はじめてのWindows Server

５人そろったらはじめましょうはじめての Windows Server マイクロソフト株式会社エバンジェリスト安納順一（あんのうじゅんいち） http://blogs.technet.com/junichia/

目次 Windows Server とは何者か？ファイルサーバーとしてのWindows Server 認証基盤としてのWindows Server クライアント構成管理基盤としてのWindows Server

Windows Server とは何者か？

Windows と Windows Server は違う？ Windows WindowsClient Windows Server Windows Server 2008 R2 Windows Server 2008 Windows Server 2003 R2 Windows Server 2003 Windows 2000 Server Windows NT 4.0 Windows NT 3.51 Windows NT 3.5 Windows NT 3.1 Windows 7 Windows Vista Windows XP Windows Me Windows 98 Windows 95 Windows 3.1 Windows 3.0 Windows 2.11 Windows 2.1 Windows 2.0 最近仲間入り Windows Azure

サーバーとしての機能が大幅に増強されている同時アクセス数クライアントOSは最大10ユーザー値段が違う Server Windows Server は何が違うのか基本的な操作方法は同じ見た目もほぼ同じ動くソフトウェアも大体同じ　※ゲームをのぞけばClientで動くソフトウェアはサーバーでも動く　　（OSのコアが同じ -> ドライバが共通） Client 画面系

Windows Server の用途ネットワーク機器以外の全てインフラをカバー Windows Server の３大サービスファイルサービスデータの格納庫認証サービス（Active Directory）ユーザーの管理アクセス権の管理構成管理サービス（Group Policy）クライアントの管理もちろんほかにも...標準機能が盛りだくさん WEBサービス、仮想サービス、プリントサービス、クライアント配信サービス、権限管理サービス、証明書サービス、ターミナルサービス、検疫サービス、フェデレーションサービス、パッチ管理サービス、DHCPサービスなどなど... 6

Windows Server と役割素の Windows Server はク○ープを入れないコーヒーのようなもの「役割」を追加することで Windows Server に性格付けができる１つのサーバーに多くの役割を入れすぎるとかえって管理が複雑に... Active Directory DNS DHCP NAP File Service WEB ・・・ Windows Server 2008

（余談）最近の流行は仮想化 Active Directory DNS DHCP NAP WWW WWW Network Load Balance Windows Server 2008 Windows Server 2008 Windows Server 2008 Windows Server 2008 Guest Hyper-V（仮想化サービス） Windows Server 2008 HOST Intel VT/AMD-V

DEMO1 Windows Server 2008 のインストール Windows Server2008 の初期設定コンピューター名の設定 IPアドレス/DNSの設定 ※Hyper-V上で行ってみましょう DC01 administrator administrator junichia junichia FS01 Win7

ファイルサーバーとしてのWindows Server

何ができるのか？データの集中管理と共有スクリーン機能不要なファイルを保存させない機能クオーター管理容量制限分散ファイルシステム(DFS)with Active Directory ファイルサーバーを2台以上で構成し信頼性を向上ファイルサーバーを分散させて1つに見せるブランチキャッシュ（2008R2＋Win7）地方の営業所にデータをキャッシュ

データの集中管理と共有俗に言うファイルサーバー機能認証は個々のサーバーで行う FS01 FS02 FS03

DEMO2 ファイルサービス役割の追加 DC01 administrator administrator junichia junichia FS01 Win7

（参考）「ファイルサーバー」として使う前に Windows Server のエクスプローラも一般ユーザー向けのインターフェースにチューニングされてしまっている [コントロールパネル]-[フォルダオプション] [すべてのファイルとフォルダを表示する]：有効 [共有ウィザードを使用する]：無効 [常にメニューを表示する]：有効 [登録されている拡張子は表示しない]：無効

（参考）「役割」について Windows Server 2008 では、「役割」や「機能」を追加することで、サーバーでできる事が決まります

（参考）「役割」と「役割サービス」「役割」は複数のサービスに分かれている場合がある「役割」を追加した後で「役割サービス」を追加するには、[サーバーマネージャ]で「役割サービスの追加」を行う。「ファイルサービス」役割配下の役割サービス

