Windows★Active Directoryｽﾚ

**名無し~3.EXE** · 2007/12/19(水) 09:24:40

それだけのためにNLBを使おうとするのはおすすめしません。

DC間の通信ができなくなるか、マルチホームになって設定が複雑になるか、そんなところ。素直にDNSを複数設定する方が楽。

**名無し~3.EXE** · 2007/12/19(水) 11:25:06

>>339
ありがとうございます。参考になります。

ん～　目的別にサーバが設置できないので、１台のサーバにいろいろインスコして
NLB組もうかとも考えたのですが・・・。
ＤＣではまりそうですね。

**名無し~3.EXE** · 2008/01/02(水) 18:29:42

仮想化の出番かな？

**名無し~3.EXE** · 2008/01/16(水) 05:37:51

おしえてください。

AD構成(DHCPサーバー含)のネットワークで、
各ユーザーのマシンがドメインログオンしている時のみ
サーバーの共有資源を使用できるようにするには
どうすればいいの？

現状、ユーザーがドメインにログオンせず勝手にワークグループを使用して
ドメイン上の共有資源を使用するときだけ、「ドメイン名\ユーザー名」で
ログオンしている状況です。コレを禁止したいのですが。。。

ActiveDirectoryの設定等で対応出来るでしょうか？

**名無し~3.EXE** · 2008/01/16(水) 09:02:50

>>342
ADのポリシーだけじゃできないんじゃないかな？
NAPみたいに認証通してない端末は検疫セグメントに飛ばすとか。。。

**名無し~3.EXE** · 2008/01/16(水) 09:46:37

ワークグループでログオン出来てしまうのが問題では？ローカルのアカウントは管理者以外は無効にしてしまうとか。

ポリシーでできたか分かんないけど。

**342** · 2008/01/16(水) 16:43:37

>>343
現在使用しているServerは、2000Serverです。
NAPって2008Serverからですよね。

>>344
ドメインに参加していないワークグループも有ります。
それが同一セグメントを使用しており、
そのワークグループのマシンからの
ドメイン共有資源の使用を制限したいのです。

**名無し~3.EXE** · 2008/01/16(水) 19:04:56

>>345
NAPって検疫ネットワークってだけで、別に2008じゃなきゃ使えないわけじゃないよ。
RadiusとL2でいいんじゃない？

**342** · 2008/01/16(水) 21:33:31

>>346
勘違いしていました。
Server2008の標準機能の事かと思っていました。

すいません、RadiusとL2で実現しようとした場合、
それに対応したネットワーク機器が別途必要なのでしょうか？
それとも2000Serverに実装されている標準機能のみで対応可能でしょうか？

**名無し~3.EXE** · 2008/01/22(火) 09:53:19

ちょっと実験環境がないので　経験者の方にお聞きしたいのですが

同じLAN上に　a-dom.local と b-dom.local という二つのドメインがあります。
この２つは別々の独立したフォレストになっています。
b-dom.local の方は、まぁ　サーバの管理部署が違うから立ってしまっているという
なんとも情けない状態です。
（いろいろな事情があり、b-dom.local は無くせそうにありません）

LAN内のクライアントは全て a-dom.local に参加しており、b-dom.local のリソース
には a-dom と b-dom の信頼関係でアクセス出来るようにしています。

今回、b-dom.local の共有領域拡張という話が持ち上がり、これを期に DFS に
できないか検討しています。
b-dom.local 上に DFS は設定したのですが、a-dom.local に参加している
（当然 DNS サーバも a-dom.local を向いています）
クライアントからは b-dom.local 上に構築した DFS が見れません。

そこで、a-dom.local の DNS に b-dom.local への委任設定を追加しようとしている
のですが、a-dom.local 、b-dom.local とも各々のAD統合として設定している中で
このような委任設定を加えても大丈夫なものでしょうか？

**名無し~3.EXE** · 2008/01/22(火) 18:42:53

因みに a-dom.local は Win2k、b-dom.local は Win2k3 で稼働しています。
この場合、a-dom.local に .local ゾーンを作成し、
そこに a-dom.local と b-dom.local への委任を作成するのいいのか？

そんな事して AD が無問題であればいいのだが
もうちと勉強しよう

**名無し~3.EXE** · 2008/02/14(木) 19:00:36

設定、通信等問題なくても、ADは動作不安定で、脆弱なものと理解していいんでしょうか？
運用している人に何人か話を聞いてもなんか批判的な答えなんですけどｗ

**名無し~3.EXE** · 2008/02/14(木) 21:55:44

>>350
普通に動く。管理も慣れたから、面倒とは思わなくなった。
外部拠点1箇所だけの小規模だから、それほど脆弱な点も見当たらない。
以上。

WinOSに文句言うと格好良く見えると思って言う人が多いので、要注意。

**名無し~3.EXE** · 2008/02/18(月) 03:14:24

>>350
MCPも持たずに窓叩きとな？

すんません、来年度の目標にしまつ。。。＞MCP

**名無し~3.EXE** · 2008/03/05(水) 10:25:13

ユーザー名でリストアップしたユーザーだけ
一括で特定のグループに追加できるコマンドみたいの無かったっけ？

**名無し~3.EXE** · 2008/03/05(水) 16:25:43

>>353
csvdeかldifdeのことかな

**名無し~3.EXE** · 2008/03/08(土) 12:47:25

グループポリシーってユーザー毎じゃなくて、コンピュータ毎に適用できるんだっけ？
全ての部屋で同一のユーザーアカウントを使用した場合、
例えば、Ａ部屋のパソコンではコントロールパネルを表示させるが
Ｂ部屋のパソコンでは表示させない、とか。

**名無し~3.EXE** · 2008/03/08(土) 13:00:12

>>355
PCごとのセキュリティグループ作って適用すればいいんじゃないか？
と、脊反レベルで答えて見ます。

**名無し~3.EXE** · 2008/03/08(土) 21:16:20

>>355
コンピュータ用のポリシーとユーザ用のポリシーがあったような

**名無し~3.EXE** · 2008/03/09(日) 00:15:50

>>355
コンピュータ毎は可能だが、357の言うとおりコンピュータ単位でかけられるポリシーとユーザー単位でかけられるポリシーがある。

コンピュータの場合、356の言うようなグループでの制御ができたかちょっと自信ない。OUを分けてしまえばコンピュータごとに別のポリシーかけることは可能。

ただ、コントロールパネルの表示とかはユーザー毎のポリシー定義になりそうな気がする。ポリシー編集画面で見ればどちらに該当するかは分かるはず。

**名無し~3.EXE** · 2008/03/09(日) 03:07:12

グループポリシーはadmファイル（テンプレート）の中身を見ればわかるが、基本的にレジストリに特定の
値を書き込んだりしているだけ。レジストリはユーザ単位の情報を保持している箇所（ntuser.dat）と
コンピュータ単位の箇所（%systemroot%\system32\config 以下のいくつかのファイル）に分かれるから、
自分のやりたいことがユーザ単位の設定なのか、端末単位の設定なのかがわかればどちらの設定かは
わかるし、カスタムテンプレートも作れる。

セキュリティグループを使った制御はコンピュータ単位でもできると思うが、運用が煩雑になるし実際に
試したことはないな。ユーザ単位なら一時的な対応として利用したことはある。

ADUCのインターフェース上では、今パッと見る限りではユーザと同じようにSGに突っ込んで適用/非適用
したいポリシーの[セキュリティ]タブから「グループポリシーの適用」を許可/拒否するだけなんで、同じ
効果が得られると思うけど。

