Windows 2012: 証明書サービス Web 登録 構成時のエラー対処

かなり個人的な備忘です。

Active Directory 証明書サービス の 証明機関 Web 登録 をインストール後に構成を行おうとしたのですが、エラーになりました。

証明機関 Web 登録 - 構成に失敗しました
Active Directory 証明書サービスのセットアップは、次のエラーで失敗しました： パラメーターが間違っています。0x80070057 (WIN32: 87 ERROR_INVALID_PARAMETER)

原因は、"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\CertSvc\Configuration" の "SetupStatus" が 証明機関 Web 登録 が既にインストールされている事を表す 6003 (16進数) となっているとの事。未インストールの場合、 6001 (16進数) となっている必要があるとの事。

レジストリエディタ (RegEdit) で修正、もしくは、PowerShell から "certutil -setreg config\setupstatus 0x6001" と実行すれば解決できます。

※ 変更後、CertSvc サービス の再起動が必要です

(参考) AD: Certification Authority Web Enrollment Configuration Failed 0x80070057 (WIN32: 87)
http://social.technet.microsoft.com/wiki/contents/articles/12035.ad-certification-authority-web-enrollment-configuration-failed-0x80070057-win32-87.aspx

Windows 2012: R2 Hyper-V がサポートするゲスト と ゲストとしてサポートされる Hyper-V

Windows Server 2012 R2 がGA して、Hyper-V も進化していますが、これまで力を入れてきた Linux 系のゲスト OS サポートの数や性能もかなり強化されています。

http://technet.microsoft.com/en-us/library/hh831531.aspx

ちなみに、逆に、Windows Server 2012 R2 をゲスト OS としてサポートする Hyper-V のバージョンについて教えてもらったので、メモしておきます。

Windows Server 2012 R2 が ゲストOS としてサポートされるのは、以下の OS の Hyper-V のみとの事です。

　Windows Server 2012 Hyper-V

※ Windows Server 2008 R2 Hyper-V ではサポートされないそうです。

ご注意ください。

Windows 8: 8.1 と 2012 R2 の評価版ダウンロードポイント (備忘)

ただの備忘用です。

Windows 8.1 Enterprise Edition 評価版

Windows Server 2012 R2 Datacenter Edition 評価版

Windows 2012: 評価版 を 完全製品版 に変更してみる

TechNetにも書かれている事なのでたいした事ではないのですが、個人的な備忘も含めて。。。

評価版でインストールした Windows Server 2012 DataCenter Edition を完全製品版にしたいと思います。

やり方は↓こちらのTechNetに 記載 が書かれています。
http://technet.microsoft.com/ja-jp/library/jj574204.aspx

===============================
管理者特権でのコマンド プロンプトで、DISM /online /Get-CurrentEdition コマンドを実行して現在のエディション名を確認します。エディション名の簡略形式であるエディション ID をメモしておきます。エディション ID と販売プロダクト キーを指定して、DISM /online /Set-Edition:<edition id=""> /ProductKey:XXXXX-XXXXX-XXXXX-XXXXX-XXXXX /AcceptEula を実行します。サーバーが 2 回再起動します。
===============================

現在、DataCenter Edition の評価版を使っている場合、1つ目のDISMコマンドの /Get-CurrentEdition を実行すると、現在のエディションとして "ServerDataCenterEval" と表示されると思います。

今回は、完全製品版にしたいので、2個目のコマンドの /Set-Edition では "ServerDataCenter" と指定する必要があります。

TechNet にも書いてありますが、Standard Edition から DataCenter Edition にする場合も同じです。

==== 2014/02/27 追記 ====
どうやら、うまく出来ない時があるようです。
その時は、"/AcceptEula" の書く位置を替えてみてください。

DISM /online /Set-Edition:ServerDataCenter /AcceptEula /ProductKey:XXXXX-XXXXX-XXXXX-XXXXX-XXXXX