フォルダ、共有、ユーザー、アクセス権ファイルサーバーとして使えるようにするには、以下の設定が必要共有フォルダの作成フォルダ単位で共有設定を行うことユーザーの作成リモートから共有フォルダを使用するユーザーを作成するアクセス権の設定共有フォルダへのアクセス権限を設定する User01：読み取り Admin：フルコントロールなどアクセス権には2種類共有フォルダのアクセス権ファイルシステムのアクセス権 1台のサーバー内で完結ユーザーフォルダ共有名アクセス権（ACL）

共有アクセス権とファイルシステムアクセス権共有アクセス権：リモートからの接続許可ファイルシステムのアクセス権：ファイルシステム内の使用許可一般的には「共有アクセス」は緩く、「ファイルシステム」できつく共有アクセス権リモートユーザーファイルシステムのアクセス権

規定のアクセス権共有フォルダのアクセス権 Everyone：読み取りファイルシステムのアクセス権 SYSTEM このフォルダ/サブフォルダ/ファイル：FULL Administrators このフォルダ/サブフォルダ/ファイル：FULL Users このフォルダ/サブフォルダ/ファイル：読み取りと実行このフォルダ/サブフォルダ：データの書き込み、データの追加 Creator Owner サブフォルダ/ファイル：FULL これが肝

「別のユーザー」を指定するには <コンピュータ名>amp;lt;ユーザー名> 接続先のコンピュータ名接続先のコンピュータに登録されているユーザー FS01ser01 FS01 User01

DEMO3 共有フォルダを作成ユーザーを作成アクセス権を付与 ※2台のサーバーに対して行ってみます DC01 administrator yamada administrator junichia junichia yamada FS01 Win7

ファイルサーバーの運用をサポートする機能～リソースマネージャー無駄に容量を増やさないファイルスクリーン保存させたくないファイルの拡張子を指定クオータ容量の上限を設定ディスクの使用量をレポートする記憶域レポートの管理使用量を定期的に自動生成＆メール送信 22

DEMO4 リソースマネージャー（役割サービス）の追加 DC01 administrator yamada administrator junichia junichia yamada FS01 Win7

ファイルスクリーン指定した拡張子を持つファイルを保存させないようにする機能容量の大きなファイル（動画、静止画、音声など）著作権に抵触しそうなファイル（動画、静止画、音声など）容量増大を招きそうなファイル（動画、静止画、音声など）危険なファイル（実行ファイルなど）スクリーン設定どのファイルを制限するか制限時の動作保存させない（アクティブ）保存させるけど警告を出す（パッシブ）メール送信イベントログコマンド実行

クオータ指定したフォルダの最大容量を指定できる全てのユーザーに適用される（管理者も例外ではない）クオータ設定フォルダの最大容量（サブフォルダにも適用）容量オーバー時の動作保存させない（ハード）保存させるけど警告を出す（ソフト）メール送信イベントログコマンド実行参考　コマンドを使用して容量制限を拡張することが可能　dirquota.exe quota modify /path:c:omenno 　　　　　　　　　　　　　　　/sourcetemplate: “テンプレート名”

記憶域レポートディスクの使用状況をレポートとして出力 DHTML/HTML/XML/CSV/TXT 出力したい情報を選択クオータの使用率ファイルグループごとのファイルファイルスクリーン処理の監査最近アクセスされていないファイル最近アクセスしたファイル重複しているファイル所有者ごとのファイル大きいサイズのファイルスケジューリング週に1回、毎日12時に実行などメールの送信先 26

DEMO5 ファイルスクリーンクオータ記憶域レポート DC01 administrator yamada administrator junichia junichia yamada FS01 Win7

認証基盤として Active Directory による認証とアクセス管理の統合

Active Directoryの基本機能

分散管理の問題点ユーザーをサーバー個別に管理管理作業の煩雑さミスの発生プロビジョニングの非徹底利用者の利便性低下ユーザーグループアクセス権ユーザーグループアクセス権管理者個々にログオン個々にパスワード変更ユーザーグループアクセス権