**名無し~3.EXE** · 2008/03/28(金) 10:25:06

ポリシー適用で、IE7のマシンをIE6にダウングレードさせる方法はあるでしょうか。

**名無し~3.EXE** · 2008/03/31(月) 23:01:00

こんばんは。
質問させてください。

一度作成＆ドメイン参加したユーザを削除し、
再度同じユーザ名でドメイン参加しようとしたところ、
「アクセスが拒否されました」とエラーがでてしまいます。

同じユーザ名で再参加したいのですが、
解決策を教えていただけないでしょうか？

ちなみにOSはWindowsXPです。
よろしくお願いいたします。

**名無し~3.EXE** · 2008/03/31(月) 23:05:27

>>361
んー？なんか不思議な書き方で悩むんだけど。
SIDが違うんだから、アクセスできなくて当然で。。。

ユーザーを削除したのはXP上なの？サーバ上なの？
どっちみちユーザー作り直して参加しなおせばいいんでないの？

**３６１** · 2008/03/31(月) 23:46:49

>>361

ユーザーを削除したのはサーバからです。

再度サーバーで同じユーザー名を作成しなおして
参加しようとしましたが、上記のエラーが出てしまいます。

SIDが違うということは、SIDを再生成すればいいのでしょうか？
ちなみにSIDはActiveDirectory上で再生成できるものなのでしょうか？

質問ばかりですみません・・。

よろしくお願いいたします。

**名無し~3.EXE** · 2008/03/31(月) 23:57:17

>>363
無理。削除は慎重にね!　復活の可能性が少しでもあるなら無効にしておかないと。

**名無し~3.EXE** · 2008/04/01(火) 01:22:13

>>363
バックアップからAuthoritative Restoreで戻すしかないね。
ttp://technet2.microsoft.com/WindowsServer/ja/library/042e7616-4b5d-4c4f-afb7-59fdb89b218a1041.mspx

それか、全部の属性がきれいに戻るわけではないけど、DCがWindows 2003以降
であればAdRestoreでも戻るっちゃ戻るけど。
ttp://support.microsoft.com/kb/840001/ja

どちらにしろ、よくわからなくて複雑な作業をする危険性を冒すより、アクセス権
なりを再設定したほうが（比較的）面倒くさくなくて確実だろうけどね。

**名無し~3.EXE** · 2008/04/01(火) 17:13:41

移動プロファイルのサーバ間移行において FSMT は問題なく使えますか？

**名無し~3.EXE** · 2008/04/02(水) 00:43:15

>>364,365
>>361のやりたいことは「同じユーザー名を作成しなおして
同じユーザ名で再参加したい」ということだと思うんだけど
なんでSIDまで戻す必要があるの？

あくまでも同じ「ユーザ名」でクライアントからドメインにログイン
したいというだけなら
プロファイル削除して再度ログインでいけるんじゃないんだろうか

**名無し~3.EXE** · 2008/04/02(水) 01:01:42

>>367
> なんでSIDまで戻す必要があるの？

「アクセスが拒否されました」というのが何のリソースに対してアクセスしたときに出ている
エラーなのかが書いてないので何とも言えないね。それを解消したいんだと理解したんだけど。

> プロファイル削除して再度ログインでいけるんじゃないんだろうか

削除前のアカウントと再作成したアカウントで同じパスの移動プロファイルを参照している
なら、プロファイルへのアクセス権が原因でエラーが出るだろう。ローカルプロファイル
なら、例え同一端末に同一sAMAccountNameのユーザでログオンしても同じパスの
プロファイルを見に行くことは通常ありえない（プロファイルが原因でのエラーは発生
しない）からプロファイル削除では解決しない。

**名無し~3.EXE** · 2008/04/02(水) 08:17:10

>>368
あー、ごめん。エラーを失念してた
分かりづらいけど、プロファイル削除再ログオンはプロファイル名を元の名前で使う場合の対応で
エラーの解消方法として提示したわけじゃないです

プロファイルの件と、ドメインから降格させて、コンピュータアカウント削除して再ドメイン参加で
同じユーザ名で使えるようにならないかな

**名無し~3.EXE** · 2008/04/03(木) 10:14:34

当方岩手におります。セミナーを探しておりますが、あまりに高いので
1日位でActive Directoryの事を教えている仙台か東京の会場を探して
おります。（全ての時間にActive Directoryについてでなくてもいいので
すが）そんなに大きい台数の管理ではないので
５日間もかけるほどではないので（正直には予算の話）よろしくお願
いします。
又、server2008が出たので将来的にいずれは移行するのであれば2003より
2008のセミナーに出た方がいいよ~(又は逆の意見)的な
アドバイスも、もし御座いましたら、ご教授願います

**名無し~3.EXE** · 2008/04/03(木) 12:34:50

どこかのポリテクセンターでやってないかな。
講義の内容は他とそんなにかわらん。
値段は安いよ。

一度ぐぐってみなされ。

**名無し~3.EXE** · 2008/04/03(木) 21:58:58

2時間ほど調べましたがポリテクでは平成２０年度より、「情報・通信系」及び「管理・
事務系」については開講しないようです。残念です　ネットワーク管理者のためのシステム環境構築とトラブルシュート
社内ネットワークシステム運用管理実践技術（サーバＯＳ編）
ＩＰネットワーク相互接続実践技法

**名無し~3.EXE** · 2008/04/04(金) 14:17:21

グループポリシーの設定内容について、どこを設定したか確認できるツールってありますか？

**373** · 2008/04/04(金) 14:37:25

俺はバカだった・・・
GPMC の各グループポリシーの設定レポートを見ればよかった・・・

**もへじ** · 2008/04/17(木) 23:20:43

3台のDCがあります。
グループポリシーをクライアントに適用するサーバは
3台のうち、どのサーバなんでしょうか？
優先順位などあるんでしょうか？

**名無し~3.EXE** · 2008/04/19(土) 10:44:13

2003serverのＤＣとＸＰクライアントで利用しているのですが
ログオンのキャッシュって経過時間で無効になり
ＤＣに再認証しないとPCにはログオンできなくなるのでしょうか？

ＬＡＮケーブル抜いて１年放置してもクライアント側の
プロファイルは使えるのでしょうか？

**名無し~3.EXE** · 2008/04/19(土) 13:58:29

2003+Vistaでネットワークマップが表示されません。
ttp://itpro.nikkeibp.co.jp/free/ola/olaacceptor.jsp
ここを見ると
［コンピュータの構成］－［管理用テンプレート］－［ネットワーク］－［Link－Layer Topology Discovery］を有効にする
と書いてあるのですが、グループポリシーオブジェクトエディタでみても
そんな項目ないです。
どうすればよいでしょうか？

間違ってる可能性大なんでフォローお願いします。

>>375
優先順位はサイトの構成による
だったような。
>>376
未定義は10？
忘れましたけど
コンピュータの構成→Windowsの設定→セキュリティの設定→ローカルポリシー
→セキュリティ→対話型ログオン：ドメインコントローラーが利用できない場合に使用する、
前回ログオンのキャッシュ数
の設定によるはず。
回数制限で時間制限なかったはず。

**名無し~3.EXE** · 2008/04/19(土) 18:16:23

ADのバックアップを行いたいのですが
方法がよくわかりません。
ttp://hpcgi3.nifty.com/nabezo/wiki.cgi?ActiveDirectory#i16
ここを見たところntbackupでSystemStateをバックアップするとよいという風な
説明があったのですが、
設置してあるバックアップ用サーバーはDCではありません。
他のサーバーのsystemstateってどうやってバックアップするのでしょうか？
また、バックアップすべきsystemstateはFSMOの役割を担ったDC１台分のみで
よいでしょうか？

**名無し~3.EXE** · 2008/04/20(日) 01:35:53

>377
ADドメインじゃないよね

**名無し~3.EXE** · 2008/04/20(日) 01:43:08

>>378
DCでBKとれば？

そのページに書いてあるし
＞＞Active Directory を完全にバックアップするには、エンタプライズ内のすべてのドメインコントローラ上でバックアップを実行する必要があります。なお、Active Directory をリモートコンピュータ上でバックアップすることはできません。

**名無し~3.EXE** · 2008/04/20(日) 01:51:57

>>377
> そんな項目ないです。

Vistaより前にはLLTDなんて仕組みはないから当たり前。
Vista用のadmテンプレートを探すか、admxを2003で読む方法を探すか、
そうでなければ自分でテンプレートを書くか、諦める。