Windows 2012: 今更 WPAD.DAT を設定してみた

縁あって Windows Server 2012 + Windows 8 を使って WPAD.DAT の設定をする必要があったので、メモしておきます。

WPAD.DAT とは・・・というのは既にいろんなところで書き尽くされてるので割愛します。
要は、クライアントがインターネットに出る際に Proxy を経由させる環境で、 Proxy の設定を自動でクライアントに配布して、更に、スクリプトの書き方によって、特定のURLは除外したり、別の Proxy に飛ばしたりする事ができる代物です。

同じような手法として、.PAC による手法もありますが、Windows さんの場合、一部のアプリケーションやシステム (例： Windows Update 等) で使われる WinHTTP というモジュールが、.PAC による手法では対応できない問題があり、Proxy の設定を配る場合、WPAD.DAT でのやり方が推奨されているとの事です。

※ Office 365 を Proxy 経由 で使う場合にも注意が必要です。一部、WinHTTPが使われています。
※ Office 365 は 認証Proxy はサポートしてないそうです

WPAD.DAT を設定する際に必要となってくるのは、設定を使うクライアントが参照する DNS の設定と、参照可能な Webサーバー です。

今回は Webサーバー(IIS 9) と DNS で Windows Server 2012 を使いましたが、特に 2012 だから・・・という部分はありません。

全体の流れとしては・・・

1. Web サーバーで MIME の追加を行う
2. WPAD.DAT ファイルを作成して Web サーバー に置いて公開
3. DNS で グローバルクエリ禁止リスト の変更
4. DNS に WPAD の エントリ レコード を追加する
5. クライアントのインターネットオプションの設定を確認

という感じで、30分もかからず設定終わりました。



1. Web サーバーで MIME の追加を行う

IIS9 では標準で .DAT に対する MIME の設定が無い為、追加する必要があります。

IIS9 の IIS管理コンソール を起動して 左ペイン のサーバー名をクリックして ホーム画面 に遷移します。機能ビューのメニューの中から [MIME の種類] を選択します。 

今登録されている MIME の一覧が表示されるので、右の操作ペイン から [追加] をクリックして、

ファイル名の拡張子： .DAT
MIME の種類： application/x-ns-proxy-autoconfig

と入力して [OK] をクリックします。

一覧に追加されていれば完了です。

2. WPAD.DAT ファイルを作成して Web サーバー に置いて公開

WPAD.DAT ファイルを作成します。記述方法は .PAC と同じです。

メモ帳などを使用して .DAT という拡張子で作成します。

ちなみに、今回は Proxyサーバーが 172.18.0.250 で、172.18.0.0 / 16 と 10.0.0.0 /24 はProxyを経由せず、その他のリクエストを Proxyサーバー を経由させる設定にしました。

作成した WPAD.DAT ファイルを Webサーバー の IISルートフォルダへコピーして配置・公開します。デフォルトだと C:\inetpub\wwwroot\ とかですね。

コピーして IIS管理コンソールから確認するとこんな感じで追加されます。

3. DNS で グローバルクエリ禁止リスト の変更

今回、DNSサーバー も Windows Server 2012 で構築しています。どうやら、Windows Server 2008 の DNS から グローバル クエリ禁止リスト が導入されたようで、WPAD のクエリが標準では禁止されているので、WPAD を使用する上で禁止リストから削除する必要があります。

DNSサーバーでコマンドプロンプトを使用して変更を行います。

グローバル クエリ禁止リストの確認には

dnscmd /info /globalqueryblocklist

設定には

dnscmd /config /globalqueryblocklist <設定する項目>

で行う事が可能です。今回はこんな感じで行いました。wpad の設定は削除して、 isatap だけブロックするように変更してます。

4. DNS に WPAD の エントリ レコード を追加する

クライアントは Proxy の設定を DNS に問い合わせを行い、Webサーバー上に置かれた WPAD.DAT ファイルの設定を見つけます。DNS への問い合わせを行う際、ホスト名が wpad のレコードを参照するので、クライアントが参照する DNS サーバー 上に wpad のエントリーを作成する必要があります。

wpad のエントリーは、Aレコード でも CNAME レコード でも問題ありません。データに設定する IPアドレスは WPAD.DAT を配置・公開した Webサーバー の IPアドレス になります。