認証を統合するとこうなる管理者はActive Directoryのみを管理すればよい個々のファイルサーバーは初期設定のみシングルサインオンによりユーザーのログオンは一度だけアクセス権ユーザーグループアクセス権管理者 ADにログオンした後はすべてのサーバーにSSO Active Directory アクセス権

Active Directory って？ Windows Server に実装されているディレクトリサービス　　（vsSunJavaDS , OpenDS, Novel eDirectory, OpenLDAP, Oracle...）ユーザー認証基盤、情報ストアクライアント管理基盤他のサーバー製品との連携（Exchange,SharePoint,System Center など） Windowsの世界だけにとどまらない利用を前提 LDAP Kerberos CA NIS NTLM Radius ＋ Windows管理技術

疑問：Active Directory は大規模システム用でしょ？ NO！です Active Directory の目的はユーザー管理を「効率化」するためだけのものではありません使い勝手の向上安全性の向上規模の大小とは関係ありません可能性の拡大 Windows Serverには標準で 5CAL（クライアントアクセスライセンス）が付いています 5人そろったらActive Directory！

疑問：Active Directoryって難しいでしょ？ No！です Active Directory は「ITをシンプルにする」ために開発されたディレクトリサービスです。高必要なスキル 1000～ 20 低小大規模（ユーザー数）少人数こそ簡単に使えます！

DEMO6 Active Directory のインストール DC01 CONSOTO.CO.JP administrator DNS administrator junichia junichia yamada FS01 Win7

Active Directory で何ができるのか？ユーザーの認証クライアントPCへのログオン WEBアプリケーションを使用するときのログオンシングルサインオンドキュメントのRights Management 　などクライアントの認証許可されたクライアントを使用しているかどうかをチェックユーザーとグループの集中管理情報の一元管理有効期限管理やロックパスワードポリシーの管理などクライアントの集中管理クライアントOSの構成管理（Group Policy）各種サーバーのアクセスコントロール用として認証スイッチ用RADIUSサーバーとして検疫サーバー用のバックエンド認証サーバー　など

Active Directory を構築するに当たり事前に決めておくこと固定のIPアドレス DNSServer が必須 Dynamic DNSである必要がある ※安心してください秘策があります事前に決めておくこと DNSドメイン名（例） win.corp-domain.co.jp コンピュータ名（ホスト名）管理者のパスワード用語 AD Active Directory のことドメインコントローラ（DC） Active Directoryがインストールされたサーバーのこと

用語の解説 AD Active Directory のことドメイン Active Directory の影響が及ぶ範囲のこと物理的なネットワークとは全く関係ない政党のようなもの（ドメインを作る＝政党を作る）「ドメインに参加する」 Active Directory の影響下に置かれること政党に所属するようなもの数多の恩恵も多いかわりに、締め付けも発生ドメインコントローラー（DC） Active Directory をインストールしたWindows Serverのことドメイン内のユーザーやコンピュータを集中管理する総裁に相当？倒れたら大騒ぎになるので、影武者が必要。 Domain Admins ドメインの管理者グループこのグループに所属しているとドメイン内で絶大な権力を持つ党三役に相当。影でDCを動かしている。

小規模であれば（時間をかけた）設計はいりません！ DNSドメインは既存ドメインの「子ドメイン」とする DNSはActive Directoryで兼用し、既存DNSにForward WindowsクライアントはADのDNSを参照 Active Directoryの設計について企業ドメインの下位ドメインにする win.corp-domain.co.jp 参照 Active Directory兼 DNS コンピュータ名の名前解決に加え SVRレコード解決もここで行う corp-domain.co.jp forward 企業の外部DNS 企業の内部DNS 既存

信頼性を高めるためにどんなに小規模でも、最低2台のドメインコントローラを立てましょう高価なサーバーマシンである必要はありません PCレベルで十分です（ただし365日24時間運用が前提）クライアントのDNSサーバー設定には、2台のActive Directory を登録しておく生きているActive Directoryを自動的に認証サーバーとして使用する複製 Active Directory兼 DNS マルチマスターレプリケーションアカウント、DNSをはじめ、同じ情報を複製しあう