**名無し~3.EXE** · 2008/04/20(日) 10:48:05

>>378

よく紹介されてるMS文書です。すっとは読めるものはないかと。結構大変そう。

Active Directory の障害回復
http://www.microsoft.com/japan/technet/prodtechnol/windows2000serv/support/adrecov.mspx

Active Directory 障害復旧ガイド（上と内容が同じだったり？）
http://www.microsoft.com/japan/technet/prodtechnol/windows2000serv/techinfo/administration/activedirectory/addrstep.mspx

**名無し~3.EXE** · 2008/04/24(木) 18:14:14

Active Directoryにあるユーザとコンピュータ名を追加後、
ログオンすると背景の青い画面のみ表示されて先に進みません。
解決方法が分かる方いらっしゃいますか？

**名無し~3.EXE** · 2008/05/02(金) 23:41:39

2003のAD環境のグループポリシーで
WINDOWS UPDATEの「自動更新を無効」にしたいと考えております。

最上部のDCアイコンでポリシー設定すると
問題なく、クライアント側の自動更新が無効で塗り潰されるのですが

ユーザーがグループ分けされている、OUの部分でポリシー設定しても
無効で塗り潰されないし変更可能なのですが、正常動作なのでしょうか？

**378** · 2008/05/06(火) 21:04:00

>>380
DCでのバックアップよりできたらバックアップ用サーバーから取りたいと思ってます。
>>382
ありがとうございます。
ちょっと勉強し直してきますね。

**名無し~3.EXE** · 2008/05/06(火) 21:11:05

>>383
>Active Directoryにあるユーザとコンピュータ名を追加後
具体的な作業はなんですか？
アカウントやコンピュータアカウントを追加したということですか？
>ログオンすると背景の青い画面のみ表示されて先に進みません。
どの端末からのログインですか？
DC自身？ドメインに参加しているすべての端末でも？
また、ログイン情報を入力し、エンターキー押下後の動作はどうですか？
直後に青い画面になり止まりますか？
また、ローカルログインでも同じですか？
この辺で結構切り分けできると思います。

**名無し~3.EXE** · 2008/05/15(木) 23:33:06

質問です。

下記のページを見ると、フォレストの機能レベルが「Windows Server 2003」の場合、
サイト内レプリケーションは15秒間隔で実行されると書いてあります。
それでは、「Windows 2000 (デフォルト)」の場合、「Windows Server 2003 中間」の場合では
どのくらいの間隔でサイト内レプリケーションが実行されるのでしょうか？
その間隔を確認する画面があるのでしょうか？
お願い致します。

Windows Server 2003 でドメインの機能レベルおよびフォレストの機能レベルを上げる方法
http://support.microsoft.com/kb/322692/ja

**名無し~3.EXE** · 2008/05/18(日) 04:13:54

>>387
http://technet2.microsoft.com/windowsserver/en/library/1465d773-b763-45ec-b971-c23cdc27400e1033.mspx

> 「Windows 2000 (デフォルト)」の場合

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters
Replicator notify pause after modify (secs)
The default value is 300 seconds.

> 「Windows Server 2003 中間」の場合

Raising the forest functional level to Windows Server 2003 Interim or Windows Server 2003
affects notification delay values for first and subsequent change notification, as follows:

If a registry entry has the Windows 2000 Server default value of 300 seconds for
initial notification delay or 30 seconds for subsequent notification delay at the time
the forest functional level is raised, the registry entry that has the default value is
removed and the Windows Server 2003 default value takes effect on the respective
attribute of each cross-reference object.

If a registry entry has a nondefault value, the registry value is preserved.

**初心者** · 2008/05/18(日) 12:01:14

超初心者ですが、どなたか教えていただけませんか？
Active DirectoryではログインＩＤでログインするＰＣを限定できると
聞いたのですが、（この認識がまちがっていたらすいません）
Active DirectoryドメインはＰＣ自体を何で識別しているのでしょうか？
どうやってＩＤと使用しているＰＣをひもづけているのですか？

**名無し~3.EXE** · 2008/05/18(日) 12:16:41

SID？

ttp://service1.symantec.com/SUPPORT/INTER/ghostjapanesekb.nsf/0066cb01c5a55e1a85256af7006d9d1b/751ed0e4d2d3d29d49256dc2002d6a8c?OpenDocument
ttp://technet2.microsoft.com/WindowsServer/ja/library/2f98f5b2-5e7e-4ff3-83a9-c32cf23329211041.mspx?mfr=true

**初心者** · 2008/05/18(日) 12:38:09

＞＞390
ありがとうございます。
SIDというものでPCを認識しているのすかね。
（なんとなくわかりました）
SIDで認識しているとすると、SIDは何を元に生成されるのでしょうか？

悪意をもった人間がSIDを偽装することはできるのですか？
どなたか教えてください。

**名無し~3.EXE** · 2008/05/18(日) 23:32:31

>>391

インストールした時間とかNICのMACアドレスとか色々な要素らしい。
生成に関するアルゴリズムとか要素は公開されて無かったと思う。

>悪意をもった人間がSIDを偽装することはできるのですか？

理論的には可能。

**名無し~3.EXE** · 2008/05/19(月) 00:38:59

>>391
sambaとかだと、SIDを明示的に指定することも
できたんではなかったかな。

**初心者** · 2008/05/19(月) 00:59:17

なるほど、回答いただいた方々ありがとうございます。
不明だったことがだいぶ解決しました。

そうすると、ＳＩＤが偽装できなと仮定するとＩＤとパスが漏れても
他のＰＣからはログインできないという事でいいのでしょうか？
他のＰＣからドメイン上のファイルにアクセスする方法とかあるのでしょうか？

**名無し~3.EXE** · 2008/05/19(月) 01:07:44

>>394
ドメインに参加してないPCでも共有リソースアクセス時にユーザー名とパスワード入れればアクセスできるぞ。

それをADの機能だけで抑制出来たかなぁ？

**名無し~3.EXE** · 2008/05/19(月) 07:21:30

>>ドメインに参加してないPCでも共有リソースアクセス時にユーザー名とパスワード入れればアクセスできるぞ。

デフォルトだとそうだよね。

>>394

コンピュータアカウントで制御していれば、
多少、そういう感じにできるのかもだけど、
デフォルトでは、ADのユーザは任意のコンピュータを
ドメインに参加できる。

　重複したコンピュータ名は参加させられないだろうけど、
　権限によっては、参加できるようにも。

ドメイン参加のアクセス権関係は、あまりいい資料が
みつかりにくいかも。いろいろ、試行錯誤しても
持ってるのが書籍情報だけだとわかりにくそう。

　ドメイン参加専用のユーザを作るとか。

**387** · 2008/05/20(火) 22:14:37

>>388
お礼遅くなりましたが、ありがとうございます。
助かりました。

**名無し~3.EXE** · 2008/05/30(金) 12:57:20

SIDからドメインのユーザ名を特定することって出来ないのでしょうか？

やりたいことはVBScript(WSH)でセキュリティポリシーの設定を
取得したり設定したりするツールの作成です。

seceditコマンドで設定をエクスポートすると、「ユーザ権利の割り当て」
等の項目はユーザ名がSIDで出力されます。ローカルユーザは
WMIのwin32_accountを使ってユーザ名を特定できたのですが、
ドメインユーザはwin32_accountでは取得できません。

逆にドメインユーザ名からSIDを特定する方法として
dsquery user -samid domain\user | dsget user -sid
があるので、最悪の場合使用が想定されるドメインユーザのSID一覧を
あらかじめ作成しておいて照合するしか無いか？と諦めかけています。

どなたか良い方法をご存知でしたら教えて頂けないでしょうか。

**名無し~3.EXE** · 2008/05/30(金) 14:11:15

>>398

ADSIでサーバに聞けばいい。

**名無し~3.EXE** · 2008/06/17(火) 00:03:37

超ど初心者です。
Computerコンテナに10ぐらいのPCがあって、Userコンテナは権限の異なる10ぐらいのUserがいます。
やりたいこと
特定のComputerのみに誰でも（どのUserでも）リモートデスクトップでログインできるようにしたいのですが、どうすれば良いですか？