これでサーバー側の設定は全て完了です。

5. クライアントのインターネットオプションの設定を確認

クライアント側の設定は基本的に標準の設定のままでOKです。

インターネット オプション の プロキシ サーバー の設定が [設定を自動的に検出する] になっていれば、自動的にDNSを経由して WPAD.DAT の設定を読みに行く事になります。

Webサーバー上に置かれた WPAD.DAT を見つけさせる方法として、DNS 以外にも DHCP のスコープオプション(252 AUTO-PROXY-CONFIG) を利用する方法もあります。

なお、以下のサイトを参考にしました。

http://www.atmarkit.co.jp/fwin2k/win2ktips/031autoproxy/autoproxy.html

Hyper-V: Hyper-V 2012 で Vyatta 6.5 R1 を使う

山一良さんのBlogでご紹介されていますが、Hyper-V に対応した Vyatta 6.5 コミュニティー版 Vyatta Core 6.5 R1 が出たそうです。

山一良のえぬなんとかわーるど
http://yamanxworld.blogspot.jp/2012/11/hyper-v-vyatta-65.html

検証などで仮想マシンを内部ネットワークで使用しているが、Windows Update などでインターネットにも接続したい場合に、軽いソフトウェアルーターとしてはとても便利です。

# TMGでも構築可能ですが、有償製品ですし販売も終了します。
# Windows Server 2012 の標準機能でも一応構築可能です。⇒ また時間がある時に記事書きます。

Vyattaの入手先は↓こちら

Vyatta.org Comunity > Downloads
http://vyatta.org/downloads

新規に仮想マシンを作成し、NIC 2枚挿しの内部ネットワークからNATでインターネット(外部ネットワーク)に出れるようにしたいと思います。
仮想マシンの設定は下記の通り。

# Windows Server 2012 Hyper-V上で構築しました。

プロセッサ数： 1
メモリ： 512 MB
ハードディスク： 1 GB [拡張] (推奨は 2 GB)
NIC： 統合ネットワーク × 2 枚 (外部ネットワーク と 内部ネットワーク)

ダウンロードしたISOファイルをマウントして仮想マシンを起動します。
ログオンを求められますが、ID: vyatta Password: vyatta で進めます。

install system と入力して実行する事でインストールが開始されます。

# インスール中にいくつか設定について聞かれますが、基本そのままエンターでOKです。
# 内容に応じて適宜変更してください。

インストールの終盤に管理者 (administrator account : vyatta) のパスワードが求められます。
適当なパスワードを設定します。

インストールが完了するとログオンが求められます。(Welcome to Vyatta)
ユーザー名は vyatta、パスワードは 設定したもの を入力します。

Vyattaには 表示モード と 設定モード が存在するので、設定モードにして設定を行います。
設定モードに入る為に configure コマンド (大小文字認識します) を使います。

vyatta@vyatta:~$ configure

"vyatta@vyatta#"になれば設定モードのようです。

IPアドレスなどの設定を行います。
(今回は eth0 が外部 [DHCP] で、eth1 が内部 [192.168.0.250] です)

vyatta@vyatta# set interfaces ethernet eth0 address dhcp
vyatta@vyatta# set interfaces ethernet eth1 address 192.168.0.250/24

