OpenVMS マニュアル

3.7.1 Advanced Server のメンバ・サーバとしての構成

Advanced Server を構成して，ドメインにメンバ・サーバとして加わるようにするには， PWRK$CONFIG.COM 構成プロシージャを使用します。 ADMINISTER SET COMPUTER/ROLE コマンドを使用して，日本語 Advanced Server for OpenVMS ドメイン・コントローラをメンバ・サーバの役割に変更したり，メンバ・サーバをドメイン・コントローラの役割に変更したりすることはできません。

Advanced Server が，動作中の PDC のある既存のドメインに加わっている場合，それをメンバ・サーバとして構成することができます。ドメインがネイティブ・モードの Windows 2000環境 (ピュア Windows 2000 ドメインとも呼ばれ，すべてのドメイン・コントローラがWindows 2000 システムであるドメイン) あるいは Windows 2003 ドメインの場合，すなわちすべてのドメイン・コントローラが Windows 2000 システムあるいは Windows 2003 システムであるドメインでは，まず，ドメインに少なくとも 1 つのドメイン・コントローラが含まれるようにする必要があり，その後 Advanced Server をメンバ・サーバとして構成できます。

次のような理由により，日本語 Advanced Server for OpenVMS を BDC (または PDC) ではなく，メンバ・サーバとして構成したいことがあります。

• メンバ・サーバはログオン要求の認証に時間を費やすことがありません。このため，この役割は，作業負荷の重いサーバや，非常に時間的制約の厳しいタスクを実行するサーバにとっては良い選択です。

• さらに重要なことは，1 つ以上のサーバをドメイン・コントローラではなくメンバ・サーバとして構成すると，ドメイン・コントローラがユーザ・データベースの複製を行ったり，ログオン要求の認証を行ったりすることにより通常生成されるネットワーク・トラフィックが排除されるため，ネットワーク負荷を削減するのに役立ちます。クライアントが要求を認証するログオン・サーバを見つけようとすると，すべてのドメイン・コントローラが要求に応答します。環境によっては，これがネットワーク上で深刻な負荷を生成することがあります。

• 日本語 Advanced Server for OpenVMS をメンバ・サーバとして構成すると，日本語 Advanced Server for OpenVMS はネイティブ・モードのWindows 2000 あるいは Windows 2003 環境を中断することなく，その環境に加わることができます。

• 将来，日本語 Advanced Server for OpenVMS サーバを異なるドメインに移動する場合，それをメンバ・サーバとしてドメインから別のドメインに移動する方が簡単です。

以降の項で， Advanced Server をメンバ・サーバとして構成する方法について説明します。

Advanced Server をアクティブ・ディレクトリでメンバ・サーバとして構成する場合は，次のような項目を検討する必要があります。

• どのコンピュータを PDC エミュレータとして機能させるかを判断します。はっきりしない場合は次のような手順で決定します。

  1. Active Directory Users and Computers を起動して，ドメイン名を右クリックし， Operations Masters を選択します。

  2. PDC タブを選択して，どのドメイン・コントローラが PDC エミュレータであるか確認します。

  3. Advanced Server 構成プロシージャが PDC の名前についてのプロンプトを表示したら，PDC エミュレータの NetBIOS 名 (pre-Windows 2000 名とも呼ばれます) を入力します。

• 構成中にユーザ名とパスワードを提供することを管理者が選択する限りは， Advanced Server は正しくドメインに参加できます。しかし，認証情報を提供しないことを管理者が選択した場合 (たとえば既にそのコンピュータ・アカウントが存在する場合など)，処理が失敗する可能性があります。この場合は，以下のセキュリティ・ポリシが Windows Server 2003 PDC エミュレータで有効であること (デフォルトは無効) を確認してください (このポリシは Windows 2000 には存在しません)。

  Network access: Allow anonymous SID/Name translation

  
  PDC エミュレータでこのポリシが無効になっている場合は，ドメインに参加する際 Advanced Server は SAM データベース・ファイルの作成に失敗します。構成中に次のようなエラーが表示されます。

  Creating SAM datafiles... %PWRK-F-SAMCHECK, error creating SAM databases PWRK-I-RESTORE, restoring original settings @SYS$UPDATE:PWRK$CONFIG must be executed again. The Advanced Server configuration is incomplete and cannot continue.