ヒントサイトだけでも良いので教えてください。

**名無し~3.EXE** · 2008/06/17(火) 00:24:25

>>400
同時にログインできるのは2人までだけど、本当にいいの？

**名無し~3.EXE** · 2008/06/17(火) 05:22:54

>>400
自分ならRemote Desktop UsersグループにDomain Users追加しますね。
ADでいい方法あるのかな。

**名無し~3.EXE** · 2008/06/20(金) 01:19:32

ADSIでGCの内容ってみれるんでしたっけ？

ご存知の方いらっしゃいましたら教えてくださいませ。

**名無し~3.EXE** · 2008/07/03(木) 20:55:40

今、システムのテスト中なんだけど、ラッシュテストを行う際のＡＤの負荷を計測
しろと言われてます。特に、ＡＤに対して、ＬＤＡＰのリクエストが発行されている
量・頻度を記録するように、と言われてます。

何か、良い方法ありますか？

**名無し~3.EXE** · 2008/07/04(金) 13:50:58

あるユーザが所属しているOUをPCのコマンドプロンプトから確認したいです。
グループの確認は

net user <ユーザ名> /domain

で確認出来たんですが…。
ADにログインして確認するのではなく、
PCのコマンドプロンプト上から確認したいです。
gpresultでスイッチ調べましたがうまくいきませんでした。

どなたか教えて下さい。お願いします。

**405** · 2008/07/04(金) 16:53:52

補足させて頂きます。

gpresult /user <ドメイン名>\<ユーザ名>

すると「SID情報を取得中…」と、いけそうになるのですが
「情報：ユーザー "<ドメイン名>\<ユーザ名>" にRSOPデータがありません。」
と表示されてしまいます。

管理者権限に昇格してもダメでした。
どなたか情報お願いします。

**名無し~3.EXE** · 2008/07/04(金) 18:16:19

netdomコマンドじゃだめなの？

**405** · 2008/07/04(金) 20:02:23

>>407

情報ありがとうございます。

netdom query

で出来そうと思い小一時間格闘してみましたが、未だ出来ずorz

**名無し~3.EXE** · 2008/07/04(金) 23:10:37

>>405
ADSI@WSHで、できるか知らんけど
http://pwp1.atcms.jp/mokurin/index.php?ADSI%2F%A5%C9%A5%E1%A5%A4%A5%F3
あたりヒントになるかな

**名無し~3.EXE** · 2008/07/05(土) 01:32:38

PCに管理ツールインストールして
dsquery user -user tanakaはどう？
"CN=tanaka,OU=組織１,DC=testad,DC=testcorp,DC=local"

**名無し~3.EXE** · 2008/07/05(土) 01:49:48

×dsquery user -user tanaka
○dsquery user -name tanaka

**名無し~3.EXE** · 2008/07/05(土) 14:24:12

>>404
> 何か、良い方法ありますか？

パフォーマンスモニタで良いんじゃないの。NTDSオブジェクトのカウンタがたくさんあるでしょ。

**405** · 2008/07/07(月) 17:42:55

>>410
レスありがとうございます。

管理ツールをインストールして、
dsqueryコマンドで確認する方法を取ることにします。
ありがとうございました。

**名無し~3.EXE** · 2008/07/10(木) 00:36:43

ADのDNSについて、ちょっと気になることがあるので
ご存知の方がいたら教えてください。

W2003R2で稼働中のAD、DNSです。
PCを参加させている途中で1台だけAレコードが大文字で表記されているのですが
大文字で登録されるケースと小文字で登録されるケースで何か違いがあるんでしょうか？

ほかのホスト名に変えると小文字で登録されるのですが
ホスト名以外は同じセットアップを行った同じクライアントで何が違うのかが非常に気になります。
というか、DNSの管理で1台だけ大文字なので非常に目に付きます。

同じような現象にあわれた方で、解決方法をご存知の方がいたら
教えてやってください。

**名無し~3.EXE** · 2008/07/10(木) 02:52:58

それで問題は発生したの？

**名無し~3.EXE** · 2008/07/10(木) 22:51:12

質問です。
Windows 2003 の　Active Directory　についてですが。
ユーザのプロパティで、ユーザがいつパスワードを変更したか、とか、SIDの確認等が見れるようにする方法が
あったかと思います。
確か何かのファイルをWindows上に保存するかインストールする事でできたかと思います。
どなたかファイル名、もしくは方法を知っていたら、教えてください

うるおぼえですが、確かそのファイルを設定する事により、ユーザとコンピュータでユーザのプロファイルのタブが１つ増えたはずです。

**名無し~3.EXE** · 2008/07/11(金) 00:00:27

ADSI

**名無し~3.EXE** · 2008/07/13(日) 19:23:16

>>415
運用上の問題はまるでないと思いますが、
エンドから質問されるって不可避の問題が発生してます。

**名無し~3.EXE** · 2008/07/13(日) 19:57:46

DNSのドメイン名は大文字小文字で区別してないので、問題は起きないはずなんだけどね。
一緒だから製品上の仕様ですで逃げれないのかな？

**名無し~3.EXE** · 2008/07/13(日) 21:44:29

>>419
レス、ありがと。
ホスト名でow-01～16まで並んでるんだけど
OW-01だけが大文字になってるんです。
それを見てから、うるさくてうるさくて。。。

一度、マシン名を他の名前(temp)に変更してから
小文字でow-01と入れなおしてみたんですが、
一時的に小文字になるだけで、次にDNSの管理を開いたときには大文字に変わってしまってます。

ADへの参加しなおしもやってみましたが、駄目で
再インストールは提案したら却下されました。

**名無し~3.EXE** · 2008/07/16(水) 00:59:27

>>420
AD上に登録されてるコンピュータオブジェクトは大文字になってる？小文字になってる？

もし一度大文字のホスト名でAD参加させてるなら、それが影響してるかも。

・対象ホストをドメインから一度外す
・対象ホストのコンピュータアカウントをAD上から削除
・DNSで対象ホストのAレコードを削除
・対象ホストのホスト名が小文字であることを確認
・再度ドメイン参加

これで直らんかな？

単純に、大文字小文字の区別が無いことをMSのソースで示せればいいなら、
ここを読んで解釈すればいいような気もするが。

登録は大文字小文字を区別するが、
クライアントや他のDNSに返すときは一律で小文字で返す、
と書いてあるように見える。

ttp://technet2.microsoft.com/WindowsServer/ja/library/4f9d39f0-5001-44fc-a75e-922b408165091041.mspx?mfr=true

**名無し~3.EXE** · 2008/07/16(水) 15:08:43

>>421

レス、ありがとうございます。
コンピューターオブジェクトはクライアント、サーバ、すべて大文字です。

ドメインからの離脱は一度試してみました。
その際の手順は、下記のとおりでほぼ同じです。

・ドメインから離脱
・DNS、ドメコンでコンピュータの削除
・全サイトへの強制レプリカ
・対象ホストを別の名称に変更(ow-01 から temp)
・対象ホストを指定名称に変更(temp から ow-01)
・再度、ドメイン参加

この手順後、一瞬は小文字になったのですが
DNSの管理を開きなおしたら大文字に変わっていました。。。

**名無し~3.EXE** · 2008/07/17(木) 10:55:43

グループポリシー使ってアカウントのログインの失敗情報のログを取る方法って
ないですかね？

CSVDEのデータだと無駄な部分が多すぎるのと、いろんな項目がバイナリコード
で吐き出してくるからどのアカウントでログイン失敗したのかがすぐ
分からないんで・・・