大規模な場合はこんな構成もできます ※これで１つのドメインです本社サイト RODC DMZ 栃木サイト大阪サイトサイト内で閉じた認証 WANを超えた認証を抑止 RODCでインターネットから認証地方をRODCで構成書き込みができないDC パスワードを保持しない RODC

DEMO7 user01 アカウントをドメインに作成ドメインに参加ファイルサーバー（FS01）クライアント（Win7） DC01 CONSOTO.CO.JP administrator user01 DNS administrator junichia junichia yamada FS01 Win7

ドメインに参加すると「ドメインに参加する」とは... Active Directory ドメインの管理下に置かれるドメインのadministratorがクライアントに対する管理権限を持つクライアントの管理者はクライアント内の管理権限を持つクライアントはドメイン内のリソースを使えるようになる一番強い権限ドメイン外のクライアント administrator 管理権限無し利用管理管理 DC 利用利用ドメインの壁

ローカルログオンとドメインログオンの違いどこに「ログオン」するかで、権限の及ぶ範囲が異なることに注意ローカルログオン（<クライアント名>amp;lt;ユーザー名＞) クライアントに登録したユーザーでログオンすること権限の範囲はクライアント内部で簡潔ドメインログオン（<ドメイン名>amp;lt;ユーザー名>）ドメインに作成したユーザーでログオンすること権限の範囲はドメイン全体（アクセス権の許す限り）ドメインログオン <ドメイン名>amp;lt;ユーザー名> ローカルログオン <クライアント名>amp;lt;ユーザー名＞ローカルとドメインの壁ドメインの壁

「グループによるアクセス権の管理」で効率化アクセス権はローカルグループで設定グローバルグループをローカルグループに所属させる経理部スタッフ ReadOnlyUsers READ 人事部スタッフ ReadWriteGroup Write 業務フォルダ人事部管理職

DEMO8 アクセス権の確認グループによるアクセス権の制御 DC01 CONSOTO.CO.JP administrator user01 DNS 情報システム部 administrator junichia junichia yamada FS01 Win7 ドキュメント管理者

DEMO9 Active Directoryでユーザーのプロビジョニング無効化パスワードのリセット有効期限の設定 DC01 CONSOTO.CO.JP administrator user01 DNS 情報システム部 administrator junichia junichia yamada FS01 Win7 ドキュメント管理者

分散ファイルシステムーActive Directoryがあるとこんなこともできます

DEMO10 分散ファイルシステム（役割サービス）のインストール DFS名前空間 DFSレプリケーション名前空間の作成レプリケーションの作成 DC01 CONSOTO.CO.JP administrator user01 DNS 情報システム部 administrator junichia junichia yamada FS01 Win7 ドキュメント管理者

分散ファイルシステム（DFS）複数のファイルサーバーを仮想的に統合名前空間ファイルサーバーを多重化レプリケーショングループ用語 DFS Distributed File System の略日本語では「分散ファイルシステム」名前空間クライアントから接続するときの仮想的なパスのことファイルサーバーが複数存在しても一意な名前空間を作成できるレプリケーショングループ複数のサーバーで構成されるグループで、このメンバー間でデータの複製が行われるメンバーサーバーレプリケーショングループのメンバーのことグループメンバー同士でデータを複製しあう

複数のファイルサーバーを仮想的に統合こんなニーズを解決しますファルサーバーが複数になると接続が面倒クライアントからは1台のサーバーに見せたい利用者からの指定方法 CONTOSO有告書 FS01告書 CONTOSO有 FS02ームディレクトリドメイン名 FS03内共通ドキュメント

ファイルサーバーを多重化こんなニーズを解決しますファイルサーバーの負荷が高い（負荷を分散したい）ファイルサーバーの信頼性を高めたい（片方が落ちてもいいように）遠隔地からのアクセスがある（支店では支店のサーバーを使いたい）利用者からの指定方法 CONTOSO有告書 FS01告書自動的に振り分けられる自動複製 CONTOSO有ドメイン名 FS02告書