設定の最後に必ず "commit" と "save" を行う必要があります。

vyatta@vyatta# commit
vyatta@vyatta# save

次に NAT の設定を行います。
とりあえず他のゲストOSをVyatta経由でインターネットアクセスさせたいので、Source NAT (SNAT) を設定します。
eth0 が外部ネットワークでDHCPでアドレスを貰っているので、Masquerade で設定します。
内部ネットワークは 192.168.0.xxx セグメントです。

vyatta@vyatta# set nat source rule 10
vyatta@vyatta# set nat source rule 10 outbound-interface eth0
vyatta@vyatta# set nat source rule 10 source address 192.168.0.0/24
vyatta@vyatta# set nat source rule 10 translation address masquerade

vyatta@vyatta# commit
vyatta@vyatta# save


設定を確認します。

vyatta@vyatta# show nat source rule 10
 source {
       rule 10 {
            outbound-interface eth0
            source {
                  address 192.168.0.250/24
            }
            translation {
                  address masquerade
            }
       }
 }

これで、内部ネットワークに接続した他の仮想マシンの IPアドレス を 192.168.0.0 / 24 セグメントに変更し、192.168.0.250 へルーティングする、DNSの設定を行う 等を行う事でインターネットへ出てるようになります。

Vyattaは他にも Firewall などの機能もありますが、また追々記載していきたいと思います。

設定に困ったり他の機能については公開ドキュメントを参考にしてみてください。
http://www.vyatta.com/downloads/documentation/VC6.5/VC65.zip

Windows 8: グループポリシーで Windows Store へのアクセスを制御する

今後、企業で Windows 8 の導入が進むと、必ず管理者のニーズとして挙がってきそうなのが、Windows Store アプリへの対応だと思われます。

企業ポリシーによっては Windows Store アプリ の実行を制御 (AppLocker) する必要があるでしょうし、そもそも Windows Store へのアクセスを制御する場合もあると思います。
グループポリシーを使って Windows Store へのアクセスを制御する方法について書いておきます。

グループポリシーを使うので、当然、制御対象の Windows 8 はドメインに参加しておく必要があります。
鉄則に従い、グループポリシーの管理は 管理対象のWindows 上で行う必要があるので、管理用の Windows 8 端末上に ”Windows 8 用のリモート サーバー管理ツール” (RSAT for Windows 8) をインストールします。

Windows 8 用のリモート サーバー管理ツール 
http://www.microsoft.com/ja-jp/download/details.aspx?id=28972

インストール後、[管理ツール] から [グループポリシーの管理] を開きます。 

適当な グループポリシーオブジェクト を選択して [編集] を開き、[グループ ポリシー管理エディター] を起動します。

[コンピューターの構成] – [管理テンプレート] – [Windows コンポーネント] – [ストア] を開くと、右ペインに 「ストア アプリケーションをオフにする」という項目が出てくるので、この設定を 未構成 から 有効 に変更することで、Windows Store へのアクセスを制御することが可能です。

[ユーザーの構成] でも設定可能ですが、ユーザーの構成の場合、「ストア アプリケーションをオフにする」項目しか無く、「更新プログラムの自動ダウンロードをオフにする」 と 「Windows To Go ワークスペースへのアプリのインストールをストアに許可する」 の２項目がありません。

グループポリシーが適用されたユーザーが ストアアプリ を起動しようとすると、このようになります。

なお、Windows Server 2012 の ドメインコントローラー で同じ制御をおこなう場合、Windows Server 2012 には上記の ストア を管理する管理テンプレート(ADMX)が含まれていない為、グループポリシー管理エディターに [ストア] が表示されません。

※ 「ストア アプリケーションをオフにする」項目は Windows Server 2012 でもサポートされるのに・・・

念のため、”%System Root"%\PolicyDefinitions”の中にある管理テンプレート(ADMX)を、Windows Server  2012 と Windows 8 で比較してみましたが、[ストア]のテンプレートである WinStoreUI.admx が Windows 8 にしか含まれていない事が確認できました。

■ Windows Server 2012 のみにある管理テンプレート
adfs.admx
GroupPolicyPreferences.admx
GroupPolicy-Server.admx
MMCSnapIns2.admx
NAPXPQec.admx
PswdSync.admx
ServerManager.admx
Snis.admx
TerminalServer-Server.admx
WindowsServer.admx