**名無し~3.EXE** · 2008/07/17(木) 18:18:44

>>423
監査ログ＋WSHは？

**名無し~3.EXE** · 2008/07/17(木) 23:20:31

こういうの？

ttp://www.monyo.com/technical/windows/35.html

一般ユーザの場合、全DCに「イベントログ」のアクセス権の設定もいるよう。

**名無し~3.EXE** · 2008/07/23(水) 12:49:58

ある一つのユーザーに、ドメインの中では制限ユーザなんだけど
単一のクライアントに対しては管理者権限を持たせる
なんて事はできるのかな？

**名無し~3.EXE** · 2008/07/23(水) 14:00:32

>426
ちったぁヤフれ
http://soudan1.biglobe.ne.jp/qa2678183.html

**名無し~3.EXE** · 2008/07/23(水) 18:31:29

>>426
考える必要もないくらい簡単なことだろ

**名無し~3.EXE** · 2008/08/27(水) 18:06:17

NT40のDCをServer2003のADにアップグレードしました。
この環境にNT40のBDCを追加してみようかと思ったのですが、
NTセットアップ中のドメイン登録でドメインコントローラに接続できません
というエラーになって先に進みません。
アップグレードしたServer2003は混在モードなので、いけると思ったのですが。
何か情報ありますでしょうか。

**名無し~3.EXE** · 2008/08/29(金) 23:24:32

>>429
なんでNT4なの？

**429** · 2008/08/30(土) 09:17:58

メンバーが少ない拠点には、アカウントの複製だけで十分だと思ったので、
あえてNT4のBDCでも置いてみようかと思ったのですが、
無理でしょうかね。

**名無し~3.EXE** · 2008/08/30(土) 16:18:17

BDCとしてセットアップするPCの、NICのドライバを正しく入れてます?
ルータを越える必要があるなら、LMHOSTSをインポートしています?

それ以前に、すでにサポートの終わったNT4を使うリスクは認識してます?
業務に使うなら何かあったときにサポート終了したから対処できませんでは
すまないでしょうに。
DCのアップグレードもそのためにやったんじゃないの?

**名無し~3.EXE** · 2008/09/02(火) 15:11:17

ほうほう

**名無し~3.EXE** · 2008/09/03(水) 18:03:37

４００人くらいの会社で
AD導入しようとおもってるんだけど
朝９時出社時にどのくらいのネットワーク帯域を
確保しておけばいいのでしょうか？
シングルドメインで、組織構成も簡単。
部門も１０個くらいしかなく、
プリンタとかファイルサーバーとかもそんなにありません。
NTTに聞いたら１０－２０Mの帯域は覚悟しておけって
いわれたんだけど。

**名無し~3.EXE** · 2008/09/03(水) 20:44:58

>>434
WANか？
400人全員がWAN越しで認証かけるなら100Mbpsの回線でどうぞ、安いし
移動プロファイルやログオンスクリプト使うなら、そのデータ量に併せて計算ね

LANだったらGbE x2のFTで十分

**名無し~3.EXE** · 2008/09/03(水) 21:18:32

IP-VPNでイーサ回線でやれって言うんだよね

**名無し~3.EXE** · 2008/09/03(水) 21:23:38

>>436
広域イーサか
認証だけでも集中するなら20～30Mbpsくらいあったほうが良いかもね

**名無し~3.EXE** · 2008/09/03(水) 21:25:04

そんなに帯域必要とするのかぁ・・・・
５Mもあれば十分だとおもってた。

**名無し~3.EXE** · 2008/09/04(木) 01:27:23

ファイルサーバに
aaa\bbb
というユーザでアクセスすると
netbtを利用してドメインコントローラ（？）を探しにブロードキャストにパケット
送るみたい（パケットキャプチャの内容から）

この余計なパケットをやめさせる方法はありますか？

**名無し~3.EXE** · 2008/09/04(木) 08:06:34

UDP/137の名前の解決かな？
なぜ余計と思う？WINSサーバ使うようにすれば、
ブロードキャストは減るかもだが、
WINSサーバとは通信するのでは？
ホストをFQDN指定した場合は、DNSサーバにも
問い合わせるかも（そう出なくても問い合わせてるかな）。

UDP/137をFirewallで止めると何が起きるか？
やってみては？

**名無し~3.EXE** · 2008/09/11(木) 15:33:05

ある特定のPCにdhcpサービスでリースされたipを
クライアントのコマンドプロンプトから特定する方法を知りたいです。
dhcpサービスを持つサーバは2台あります。

nslookup <コンピュータ名>

だと同期前の古い情報しか取れない為、
同期が取れるまで待つか、それぞれのdhcpサーバに
リモートでログインしてリース情報を確認している現状です。

nslookup <コンピュータ名> <dhcp1号機>
nslookup <コンピュータ名> <dhcp2号機>

のようなスイッチも見つけられませんでした。
手の届く範囲であればipconfigで十分事足りるのですが、
遠方の拠点のPCを対象に調査したいのです。

サーバはW2003、クライアントはWXPです。
ActiveDirectory環境です。

お分かりの方、ご教授お願いします。

**名無し~3.EXE** · 2008/09/12(金) 00:12:36

nslookupの使い方ってことだと、

nslookup -querytype=a www.yahoo.co.jp <dhcp1号機>

とか？

<dhcp1号機>がDNSサーバもやってて、DHCPと
同期できるなら。

　2008だとできるようだが、2003だとどうなんだろ。

**名無し~3.EXE** · 2008/09/12(金) 00:45:49

動的更新は有効になってないの？
ttp://www.atmarkit.co.jp/fwin2k/operation/adprimer006/adprimer006_02.html

それか、自分の端末ならGUIでもOKってことなら、管理ツール入れてそこからDHCPサーバに接続して
リース情報確認するとか。

コマンドでもできないことはないでしょ。
ttp://www.google.com/search?num=50&hl=ja&q=dhcp+netsh+show+clients

netsh dhcp server \\192.168.1.1 scope 192.168.1.0 show clients 1 | findstr "対象ノード名"

とか。実際には試してないけど。

**441** · 2008/09/12(金) 08:33:06

>>442
>>443
情報ありがとうございます。

DHCP1号機がDNSやってるかとか、
動的更新が有効かどうかも設定をみてみます。
そもそも動的更新が有効だったら、本件も即解決です。
トラフィックの点とかで問題出てくるんでしょうか。

まず、頂いた情報を元に色々試してみます。
まだまだ検索の仕方が悪いと実感しました。
ありがとうございました。

**名無し~3.EXE** · 2008/09/13(土) 17:23:49

ADでアクセス権設定してる単体のファイル鯖なんですが
DCが落ちた場合は即アクセスできなくなるのでしょうか？
ファイル鯖側でもアクセス許可のキャッシュみたいのがあって
DC落ちても既存フォルダにはアクセスはできるのでしょうか？

**名無し~3.EXE** · 2008/09/14(日) 23:18:16

>>445
ご参考
Active Directory を導入する 11 の魅力
http://www.microsoft.com/japan/windowsserver2003/technologies/directory/activedirectory/guide/advantages01.mspx

キャッシュでアクセスは出来るけど、それにも期限があるので注意。

**名無し~3.EXE** · 2008/09/18(木) 01:01:23

期限ってデフォルト値とかあるのかな？

**名無し~3.EXE** · 2008/10/16(木) 23:55:49

Jiro Tanakaが「所有者(owner)」になっている配布リストの一覧を出すDOSコマンドを教えてくだすい。

**名無し~3.EXE** · 2008/10/21(火) 21:13:12

1台のPCにADユーザが複数ログインしていて
ログインした分ローカルユーザプロファイルが出来るんだけど
このプロファイルを同一フォルダに統一とか共有することって出来ますか？

環境：移動ユーザプロファイルは使用していない。
固定ユーザプロファイルは使用したくない。

**名無し~3.EXE** · 2008/10/24(金) 23:20:13

すいません。アドバイスください。
前任者からWORKGROUPからドメイン参加を引き継いだ者です。

ドメイン参加後、ローカルPCのAdministratorsにDomain Adminsが登録されて
いないことが判明しました。使用者はDomain Usersとなっています。
AdministratorsにDomain Adminsを参加させる方法はありませんか？

そのローカルPCは、遠地のため直接操作する機会がなく困っています。

コンピュータのログインスクリプトでAdministratorsに参加させるwsfを実行していますが
権限不足なのか、反映しません。

**名無し~3.EXE** · 2008/10/25(土) 00:39:04

>>450
mmcやtsはダメ？

**450** · 2008/10/25(土) 10:26:09

mmcでリモートPCにアクセスしてローカルグループの追加をしましたが
「アクセスが拒否されました」で追加できませんでした。
TSは、TSGatway?
はじめて聞きましたググってキマス。
ありがとうございました。

