)
設定方法：
レジストリ エディタを使用して、以下のレジストリ エントリを追加するか、既に存在する場合は編集します。 スタート⇒ファイル名を指定して実行⇒regedit
サブキー :
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
エントリ : UserEnvDebugLevel
種類 : REG_DWORD
値のデータ : 10002 (16 進) UserEnvDebugLevel には以下の値を設定できます。
NONE : 0x00000000
NORMAL : 0x00000001
VERBOSE : 0x00000002
LOGFILE : 0x00010000
DEBUGGER : 0x00020000
デフォルト値は NORMAL|LOGFILE (0x00010001) です。
Userenv.logが保存されたらフレーズを確認しMSサイトで検索しましょう。
http://support.microsoft.com/?ln=ja
※ ログを無効にするには、NONE (0x00000000) を指定します。
もし解決に至らなかったりその他の方法で改善された場合、
是非ともコメントお願い致します。あなたの１文が何千ものパソコンと管理者を救います。
仕事を効率化してトラブルを減らしましょう！
2015年11月24日火曜日
Windows Server 2012R2 基本設定（おすすめ
HW設定
・hpは最近inteligentProvisoiningというのを使用
・PPSのhp smart update managerでファームアップ
・SMHにはAMSorIMA＋SNMPが必要
ファームアップしないとうまく表示されないみたい
・最近のUPSはhp power protectorで管理
OS設定
・コンピュータ名、IPアドレスの設定
・WindowsUpDate実施
・管理者のパスワード設定
・UAC無効
http://blog.putise.com/uac%E3%82%92%E7%84%A1%E5%8A%B9%E3%81%AB%E3%81%99%E3%82%8B%E6%96%B9%E6%B3%95%E3%80%82windows-server-2012/
・FW無効
・IPv4Only
hostfix(パッチ)がある
・イベントログ容量 102400kbぐらい
・リモートデスクトップ有効
・サーバーﾏﾈｰｼﾞｬｰ自動更新OFF
・hpは最近inteligentProvisoiningというのを使用
・PPSのhp smart update managerでファームアップ
・SMHにはAMSorIMA＋SNMPが必要
ファームアップしないとうまく表示されないみたい
・最近のUPSはhp power protectorで管理
OS設定
・コンピュータ名、IPアドレスの設定
・WindowsUpDate実施
・管理者のパスワード設定
・UAC無効
http://blog.putise.com/uac%E3%82%92%E7%84%A1%E5%8A%B9%E3%81%AB%E3%81%99%E3%82%8B%E6%96%B9%E6%B3%95%E3%80%82windows-server-2012/
・FW無効
・IPv4Only
hostfix(パッチ)がある
・イベントログ容量 102400kbぐらい
・リモートデスクトップ有効
・サーバーﾏﾈｰｼﾞｬｰ自動更新OFF
2015年9月17日木曜日
ActiveDirectoryのスキーマ拡張時の前提情報
ADスキーマの概念
https://technet.microsoft.com/ja-jp/subscriptions/2008.05.schema
一部属性の説明
http://otndnld.oracle.co.jp/document/products/id_mgmt/idm_904/doc_cd/connectors.904/E05499-01/app_attrmapp.htm
https://support.microsoft.com/ja-jp/kb/257218
https://support.microsoft.com/ja-jp/kb/283791
https://msdn.microsoft.com/en-us/library/ms679765%28v=vs.85%29.aspx
LDIFDEによるスキーマ拡張
https://technet.microsoft.com/ja-jp/library/Bb632388.aspx
https://support.microsoft.com/ja-jp/kb/313823
https://support.microsoft.com/ja-jp/kb/283791
＊ADの最大値
https://technet.microsoft.com/en-us/library/cc756101%28WS.10%29.aspx
https://technet.microsoft.com/ja-jp/subscriptions/2008.05.schema
一部属性の説明
http://otndnld.oracle.co.jp/document/products/id_mgmt/idm_904/doc_cd/connectors.904/E05499-01/app_attrmapp.htm