■ Windows 8 のみにある管理テンプレート
DeviceRedirection.admx
EnhancedStorage.admx
hotspotauth.admx
sdiagschd.admx
ShapeCollector.admx
WinStoreUI.admx

よって、Windows Server 2012 / Windows 8 に対して、Windows Store へのアクセスを制御する為には、Windows 8 から RSAT でグループポリシーを編集するか、Windows 8 の WinStoreUI.admx 管理テンプレート を Windows Server 2012 にコピーする必要があります。

もちろん、上記よりも管理面も考慮してグループポリシーの 中央ストア を使うというのが一番理想です。

グループポリシーの中央ストアの構築手順を復習がてら記載しておきます。

1. ドメインコントローラ の “%SystemRoot%\sysvol\domain\policies” に “PolicyDefinitions” フォルダを作成
2. 作成したフォルダにWindows Server 2012 / Windows 8 の “PolicyDefinitions” フォルダを 言語ファイル(ADML) は含まれるフォルダごとコピー

後は、各ドメインコントローラに自動的にレプリケーションされ、管理テンプレートがドメイン内で統一されます。詳しい手順は下記のTechNetを参照ください。

グループ ポリシー管理での ADMX ファイルの使用に関するステップ バイ ステップ ガイド
http://technet.microsoft.com/ja-jp/library/cc709647(v=ws.10).aspx

参考情報：
英語ですがグループポリシーの一覧が記載されたExcelファイルがダウンロード可能になっています。
Group Policy Settings Reference for Windows and Windows Server
http://www.microsoft.com/en-us/download/details.aspx?id=25250

AppLocker での制御動作もまた確認したいと思います。

Windows 2012: Snipping Tool を追加する

画面の一部やウィンドウだけスナップショットする際、とても便利な Snipping Tool ですが、Windows Server 2012 には標準でインストールされていません。Windows 8 には標準でインストールされています。(検索で探せば出てきます)

こんなやつです

手順書やBlog用の画像を取得する時には大活躍するので、Windows Server 2012 に追加する方法を書いておきます。

Snipping Tool は、デスクトップエクスペリエンス機能の一部として入ってる為、機能の追加をする必要があります。

役割と機能の追加ウィザードで、ユーザー インターフェイスとインフラストラクチャ配下にある「デスクトップ エクスペリエンス」を選択します。

※ GUI版の場合、ユーザー インターフェイスとインフラストラクチャが有効でグレーアウトしているので見つけにくいです。

デスクトップ エクスペリエンス にチェックを入れると、同時に Media Foundation と インクと手書きサービス もインストールする必要があります。

あとは、次へで進めていくだけです。

最後にインストールを押せば完了です。残念ながら 再起動 が必要です。

再起動後、スタート画面に Snipping Tool が現れます。

Windows 2012: コマンドプロンプトなどの入力時の標準設定(IME)を変更する

日本語版 or 日本語のOSランゲージパックを適用したWindows Server 2012 のコマンドプロンプトを立ち上げた際、デフォルトで かな入力 が ON になっている状態で起動してきます。

日本語のコマンドがあるならまだしも・・・

何度もコマンドプロンプトを立ち上げる人だとかなり鬱陶しいです。

これをコマンドプロンプト起動時に かな入力 を OFF に変更する方法を書いておきます。

コントロールパネルを立ち上げます。(画面最左下で右クリック or Winキー + X )
「時計、言語、および地域」カテゴリの中の「入力方法の変更」をクリックします。

言語の設定画面の左メニュー内にある「詳細設定」をクリックします。

詳細設定画面の「入力方式の切り替え」メニュー内にある「アプリ ウィンドウごとに異なる入力方式を設定する」にチェックを入れます。

これで、次回、コマンドプロンプトを起動時に かな入力 が OFF になった状態で立ち上がってくるようになります。

また、コマンドプロンプト以外のアプリケーションでも効果がある設定なので、エクスプローラーやファイル名を指定して実行なども使い勝手を改善することが可能です。

Windows 8: Windows 8 / Windows Server 2012 の KMS Key

Windows 8 と Windows Server 2012 の KMS キー が公開されていたのでメモしておきます。

Appendix A: KMS Client Setup Keys
http://technet.microsoft.com/en-us/library/jj612867.aspx