• PDC エミュレータのセキュリティ・ポリシ "Network security: LAN Manager authentication level" の現在の設定を確認します。
  このポリシはレジストリ値 LmCompatibilityLevel の設定 (HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa の下のキー) を制御します
  LmCompatibilityLevel の設定は，可能な限りすべてのシステムで同じであるべきです。 Windows セキュリティ・ポリシの設定 "Network security: LAN Manager authentication level" はレジストリ値 LmCompatibilityLevel に次のようにマップされます。

  Network security: LAN Manager authentication level LmCompatibilityLevel Send LM & NTLM responses 0 Send LM & NTLM 1 Send NTLM response only 2 Send NTLMv2 response only 3 Send NTLMv2 response only/refuse LM 4 Send NTLMv2 response only/refuse LM & NTLM 5

  
  デフォルトでは， LmCompatibilityLevel レジストリ・パラメータは Advanced Server for OpenVMS のレジストリには存在しません。デフォルトは LmCompatibilityLevel = 0 (Send LM & NTLM responses) となります。 Advanced Server で LmCompatibilityLevel が 0，1，あるいは 2 と定義されている場合，セキュリティ・ポリシ "Network security: LAN Manager authentication level" が PDC エミュレータで "Send NTLMv2 response only\Refuse LM and NTLM" と定義されていないことを確認してください。
  PDC エミュレータでセキュリティ・ポリシが "Send NTLMv2 response only\Refuse LM and NTLM" に設定されている場合， Advanced Server でレジストリ・パラメータ LmCompatibilityLevel を 3，4，あるいは 5 に修正してください。この修正は，Advanced Server for OpenVMS サーバをドメインに参加させる前に実行する必要があります。
  Advanced Server で LmCompatibilityLeve の設定を最初に変更するためには，最初に次のように作成しておくことが必要です。

  $ regutl :== $sys$system:pwrk$regutl.exe $ regutl set parameter lsa LmCompatibilityLevel <desired level> /create

  
  最初にこのように設定したら，設定の修正に /create 修飾子を使用する必要はありません。

• すべての Windows 2000 ドメイン・コントローラで，セキュリティ・ポリシ "Additional restrictions for anonymous connections" が "No access without explicit anonymous permissions" に設定されていないことを確認してください。その他の設定であれば問題ありません。この要件は Windows Server 2003 ドメイン・コントローラには適用されません。設定が変更されたらシステムのリブートが必要です。ただし，リブートの前にポリシのリフレッシュが行なわれるまで待ってください。そうしないと再度リブートが必要になります。ドメイン・コントローラは，デフォルトでは，5 分毎にポリシをリフレッシュします。次のコマンドを使用すると，強制的にポリシをリフレッシュすることができます。

  SECEDIT /REFRESHPOLICY MACHINE_POLICY /ENFORCE

  
  このポリシが "No access without explicit anonymous permissions" に設定されている場合，ドメインに参加しようとしたときに認証情報が提供されていないと Advanced Server の構成プロシージャは処理に失敗します。ドメインに参加しようとしたときに認証情報が提供されている場合は，構成プロシージャは正しく処理を行います。しかし Advanced Server はその後の NETLOGON サービスの起動に失敗し，システム・イベント・ログに次のようなメッセージを送ります ($ ADMIN SHOW EVENTS)。

  Events in System Event Log on server "MYSRV": T Date Time Source Category Event User Computer -------- ----------- --------- -------- ------ ---- --------- E 01/31/06 11:00:57 AM NETLOGON None 3210 N/A MYSRV Failed to authenticate with W2KDC, a domain controller for domain MYDOM. Data:0000: 22 00 00 c0 00 00 00 00 "..?....

  
  さらに，NETLOGON サービスを起動しようとすると次のようなエラーが表示されます。

  ---

  目次

  索引