https://support.microsoft.com/ja-jp/kb/257218
https://support.microsoft.com/ja-jp/kb/283791
https://msdn.microsoft.com/en-us/library/ms679765%28v=vs.85%29.aspx
LDIFDEによるスキーマ拡張
https://technet.microsoft.com/ja-jp/library/Bb632388.aspx
https://support.microsoft.com/ja-jp/kb/313823
https://support.microsoft.com/ja-jp/kb/283791
＊ADの最大値
https://technet.microsoft.com/en-us/library/cc756101%28WS.10%29.aspx
2015年8月28日金曜日
DCでアクセス権の問題発生
＜現象＞
DCの構成
Aサイト
Windows Server 2008R2 FSMO
Windows Server 2008R2 DC(GC)
Bサイト
Windows Server 2012R2 DC(GC)
Windows Server 2012R2 DC(GC)
3月にFSMOをリプレイスした
BサイトのDCでアクセス権エラーが出るようになった。
BサイトのCitrixPVSサーバーのドメインアカウントに紐づいたサービスが起動しなくなった。
エラー1053 タイムオーバー
BサイトのCitrixPVSサーバーにてCOMエラーが発生。
エラー10016 アクセス権の問題
BサイトのDCでdcdiagを実行するとたくさんエラーがでるようになった
BサイトのDCでrepadmin /syncall /eを実行すると全てに対してアクセス拒否となった。
AサイトのDCで repadmin /syncall /eを実行すると全く問題なし。
＜処置＞
１、PVSサーバーをバックアップデータからリストア実施
ドメインから離脱せず
シンクライアント端末のマシンアカウントを再作成しないとダメだった
２、BサイトのDCをログオフ→ログオン
権限やdcdiag、repadminエラー全てが修正された。
３、念のためDCを再起動した
DCの構成
Aサイト
Windows Server 2008R2 FSMO
Windows Server 2008R2 DC(GC)
Bサイト
Windows Server 2012R2 DC(GC)
Windows Server 2012R2 DC(GC)
3月にFSMOをリプレイスした
BサイトのDCでアクセス権エラーが出るようになった。
BサイトのCitrixPVSサーバーのドメインアカウントに紐づいたサービスが起動しなくなった。
エラー1053 タイムオーバー
BサイトのCitrixPVSサーバーにてCOMエラーが発生。
エラー10016 アクセス権の問題
BサイトのDCでdcdiagを実行するとたくさんエラーがでるようになった
BサイトのDCでrepadmin /syncall /eを実行すると全てに対してアクセス拒否となった。
AサイトのDCで repadmin /syncall /eを実行すると全く問題なし。
＜処置＞
１、PVSサーバーをバックアップデータからリストア実施
ドメインから離脱せず
シンクライアント端末のマシンアカウントを再作成しないとダメだった
２、BサイトのDCをログオフ→ログオン
権限やdcdiag、repadminエラー全てが修正された。
３、念のためDCを再起動した
dcdiag advatiseエラー
DC再起動後、dcdiagを実行した。
dcdiag /v にてアドバタイズエラーが出た。
タイムサーバーとしてアドバタイズされていないとのこと。
翌朝確認したら治っていた。
こんな感じで手を入れても治るみたい。
http://blogs.technet.com/b/maweeras/archive/2009/05/08/dcdiag-reports-not-advertising-as-time-server.aspx
dcdiag /v にてアドバタイズエラーが出た。
タイムサーバーとしてアドバタイズされていないとのこと。
翌朝確認したら治っていた。
こんな感じで手を入れても治るみたい。
http://blogs.technet.com/b/maweeras/archive/2009/05/08/dcdiag-reports-not-advertising-as-time-server.aspx
2015年8月12日水曜日
日本のソフトウェアと法律
昔は国からプログラム準備金がでていた。
今は無いのでＩＰＡの試験などを受けない。
なので訴訟が多くなっている。
ソフトウェアに日本ではＰＬ法が適用されない。
なので品質がザルになる。
価格競争になる。
ＳＩ企業にはシステム監査が必要なのでは論がある。
今は無いのでＩＰＡの試験などを受けない。
なので訴訟が多くなっている。
ソフトウェアに日本ではＰＬ法が適用されない。
なので品質がザルになる。
価格競争になる。
ＳＩ企業にはシステム監査が必要なのでは論がある。
登録:
投稿 (Atom)