※ 前公開されてた場所と変わったような・・・

Windows 8 は、インストールイメージにKMSキーが埋め込まれているので、MAKからKMSに戻す時にしか使わないでしょうが、Windows Server 2012 の VL メディアにはどうやらKMSキーが埋め込まれていない様子です。

ActivationについてはWindows 8 / Windows Server 2012 からActive Directoryでも可能になっているようなので、また試したいと思います。

Windows 8: ネイティブ VHDブート 環境を 簡単に 作ってみた

Windows 8 で、ネイティブVHDブート環境を作ってみたんですが、いろいろと簡単になってたので書き残しておきます。ISOがマウント可能になってかなり楽になりました。

やり方は↓こちらのBlogをそのままです。

How to Create Windows 8 VHD for Boot to VHD using simple, easy to follow steps
http://blogs.technet.com/b/haroldwong/archive/2012/08/18/how-to-create-windows-8-vhd-for-boot-to-vhd-using-simple-easy-to-follow-steps.aspx

ざっくりとした流れは↓こんな感じでしょうか。

1. PC に素で Windows 8 をインストールする。
2. Windows 8 に Windows ADK をインストール。
3. "ディスクの管理" コンソールで VHD ファイルを作成。もちろん、VHDXでも可。
4. 作成した VHD を初期化してNTFSでフォーマット
5. Windows 8 の インストール ISOファイル を マウント (Windows 8 標準機能)
6. ADKの "展開およびイメージング ツール環境"を管理者として起動
7. Imagex を使って WIM から作成した VHD に OS を展開

　imagex /apply E:\sources\install.wim 1 f:\

8. 一旦、VHDファイルを切断して、再度、接続
9. bcdboot コマンドでブートメニューに追加

展開する OS は WIM であれば OK です。
VHDX の場合は、Windows 8 or Windows Server 2012 になります。

なお、Windows Server 2012 の場合、imagexで展開するWIMファイルのイメージインデックスに注意が必要です。

上記Blogのコマンドの通りに、イメージインデックスを 1 のまま展開すると、"ServerStandardCore" (Standardエディションのサーバーコア版) がインストールされます。

WIM の イメージインデックスは DISMコマンド の /Get-WimInfo で確認できます。

1. "展開およびイメージング ツール環境"を管理者で実行
2. 「dism /Get-WIMInfo /WIMFile:"E:\Source\install.wim"」を実行

Windows Server 2012 (Volume Lisence版) のWIM のイメージインデックスは下記の通りです。

インデックス: 1
名前: Windows Server 2012 SERVERSTANDARDCORE
説明: Windows Server 2012 SERVERSTANDARDCORE
サイズ: 7,380,878,039 バイト

インデックス: 2
名前: Windows Server 2012 SERVERSTANDARD
説明: Windows Server 2012 SERVERSTANDARD
サイズ: 12,179,234,983 バイト

インデックス: 3
名前: Windows Server 2012 SERVERDATACENTERCORE
説明: Windows Server 2012 SERVERDATACENTERCORE
サイズ: 7,375,560,413 バイト

インデックス: 4
名前: Windows Server 2012 SERVERDATACENTER
説明: Windows Server 2012 SERVERDATACENTER
サイズ: 12,173,952,313 バイト


ちなみに、ブートに必要なファイルは、最終的にPCに素で Windows 8 をインストールした際に作成される System Partition (ドライブの最初のパーティション) に入っているので、Windows 8 がインストールされているパーティションについては、あとでフォーマットしてしまえば『フル ネイティブ VHD マシン』が完成します。

バックアップも簡単にできますし、VHDファイル を入れ替えるだけで環境をいろいろと切り替えれるので便利です。