**名無し~3.EXE** · 2008/10/25(土) 12:18:32

>>452
mmcはダメだよな、失礼
mstscでリモート接続できればローカルアドミンで入れるだろうけど

**450** · 2008/10/25(土) 13:10:59

接続先のリモートデスクトップ、Pc-anywhereのFWがOFFなので
途方に暮れていました。TSは試していませんが一度、試してみます。

**名無し~3.EXE** · 2008/10/26(日) 22:27:16

2000で既存のドメインコントローラ追加時に
レプリケーション相手の指定はどのようにすれば
よろしいのでしょうか。
後からレプリケーションの方法もあるのでしょうか。
教えてください。

**名無し~3.EXE** · 2008/10/26(日) 22:58:51

>>455
通常は自動設定済み
色々いじりたいなら「Active Directory サイトとサービス」

**名無し~3.EXE** · 2008/10/26(日) 23:09:23

>>456
ありがとうございます。
通常時のレプリケーションはサイトでわけるのは
わかるんですが、dcpromoで既存のドメインに追加
インストールするときです・・・。

**名無し~3.EXE** · 2008/10/26(日) 23:19:56

>>457
だから「Active Directory サイトとサービス」だって
dcpromo中は複製に関する設定は無い

**名無し~3.EXE** · 2008/10/26(日) 23:50:18

>>457

DNS使ってDC探すなどしてるので、DNSの指定ができてれば、
順調に進んでレプリケーションもはじまるかと。

**名無し~3.EXE** · 2008/10/29(水) 09:59:20

すいません、教えてください。
同一LAN・同一DC で利用中、ユーザーの席替えがありました。
席替え後に移動前と同一のIDでログインした時に、移動ユーザープロファイルが反映されなくなってしまいました。
（デスクトップの内容など）

原因としてはなにが考えられるでしょうか。
ご教授お願いいたします。

**名無し~3.EXE** · 2008/10/29(水) 19:55:45

・ログオンできるコンピュータが指定されている。

**名無し~3.EXE** · 2009/01/18(日) 01:22:14

Windows Server 2008のActive Directoryで、
ユーザアカウントとグループアカウントをスクリプトで
作ることになったんだけど、属性名がさっぱりわからん。
"l"が市区町村だとかなんて情報はどっから得るの？

MSDNやリソースキット見たんだけどわからん。

**名無し~3.EXE** · 2009/01/18(日) 09:44:16

>>462
ADSIでぐぐれば引っかかるかも

**名無し~3.EXE** · 2009/01/19(月) 22:49:30

ＯＳが不正にコピー＆インストールされプロダクトＩＤが被ってるクライアントが居る状態で
ドメインを構成するとどうなりますか？

多分、公式サポートに聞いても教えてくれないでしょう。

**名無し~3.EXE** · 2009/01/19(月) 23:09:51

>>464
シネ

**名無し~3.EXE** · 2009/01/20(火) 09:08:26

スタートアップスクリプトってUNCパスサポートしてないことに今気づいた
んだけど、、、他に逃げ道ある？
各クライアントの端末情報を集めたくて、ipconfigとかの標準出力を
共有サーバに出力したいんだけど。

ちなみにログオンスクリプトはドメインログオンしてない人が多いので、
使えません＞＜

**名無し~3.EXE** · 2009/01/20(火) 21:42:46

>>466
スタートアップスクリプトでは Windows 共有は素だと無理
タスクスケジューラの起動時を使うといける
もしくは、スタートアップスクリプト内で net use 接続
ただパスワードをベタに書くからお勧めはしない

**名無し~3.EXE** · 2009/01/28(水) 20:54:00

>>464
どうなるかはわかるけど教えない。常識だし。

**名無し~3.EXE** · 2009/01/29(木) 23:33:57

Windows Server 2008

Active Directory スキーマで
"user"クラスの"cn"属性は、"mailRecipient", "posixAccount", "person", "top"
４クラスから継承しているようなのですが、"user"クラスの"cn"属性に値を設定するとき、
どのソースクラスの属性であるか意識する必要はあるのでしょうか？
また、ソースクラスによって同じ属性でも必須だったりオプションだったりするのですが、
結局、継承先の属性は必須になるのかオプションになるのかわかりません。

ご存知の方がいましたら、教えてください。

**名無し~3.EXE** · 2009/01/31(土) 18:02:34

AdobeFlashPlayerをサイレンとインストールするようにしたけど、
Flash使ってるHP見るとユーザの権限不足(PowerUser)の為に設定で
こけてしまっている。
結局Admin権限ないとインストール出来ないだったら意味ないし、
何かいい解決法ないか教えてエロイ人。

**名無し~3.EXE** · 2009/02/01(日) 10:49:41

>>464ってVista以外なら実は問題無さそうだけどな。

**名無し~3.EXE** · 2009/02/03(火) 03:06:25

むしろVISTAだと問題あるのか？

**名無し~3.EXE** · 2009/02/22(日) 22:18:45

社内システムでなにやら、「Active Directory」というものを使おうとしてます。
そこでActive Directoryはどのようなことができるのでしょうか？
システムに制限が掛けられる？？？
ただのクライアントの私には関係ないのでしょうか？
お分かりの方よろしくお願いします。

**名無し~3.EXE** · 2009/02/23(月) 02:18:52

タダのクライアントなら管理者のなすがままなので流れに身を任せてください。

**名無し~3.EXE** · 2009/02/23(月) 02:31:24

>>473
ドメインユーザに一律でポリシーを当てられる。
それくらい。

**名無し~3.EXE** · 2009/02/25(水) 14:30:32

ワークグループでの管理とActive Directoryでの管理でセキュリティ的に違いはありますか？
管理者がクライアントの管理が楽になるかならないかの違いですか？

よろしくお願いします。

**名無し~3.EXE** · 2009/03/05(木) 17:03:22

>>473
クライアントの利点
時計が正確になる

**名無し~3.EXE** · 2009/03/06(金) 21:27:18

※ただしドメインコントローラが正しい時刻を知っている場合に限る

**名無し~3.EXE** · 2009/03/07(土) 15:19:02

2008からのNAPは、それなりに使えるんじゃね？
それまでは、サードパーティ製に頼ってたことが、2008だけである程度実現できるようになったわけで。
クライアントがXPSP3以降に限定されてしまうけど。

**名無し~3.EXE** · 2009/03/10(火) 15:21:46

誰がどのPCを使っているか書かれたリストをなくしてしまい困っています。

ドメイン参加の250台ちかくPCがあるんですが、最後にログオンした人をそれぞれのコンピュータ名で知る方法はありますか？

または、アカウントがどのPCにログオンしたのかでも分かればいいです。

**名無し~3.EXE** · 2009/03/10(火) 22:36:14

ドメイン参加してるんならリモートからレジストリ開いて Winlogon の下の DefaultUserName でも
暇な時にえっちらおっちら調べれば良いんじゃないの。バッチにするなりなんなりすれば流すだけだし。

**名無し~3.EXE** · 2009/03/10(火) 22:54:31

全台数上がっているならリモートから覗くでも良いだろうけど、
ログオンスクリプトで
echo %COMPUTERNAME%,%USERNAME%>\\server\share\%COMPUTERNAME%.txt
の方が楽
もっと色々やりたいならWSHでCIMV2たたくとか

**名無し~3.EXE** · 2009/03/11(水) 21:51:08

Windows Server 2008

ロックアウトを解除するプログラムを作成したい。
しかし、Active Directory が、どこの属性の値を判断して
ロックアウト状態であると認識しているかわかりません。

UserAccountControlのフラグの説明を見たら、
ms-DS-User-Account-Control-Computedに置き換わりましたと
記載されていたのですが、簡易プログラムを作成して属性の値を見たのですが、
ロックアウト状態でも値が0のままでした。