データ収集こんなニーズを解決します地方にあるサーバーのログファイルを定期的に収集したい日中はネットワークが重たいので夜間に行いたいいったん一台のサーバーにデータを集めてからバックアップしたい複製

Distributed File Lockingについて一方で編集されているときに、他のサーバー上のファイルをロックする機能残念ながらできません。。。そのかわり...といってはなんですが... Windows Server 2008 R2 からは、「 Read-Only replicated folders 」が実装される予定です。

（余談）ブランチキャッシュについて地方の拠点に対し、効率的にファイルを転送する方法 Windows Server 2008 R2+ Windows Server 7 Filer Hosted Cache ー拠点サーバーにキャッシュ Distributed Cache ークライアントにキャッシュ中規模以上の拠点に対して推奨される構成集中管理されたキャッシュ:拠点にすでに存在するサーバーでキャッシュの集中管理が可能キャッシュに対する高い可用性支店全体のキャッシュをカバー拠点にサーバーを用意する必要がないクライアントのグループポリシーを有効にするだけですぐに利用可能キャッシュされた内容はクライアントオフラインにするだけで削除される

クライアント構成管理基盤として 56

DEMO11 ドメイン　　：パスワードの長さを16文字に強制するコンピュータ：無操作時の自動スリープ移行ユーザー　　：IE のホームページとプロキシー設定　　　　　　：WINNYを使わせない　　　　　　：コントロールパネルを使わせない DC01 CONSOTO.CO.JP administrator user01 DNS 情報システム部 administrator junichia junichia yamada FS01 Win7 ドキュメント管理者

クライアントの構成管理とは以下をドメインコントローラで集中管理することグループポリシーセキュリティ関連パスワードの複雑さ通信の暗号化強度ログの保存期間など OSの環境コントロールパネル内の各種設定シェル（エクスプローラ）の動作設定などインストールされているソフトウェアの環境構成 Office の環境設定 Internet Explorer の環境設定 Windows関連コンポーネントの環境設定レジストリや ini ファイルの設定などユーザープロファイルの構成デスクトップの設定アプリケーション利用の許可と拒否プリンターの接続アプリケーションの動作設定

グループポリシーの概念「コンピュータポリシー」と「ユーザーポリシー」電源ボタンON コンピュータポリシー適用全てのユーザーに影響セキュリティ関連 OSの環境ソフトウェアの環境コンピュータ起動ログオン画面ユーザーログオンユーザーポリシー適用ユーザープロファイルの設定

部門ごとにポリシーが異なる場合ユーザーとコンピュータを部門ごとに分割する -> OU（Organizational Unit）を使用 IEのプロキシとホームページ設定 DomainROOT GPO OU：Domain Controllers パスワードポリシー規定 GPO プリンタドライバのインストール OU：Clients GPO 業務部共通ホームページ設定 GPO OU：業務部 OU：経理課業務アプリの設定ゲーム等の起動禁止 GPO 一切の設定無し OU：システム管理者 GPO GPO:Group Policy Object

DEMO12 部門ごとにポリシーを作成 DC01 CONSOTO.CO.JP administrator user01 DNS 情報システム部 administrator junichia junichia yamada FS01 Win7 ドキュメント管理者

（参考）グループポリシー基本設定ーGroup PolicyPreferences ログオンスクリプトやスタートアップスクリプトで頻繁に使用する機能を、グループポリシー管理エディタに組み込んだものスクリプトによる構成管理からの開放 Windows Server 2008 / Windows Vista SP1 必須※適用先は XP/2003 SP1 以降/ Vista / 2008 Windows Server World 7月号（5月末発売号）にて特集

少人数だからこそコストがかからない方法があります

少人数だからといって「高機能」をあきらめる必要はありません

はじめてのWindows Server

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Viewers also liked

Viewers also liked (20)

Similar to はじめてのWindows Server

Similar to はじめてのWindows Server (20)

More from junichi anno

More from junichi anno (20)

Recently uploaded

Recently uploaded (10)

はじめてのWindows Server