Computer コンテナのリダイレクト

先日、Windows Server 2008 R2 にアップグレードしたのですが、書こうと思っていたネタがあったので
忘れる前に書いておきます。

Active Directory ドメイン作成時に作成される Users コンテナ および Computer コンテナですが、
これらは、OU ではなく、OU ではないので、グループポリシーも適応できないという事態になります。
なので、通常は、グループポリシーを効かせるために、ドメインコンピューター用の OU や、ユーザー用の OU を
作成して、そこに、オブジェクトを移動/格納します。
ただ、いちいち、作成し終わった後で、移動するのは面倒なので、デフォルトで OU 下に作成されるように
設定を変更することができます。

  1. Computers コンテナを OU にリダイレクトする

    デフォルトでコンピューターをメンバー追加した際に登録される OU をひとつ作成しておきます。
    次に、system32 フォルダーにある redircmp コマンドを使います。

    redircmp ou=OU名, dc=ドメイン名, dc=com

    なお、OU にスペースが含まれている場合には、

    redircmp “ou=O   U   名, dc=ドメイン名, dc=com”

    とします。
    コマンドが正常終了すると、

    リダイレクトは成功しました

    と表示されます。

  2. Users コンテナを OU にリダイレクトする

    1. のコマンドの替わりに、redirusr コマンドを使います。使い方は同じです。

なお、OU をリダイレクトさせるのは、少なくてもドメイン機能レベルが「Windows Server 2003」に
なっている必要があります。

OU にリダイレクトする設定を行ったら、一応、確認をしておきましょう。
コンピューターをコマンドラインからメンバー追加するには、

net computer \\コンピューター名 /add

と入力します。きちんと、設定した OU にコンピューターが追加されているかを確認しておきましょう。
ユーザーの追加は、net user コマンドを使います。

明日(8/25)から、Microsoft tech・ed Japan 2010 です。もちろん、行きます。

広告

ドメインコントローラーの時刻を外部のタイムサーバーに同期させる

自分用のまとめという意味も込めてネタにします。

これ、Windows Server 2008 でも自分で設定しなければならないんですよね。
ぜひ、UI を用意してほしい機能の 1 つです。
DCPromo の延長で設定できても良いと思います。
サーバーマネージャーの中にも欲しいですよね。

文句を言っても、今はやるしかないので設定しましょう。
レジストリを操作します。
なお、外部タイムサーバーと同期するドメインコントローラーだけで操作します。
ドメイン内の 1 台の GC が適当かと思います。

  1. タイムサーバーにするドメインコントローラーのレジストリエディタで次のハイブを開く
    HKEY_LOCAL_MACHINE
     \SYSTEM
      \CurrentControlSet
       \Services
        \W32Time
         \Parameters
  2. Type という名前があるので、その値を NT5DS から NTP に変更する。
  3. NtpServer という名前があるので、その値を 外部タイムサーバーの DNS名, 0x1 にする。
    例) myntpserver.sample.com, 0x1
  4. レジストリエディタで次のハイブを開く
    HKEY_LOCAL_MACHINE
     \SYSTEM
      \CurrentControlSet
       \Services
        \W32Time
         \Config
  5. AnnounceFlags という名前があるので、その値を 5 に変更する。
    なお、AnnounceFlags 「5」の意味ですが、権限のあるタイムサーバーを表します。
  6. レジストリエディタで次のハイブを開く
    HKEY_LOCAL_MACHINE
     \SYSTEM
      \CurrentControlSet
       \Services
        \W32Time
         \TimeProviders
          \NtpServer
  7. Enabled という名前があるので、その値を 1 に変更する。
  8. サービスコントロールマネージャーから Windows Time サービスを再起動します。
    もしくは、コマンドプロンプトから
    net stop w32time && net start w32time
    で Windows Time サービスを再起動します。

他に時刻同期のタイミングを調整するレジストリもありますが、その辺のチューニングは
参考 URL をご覧になってください。

Windows Server 2008 でも同様です。

Windows Server 2008 Active Directory を追加する

とある Windows Server 2003 Active Direvtory 環境に Windows Server 2008 DC を追加することになりました。
せっかくなので、これをネタにしてみましょう。
なお、Windows Server 2003 AD ですが、DC 1 台のシンプル環境です。

何をするのかというと

  1. 既存の Active Directory に対してスキーマ拡張を行う
  2. Windows Server 2008 DC を追加
  3. 管理マスタを Windows Server 2008 DC に移動

です。
なお、TechNet の 「Installing an Additional Windows Server 2008 Domain Controller」 を参考にしました。

(1) 既存の Active Directory に対してスキーマ拡張を行う

まず、Windows Server 2008 のインストール DVD を用意します。
この DVD にある adprep フォルダ(\sources\adprep)を既存の DC の適当なフォルダにコピーして
adprep コマンドを実行します。
実際には、次の 3 つのコマンドを実行します。今回の環境は 1 台の DC なので、全部、DC 上で実行します。

  • フォレストに対する変更(フォレストのスキーママスタで、1 回実行する)
    adprep /forestprep
  • ドメインに対する変更(Windows Server 2008 の DC を追加する各ドメインのインフラストラクチャマスタで実行する)
    adprep /domainprep /gpprep
  • RODC のための変更(フォレストの任意の DC で、1 回実行する)
    adprep /rodcprep

(2) Windows Server 2008 DC を追加する

次に Windows Server 2008 の役割で「Active Directory ドメインサービス」を追加します。
でも、その前にすごく重要な更新プログラムがあります。

KB949189 日本語ロケールが構成されている Windows Server 2008 ドメイン コントローラで、入力方向のレプリケーションの実行中、オブジェクトの属性に対する更新が適用されないことがある

これを忘れずに適応しましょう。

次に「Active Directory ドメインサービス」の役割をインストールします。

これが終われば、お約束の dcpromo.exe の出番です。

次に進みます。

既存の DC に追加するので、既存のフォレストを選択します。

最終的には、既存の DC を置き換える予定なので、 DNS サーバーも入れときます。

気にせず、次へ。

微妙に時間がかかります…。

ここまで終わったら、まずは再起動です。再起動したら、TCP/IP の設定で参照する DNS サーバーを
自分自身に変更しておきましょう。nslookup コマンドで確認しておくことも忘れずに。

(3) 管理マスタを Windows Server 2008 DC に移動

管理マスタと呼ばれる FSMO(Flexible Single Master Operations ) ですが、5 つの役割があります。

  • スキーマ マスタ
  • ドメイン名前付け マスタ
  • RID(Relative ID) マスタ
  • PDC(Primary Domain Contoroller) マスタ
  • インフラストラクチャ マスタ

これらをすべて Windows Server 2008 DC に移動します。
ここは、KB324801 Windows Server 2003 で FSMO の役割を確認して転送する方法 が参考になります。

http://support.microsoft.com/kb/324801/ja

KB は Windows Server 2003 について記述されていますが、Windows Server 2008 でも同様の操作です。

なお、x64 Windows Server 2008 には、32bit と 64bit の Schmmgmt.dll がありますので
system32にある 64bit の Schmmgmt.dll を登録しますので注意してください。

以上で、今回の目的は終了しました。

ここまで来たら、フォレストレベル、ドメインの機能レベルを Windows Server 2008 に上げたくなるのですが
(SYSVOL 複製やパスワードポリシーの新機能が使えるですが…)
まだ、Windows Server 2003 にもがんばってもらわないといけないので、止むなく断念します。

さあ、ガンガンに Windows Server 2008 環境を使うぞぉ~。