それともう一つ、ADSIエディタでms-DS-User-Account-Control-Computedの
属性が表示されないのですが、仕様ですか？

**名無し~3.EXE** · 2009/03/11(水) 23:18:59

>>483
ttp://msdn.microsoft.com/en-us/library/ms676843(VS.85).aspx
ttp://en.csharp-online.net/User_Management_with_Active_Directory%E2%80%94Determining_Account_Lockout
ttp://forums.techarena.in/active-directory/646125.htm
ttp://dunnry.com/blog/CategoryView,category,Lockout.aspx

何を以てロックアウトであると判断するのか、であればlockoutTimeを見るのが良いのかね。
手元の2000 AD環境でロックアウトさせてみたアカウントのlockoutTimeに0を突っ込んだら（デフォルトはnot set）、解除されたよ。

ms-DS-User-Account-Control-Computed の方は2008の環境がないのでわからんね。

**名無し~3.EXE** · 2009/03/11(水) 23:43:58

ありがとう
明日試してみます。

**名無し~3.EXE** · 2009/03/12(木) 22:48:41

WEB認証をLDAP認証にしたいけど
ADは入れられなかったので
ADAMで作成しているんだけど。

作成したユーザのパスワード変更を
WEB経由できなくてはまっています。

成功例があれば教えてもらえないでしょうか？

phpldapadminだとuserPasswordが
表示されないのは型が違うからだと思うので
やっぱり、ADSIを.netとかWSHでゴニョゴニョなのかな…

**名無し~3.EXE** · 2009/03/25(水) 21:50:11

ホームフォルダとは、何に利用するために設定するのでしょうか？
リソースキット等の書籍を参照しても、説明が載っていません。

そもそもホームフォルダとは何ですか？
ログオン時のカレントディレクトリがその場所を指しているぐらいしか分かっていません。

**名無し~3.EXE** · 2009/03/29(日) 09:40:27

ＤＣとなるＰＣに複数のＩＰアドレスを割り当てたまま、
一つのドメインを構築するとどうなりますか？

>>487
ユーザ毎の作業机みたいなの？

**名無し~3.EXE** · 2009/04/16(木) 17:33:19

age

**名無し~3.EXE** · 2009/04/16(木) 18:57:31

>>488
別に。
ドメインは、そういうネットワークセグメントの制限を超えて管理することができることも特長の一つだから。

**名無し~3.EXE** · 2009/04/17(金) 23:21:01

>>487
＞ホームフォルダとは、何に利用するために設定するのでしょうか？

セキュリティーの強化の為にあると思ってくれたらいい
ローカルにフォルダ置くと情報漏洩の恐れがある（PCの盗難など）
そこでサーバーに置くように指示すればリスク減るわけ

**名無し~3.EXE** · 2009/04/20(月) 00:09:26

(笑)

**名無し~3.EXE** · 2009/04/24(金) 19:06:28

特定のアプリを実行するバッチファイルを作成して
グループポリシーのログオンスクリプトに設定して
正しく動作する事を確認しました。
ただ、同じバッチファイルをログオフスクリプトに
設定してもまったく反応しません。

バッチファイルで実行するアプリがネットワーク先(\\サーバー名\～)で
ある事が原因のような気がしますが、解決方法が分かりません。

理想を言えば、シャットダウンスクリプトで実行したと思っています。

何かアドバイスをお願いします

**名無し~3.EXE** · 2009/04/26(日) 16:10:52

>>493
ログオンスクリプト晒せ

**493** · 2009/04/27(月) 09:52:40

>>494
バッチファイルは以下のみです。

START \\ServerName\hogeFolder\AppName.exe

**名無し~3.EXE** · 2009/04/27(月) 18:58:41

>>495
start /wait ～
ではどう？
あと、シャットダウンスクリプトだとネットワーク共有のアクセス権に注意

**493** · 2009/04/30(木) 18:52:05

>>496
ありがとう御座います。

教えていただいた方法で試しましたが、どうにも正しく完了まで待たないようなので
VBScriptを作成してプロセスが消えるまで待つと言う方法で対処する事にしました。
(実行するアプリが完了していないのに、完了したと報告してしまうのかも知れません。)

以下、ネット巡回で見付けた方法

> Set objWMI = GetObject("winmgmts:")
> Do
> 　Set objProc = objWMI.ExecQuery("select * from Win32_Process where Name='hogehoge.exe'")
> 　WScript.Sleep 1000
> Loop While objProc.Count > 0

**名無し~3.EXE** · 2009/05/20(水) 00:18:13

今度ADの設計をやることになったんですけど、
顧客要件のヒアリングのコツってありませんかね？
研修を除き、今までほぼノータッチできたもので…orz

**名無し~3.EXE** · 2009/05/20(水) 11:48:02

ｶﾞﾝｶﾞﾚw

**名無し~3.EXE** · 2009/05/26(火) 22:01:28

>>499
応援ありがとう
外注したｗ

**名無し~3.EXE** · 2009/06/07(日) 18:57:52

ＡＤって舐めてたら死ねるから、それでオケ。

**名無し~3.EXE** · 2009/06/08(月) 21:39:55

あくてぃぶ！　あくてぃぶ！

**名無し~3.EXE** · 2009/06/09(火) 13:09:50

>>502
古館のフォイテク！フォイテク!を思い出したオレって・・・・・・

**名無し~3.EXE** · 2009/06/10(水) 22:53:22

すみません、AD関連に詳しい方、ご教示をお願いできませんでしょうか。。m(__)m
ﾄﾞﾒｲﾝﾕｰｻﾞｰがｸﾗｲｱﾝﾄにﾛｸﾞｵﾝした時の、壁紙を固定化させたいというときに、
「ｸﾞﾙｰﾌﾟﾎﾟﾘｼｰ」の「ﾕｰｻﾞｰの構成」から設定することは可能ですよね？
ﾄﾞﾒｲﾝ配下にA及びBというｸﾗｲｱﾝﾄがある場合、
それぞれにﾄﾞﾒｲﾝﾕｰｻﾞｰがﾛｸﾞｵﾝすると、同じ壁紙が設定されることと思います。
これを、Aにﾛｸﾞｵﾝしたときの壁紙とBにﾛｸﾞｵﾝしたときの壁紙を
分けて設定することはできないのでしょうか？
「ｺﾝﾋﾟｭｰﾀの構成」からできるような気がしたんですが、それらしきﾎﾟﾘｼｰがありませんorz
何とかこの問題を解決できないものでしょうか？

**504** · 2009/06/10(水) 22:56:59

すみません、OSはXP proです

**名無し~3.EXE** · 2009/06/10(水) 23:42:03

>>504
ユーザーAとBをAD上で別のセキュリティグループにする
グループポリシーでAが所属するグループには壁紙AをBが所属するグループには壁紙Bを

ってのはだめ？

**名無し~3.EXE** · 2009/06/10(水) 23:48:50

>>505
ドメイングループポリシーからは出来ません
ユーザログオン後の壁紙設定はドメインユーザ固有の設定なので、
コンピュータ毎に別々の壁紙で固定としたいなら、

・ドメインユーザのグループポリシー設定を外す
・各々のコンピュータのローカルユーザポリシーで壁紙を設定する
・各々のコンピュータのgpedit.mscで
　コンピュータの構成
　　- 管理用テンプレート
　　　- システム
　　　　- グループポリシー
　　　　　- ユーザーグループポリシーループバック
　を有効とする

といったことが必要

**504** · 2009/06/11(木) 00:15:43

>>506 >>507
レスどうもありがとうございますm(_ _)m

調べていたら、ﾚｼﾞｽﾄﾘ変更でにてｺﾝﾋﾟｭｰﾀ毎に、
壁紙の固定化を強制できそうですので、こちらでやってみることにします。
http://www.windows-world.jp/tips/-/10661.html

**名無し~3.EXE** · 2009/06/11(木) 00:41:44

>>508
そのやり方はHKEY_CURRENT_USERの修正なので、一旦そのユーザで
ログオンしてからそのユーザで修正する必要があります
つまり、ログオンした先で画面の設定から壁紙を選ぶのと同じ

