ドメイン外のWindowsサーバーからログをドメイン内のファイルサーバーに転送するバッチがdomain\administratorのパスワード変更後、失敗する

.net使ったpowershellで書いたイベントビューワーのログを転送するプログラムをbatで叩いてタスクスケジューラーで管理していた。

運用の定例でActiveDirectoryのドメインアドミニストレーターのパスワード変更後、手動でバッチを叩くと成功するがタクススケジューラー上で実行すると失敗する。

エラー内容
"4" 個の引数を指定して "ExportLogAndMessages" を呼び出し中に例外が発生しました: "ユーザー名またはパスワードが正しくありません。

対応ログ
１、タスクスケジューラーの変更時に入力するパスワードを入れ直す→×
#タスクマネージャーの権限ではない？
２、タスクスケジューラーを作り直す(XMLをインポートしただけ)→×
 #タスクマネージャーの問題ではない？
３、cmdを起動後、その上でbat内容を実施する→○
#batの問題ではない？
４、 ソースサーバーには特にエラーでない、ターゲットにはエラーがでていた
　　　→イベントID4625
#パスワードが異なることが原因らしい　
 ５、ソースにて「エクスプローラ」上または「ファイルを指定して実行する」上にて
PATHを記載してターゲットサーバー(FQDN)を指定するとIDとパスワードを求められた
#共有フォルダにパスワードが異なることでアクセスできなくなっている？
６、ソースのコンパネ＞アカウント＞windows資格情報にてpowershellにPATHとして明記されているホスト名で資格情報を作り直す
そして、タスクスケジューラーで実行するとエラーなく動いた

windows7からWindows10へのバージョンアップのための端末イメージ配信

固定プロファイルにしたほうがよい

環境保護あり
→SEPやウィルスバスターとの相性を気にする必要あり

GHOSTブートCD
WINPEブートCD
バージョンが何かではなく、そもそもCDよりDVDにしたほうがWinPEの起動が早い

7→10はたいがい最初にブルースクリーンになる。

環境保護(瞬快とか)はアンインストールして
イメージ配信し、その後一斉操作などで環境保護ツールをインストールしないいけない

→クローン配信時にwindowsブートの順番が変わったりする

MBR初期化コマンドが必要になる

WSUSについて

環境保護をかけるのが早いとWSUS上に端末が認識されにくい

 イメージ作成端末用のIDがイメージ配信によりそのまま複製されているので
ID等を配信後に削除する必要がある

Windows7にてWindowsTimeサービスが起動しない

まず、ドメインに入っているときは関係ない

スタンドアロンの時のみ

https://support.microsoft.com/ja-jp/help/2385818/windows-time-service-doesn-t-start-automatically-on-a-workgroup-comput

むろん、GUIでNTPサーバーを指定しても失敗する

コマンドでw32tm /query /status　や
w32tm /query /configurationを実施しても失敗する

configurationは管理者として実行のCMDである必要もあるけど

あと、WindowsTimeサービスは遅延開始にするらしい
そしてLocal Serviceで制御アカウントにしないとダメかも

SEPM12.1.5以上のバージョンのパスワードリセット方法

やっぱ、バッチだけじゃダメなのね。

http://whatkatdid.com/2014/02/17/symantec-endpoint-protection-manager-12-1-password-reset/

Windowsサーバーのログの変遷

イベントビューアーの保存形式には以前はevtとtxtがありました。
最近は、evtxとtxtとなります。

容量としてevtとtxtではtxtの方が小さいです。
でも、2012になってからはtxtよりevtxの方が小さいです。
 (2008からevtx形式となります。)

https://eservice.fujitsu.com/webrepair/docs/extract-log/OS/

確かにそういう前提の記載です。

圧縮しても容量は比例して小さくなりました。

ただ、evtxを保存するとLocalMetaDataというフォルダも勝手に作成され、
その中にMTAファイルが作成されます。
ファイル名も末尾のセット以外evtxファイルと同じとなります。

しかし結局

LocalMetaData＋evtx　＞　txt

となりました。

イベントID1530について

https://sites.google.com/site/ibentoid1530duichufa/

https://blogs.technet.microsoft.com/sharepoint_support/2012/12/17/comexception-0x800703fa-1/

sharepointが一番影響をうけるみたい。

”運用的にもバックグラウンド サービスが LOCALSERVICE や NETWORKSERVICE などのようなアカウントを使用すれば、これらのアカウントはプロファイルを持たない特殊なユーザーであるため問題を回避できます。ただし、SharePoint のような AD にアクセスするなどの特別な要件がある場合は、ドメイン ユーザーの権限でサービスを動作させる必要があるため、プロファイルを持たないこれらのアカウントをサービスの実行アカウントに指定することが現実的ではありません。そのため、SharePoint は本現象の影響を受けることがやむを得ない条件に該当します。”

とあるのでADドメイン環境下でのフォルダリダイレクトでExeclをファイルサーバーに置いているときは影響あるんだろうなと理解。

windows7にDockerを使用してLogonTracerをインストールしてみた

LogonTracerとは
https://www.jpcert.or.jp/magazine/acreport-logontracer.html


Linuxで動くけど、Dockerでイメージ置いてあるみたい。


Dockerダウンロード
https://www.docker.com/get-docker


ってここからダウンロードしてっていろんなブログに書いてあるけど、


Windows7用のToolboxはここだ。
https://docs.docker.com/toolbox/overview/#ready-to-get-started


Dockerインストールはここを参考にしました。
http://pppurple.hatenablog.com/entry/2016/07/03/003425


ちなみに32Bit版Windows7の場合、Vagrant + VirtualBox やVirtualBox＋Docker Machineで環境を作る必要がある。


面倒なので64bitOSで構築する。


dcoker pullのコマンドはこのページの右上に記載してある。
https://hub.docker.com/r/jpcertcc/docker-logontracer/