それで良ければどうぞ

**504** · 2009/06/11(木) 06:30:38

>>509
レスありがとうございます。
実際やってみましたけど、その通りでした。
正攻法は>>506さんのやり方ですね
>>507さんのはちょっと複雑(;^_^A
残念ながら、ﾕｰｻﾞｰの所属ｸﾞﾙｰﾌﾟを変更するのは難しいので
ﾕｰｻﾞｰ作業で、初回ﾛｸﾞｵﾝ時に壁紙変更をしてもらうことにします（ｱﾅﾛｸﾞですが。。）

**名無し~3.EXE** · 2009/06/11(木) 22:03:03

ぼーっと読んでると途轍もなくややこしいな。グループポリシー

**名無し~3.EXE** · 2009/07/05(日) 13:54:28

BDC導入はやっぱり必須なんでしょうか。
導入することに伴う煩雑化は発生しますか？

**名無し~3.EXE** · 2009/07/05(日) 14:00:44

>>512
ADの場合BDCじゃないけどね
重要なドメインだったらDCは最低二台
運用は一台と大して変わらないけど、操作マスタの移動とかは知っておいたほうが良い

**名無し~3.EXE** · 2009/07/05(日) 16:50:29

>>513
ありがとう。
ちっちゃな会社なので、1DCでの構築＋グループポリシーのみしか
やったことがなかったので、ちょっと調べてみます。

**名無し~3.EXE** · 2009/07/05(日) 21:49:07

>>514
一台だけだと壊れたときに目も当てられないからね
操作マスタの操作はntdsutilでどうぞ

**名無し~3.EXE** · 2009/07/06(月) 11:21:35

2台とか怖すぎる、２+別室にもう一台の3以上でお願いします；；

**名無し~3.EXE** · 2009/07/07(火) 01:07:56

移動プロファイルを設定したのに壁紙などが引き継がれない
どうしてなんだろ…

**名無し~3.EXE** · 2009/07/07(火) 01:08:44

いやいや、それだとビルが破壊されたときに・・・

**名無し~3.EXE** · 2009/07/07(火) 01:31:35

いやいや安全を考えると全PCをDCにするべきだ

**名無し~3.EXE** · 2009/07/07(火) 02:19:11

>>519
本末転倒

**名無し~3.EXE** · 2009/07/09(木) 09:13:17

じゃあDC無しってことで・・・

**名無し~3.EXE** · 2009/07/09(木) 21:42:57

>>521
ワークグループ最強説

**名無し~3.EXE** · 2009/08/02(日) 20:16:10

WindowsServer2008を使用しています。

デフォルトでは、管理者でない、普通のドメインユーザーでも、
１０台までならＰＣのアカウントをＡＤ上に作成出来ますよね。

でもこれでは、一般社員が持ち込んだ私物ＰＣが、管理者の知らぬ間に
ＡＤに作成されてしまいます。

「コンピュータアカウントの作成権限」を、普通のユーザーから取り上げる、
または、一部のユーザーにのみ許可する、という設定は
どこから行えばよいでしょうか？

**名無し~3.EXE** · 2009/08/02(日) 20:40:15

私物にIPを付与しなければいいんじゃね？

**名無し~3.EXE** · 2009/08/02(日) 20:50:17

つ ms-DS-MachineAccountQuota

**名無し~3.EXE** · 2009/08/05(水) 12:36:53

WORKGROUP環境からADへ移行した時に、クライアントのユーザーデータを
moveuserでADアカウントへ移行した。その時に起きた事と、どう対処したかの
私用メモ。当分dat落ちしそうにないし、いいよねｗ　長くてごめん。

クライアント：Windows XP SP2～3 10拠点100台くらい
ドメインコントローラー：Windows Server 2008 Standard

ローカルユーザーアカウントtestを作成し、Administratorsグループに
所属させ、パスワードを付与し、testアカウントにログオンして作業。
↑
最初はAdministratorで作業しようとしたが、最初の端末がAdministratorで
運用されてたので、作業用に別アカウントを作成する事にした。
結局、Administratorで運用されてたのは3台あった。

**名無し~3.EXE** · 2009/08/05(水) 12:37:11

moveuserコマンド実行時

・Error 5(2かも。作業メモが汚くてよくわからん状態)

移行元アカウントのデータがあるフォルダに対し、Administrators
グループのアクセス権がなかった(user01というアカウントだとすると、
C:\Document and Settings\user01フォルダのアクセス許可エントリの
内容が、user01にフルコントロールの1行だけ、所有権もuser01だった)
ので、アクセス許可エントリの内容にAdministratorsとSYSTEMそれぞれ
フルコントロールで追加、所有権をAdministratorsに変更した。
↑
なんかうまく行くようになっただけで、正しいかは不明。

・Error 1317

既にmoveuserの処理を行っていた。疲れていたので休憩した。
よく見たら Windows XP Home Edition だったので、
Professionalに入れ替えた。

・Error 1332

アカウント名のスペルが間違っていたので、スペル間違いを修正した。

**名無し~3.EXE** · 2009/08/05(水) 12:37:45

moveuser実行後、ADアカウントでログインした時

・壁紙が表示されない、デスクトップのアイコンがない

アクセスが拒否された旨のメッセージが表示されたため、
前述のError 5(2かも)の時と同じ対処をした。

但し、1台だけどうにもならないのがあった。サブフォルダ以降に
アクセス許可エントリの修正が反映されず、数百ファイルを手動で
修正したが根が尽きた。古いPCで運用5年目であったため、掃除も
兼ねリカバリをかけ、復旧。

・Office2000、Acrobat Readerのデータファイルのアイコンが、
　関連付けなし状態になった
・いくつかのアプリケーションアイコンが地味なものに統一された

アイコンファイルの在処を調べると、%systemroot%Installer
フォルダにあるはずという事がわかったが、この現象が発生
している場合、そのフォルダの中身がカラだった。

当該アプリケーションの再インストールを試みたが、削除も
できなかった。

現象が発生していない他のPCでも参照先のフォルダは同じか
似通ったものであったため、Office2000についてはフォルダを
コピー、Acrobat ReaderについてはWindows Install Clean Up
でインストール情報を削除後、再インストールした。

こんなもんか。トータルでは楽できたから良かった。
最後のInstallerフォルダの中身消失はどうすれば防げるのか・・・
一時的にリードオンリーにでもすればいいのかな？

**名無し~3.EXE** · 2009/08/21(金) 00:21:57

うーむ

**名無し~3.EXE** · 2009/08/27(木) 14:00:25

Windows 2003 Serverでサーバが物理的に故障した際に、
別のサーバーのWindows 2003 ServerにバックアップからADを復元し
修理期間の間の代替え機として使う事は可能でしょうか？

**名無し~3.EXE** · 2009/08/27(木) 23:07:53

>>530
事前にバックアップを検討しておけよ
ってかサーバー機が1台しかないのか？

**名無し~3.EXE** · 2009/08/28(金) 00:20:24

可能
でもバカ
DC二台以上建てとけよ

**530** · 2009/08/28(金) 09:59:04

レスありがとうございます。

>>531
サーバー機は1台です。
>>532
可能なようで安心しました。
2台で運用してくれると助かるのですがね…

**名無し~3.EXE** · 2009/08/28(金) 15:50:40

同じHW構成のサーバであれば、
ADの復元も難しくないのかも
だけど、違うHW構成のとこに
戻す必要があるなら、安心せず、
手順を確認した方がよいかも。

**名無し~3.EXE** · 2009/08/28(金) 22:51:45

常識的に考えてサーバーは二台以上立てないと
そんなに冗長性を無視したいのか？
バックアップがないならむしろADなんか使わない方がいい

**名無し~3.EXE** · 2009/08/29(土) 02:22:15

世の中にはいろんな事情があるんだろ

**名無し~3.EXE** · 2009/08/29(土) 20:46:57

中小相手の仕事してると、１台で運用しているところなんてたくさんあるよ
顧客がメリデリ踏まえたうえで１台構成でいいと言ってきたら、強引に２台目を構築するわけにもいかないしね

**名無し~3.EXE** · 2009/08/29(土) 21:16:06

>>537
代替機が準備できるんなら最初から二重化しておけってことだろ