ラボの回答キー: ID サービスおよびグループポリシーの実装

メモ: このラボをご自分のペースでクリックして進めることができる、 ラボの対話型シミュレーション が用意されています。対話型シミュレーションとホストされたラボの間に若干の違いがある場合がありますが、示されている主要な概念とアイデアは同じです。

演習 1: Server Core への新しいドメインコントローラーの展開

タスク 1: 新しい Windows Server Core サーバーに AD DS を展開する

SEA-ADM1 に接続し、必要に応じて、講師から提供された資格情報でサインインします。
SEA-ADM1 で [スタート] を選択してから、[Windows PowerShell (管理者)] を選びます。
AD DS サーバーの役割をインストールするには、Windows PowerShell コマンドプロンプトで次のコマンドを入力してから Enter キーを押します。
```
Install-WindowsFeature –Name AD-Domain-Services –ComputerName SEA-SVR1
```
SEA-SVR1 に AD DS 役割がインストールされていることを確認するには、以下のコマンドを入力してから Enter キーを押します。
```
Get-WindowsFeature –ComputerName SEA-SVR1
```
前のコマンドの出力で、Active Directory Domain Services チェックボックスを探し、それが選択されていることを確認します。その後、リモートサーバー管理ツールを探します。その下の [役割管理ツール] ノードに注目してください。その後、[AD DS および AD LDS ツール] ノードも選択されていることを確認します。

注: [AD DS および AD LDS ツール] ノードでは、Windows PowerShell 用 Active Directory モジュールのみがインストールされ、Active Directory 管理センターなどのグラフィカルツールはインストールされていません。サーバーを中央管理する場合、通常は各サーバーにこれらは必要ありません。それらをインストールする場合は、RSAT-ADDS コマンドを使用して Add-WindowsFeature コマンドレットを実行し、AD DS ツールを指定する必要があります。

注: インストールプロセスが完了してから、AD DS 役割がインストールされていることを確認する前に、しばらく待つ必要がある場合があります。 Get-WindowsFeature コマンドから予想される結果が得られない場合は、数分後に再度試すことができます。

タスク 2: AD DS インストールの準備をして、リモートサーバーを昇格させる

SEA-ADM1 の [スタート] メニューで [サーバーマネージャー] を選んでから、[サーバーマネージャー] で [すべてのサーバー] ビューを選択します。
[管理] メニューで、[サーバーの追加] を選択します。
[サーバーの追加] ダイアログボックスで、既定の設定を維持し、[今すぐ検索] を選択します。
サーバーの [Active Directory] リストで [SEA-SVR1] を選び、矢印を選択して [選択済み] リストに追加してから、[OK] を選択します。
SEA-ADM1 で、SEA-SRV1 への AD DS 役割のインストールが完了していること、およびサーバーがサーバーマネージャーに追加されたことを確かめます。その後、[通知] フラグシンボルを選択します。
SEA-SVR1 の展開後の構成に注意してください。その後、[このサーバーをドメインコントローラーに昇格する] リンクを選択します。
[Active Directory Domain Services 構成ウィザード] の [展開構成] ページの [展開操作の選択] の下で、[既存のドメインにドメインコントローラーを追加する] が選択されていることを確認します。
Contoso.com ドメインが指定されていることを確かめてから、[この操作を実行する資格情報を指定する] セクションで [変更] を選択します。
[展開操作の資格情報] ダイアログボックスに講師から提供された資格情報を挿入します。
[OK] を選択し、 [次へ] を選択します。
[ドメインコントローラーのオプション] ページで、[ドメインネームシステム (DNS) サーバー] と [グローバルカタログ (GC)] チェックボックスがオンになっていることを確かめます。 [読み取り専用ドメインコントローラー (RODC)] チェックボックスがオフになっていることを確かめます。
[ディレクトリサービス復元モード (DSRM) パスワードの入力] セクションで、講師から提供されたパスワードを入力して確認してから、[次へ] を選択します。
[DNS オプション] ページで、[次へ] を選択します。
[追加オプション] ページで、[次へ] を選択します。
[パス] ページで、データベース フォルダー、ログファイル フォルダー、および SYSVOL フォルダーの既定のパス設定を保持し、[次へ] を選択します。
生成された Windows PowerShell スクリプトを開くには、[オプションの確認] ページで [スクリプトの表示] を選択します。
メモ帳で、生成された Windows PowerShell スクリプトを編集します。
- 番号記号 (#) で始まるコメント行を削除します。
- Import-Module 行を削除します。
- 各行の末尾にあるアクサングラーブ (`) を削除します。
- 改行を削除します。
これで、Install-ADDSDomainController コマンドとすべてのパラメーターが 1 行に収まりました。その行の前にカーソルを置き、[編集] メニューで、[すべて選択] を選んで行全体を選択します。メニューの [編集] を選んでから、[コピー] を選択します。
確認を求めるメッセージが表示されたら、[はい] を選択してウィザードをキャンセルします。
Windows PowerShell のコマンドプロンプトで、次のコマンドを入力します。
```
Invoke-Command –ComputerName SEA-SVR1 { }
```

中かっこ ({ }) の間にカーソルを置き、クリップボードからコピーされたスクリプト行の内容を貼り付けます。完全なコマンドは次の形式になるはずです。

Invoke-Command –ComputerName SEA-SVR1 {Install-ADDSDomainController -NoGlobalCatalog:$false -CreateDnsDelegation:$false -Credential (Get-Credential) -CriticalReplicationOnly:$false -DatabasePath "C:\Windows\NTDS" -DomainName "Contoso.com" -InstallDns:$true -LogPath "C:\Windows\NTDS" -NoRebootOnCompletion:$false -SiteName "Default-First-Site-Name" -SysvolPath "C:\Windows\SYSVOL" -Force:$true}

コマンドを呼び出すには、Enter キーを押します。
[Windows PowerShell 資格情報要求] ダイアログボックスに講師から提供された資格情報を入力します。
パスワードの入力を求めるメッセージが表示されたら、[SafeModeAdministratorPassword] テキストボックスに「Pa55w.rd」と入力し、Enter キーを押します。
確認を求めるメッセージが表示されたら、[SafeModeAdministratorPassword の確認] テキストボックスに「Pa55w.rd」と入力し、Enter キーを押します。
コマンドが実行され、正常な状態というメッセージが返されるまで待ちます。 SEA-SVR1 仮想マシンが再起動します。
ファイルを保存せずにメモ帳を閉じます。
SEA-SVR1 が再起動した後、SEA-ADM1 で [サーバーマネージャー] に切り替え、左側の [AD DS] ノードを選択します。 SEA-SVR1 がサーバーとして追加されたこと、および警告通知が表示されなくなったことに注意してください。

注: [更新] を選択する必要がある場合があります。

タスク 3: AD DS でオブジェクトを管理する

SEA-ADM1 のコンソールセッションに接続されていることを確かめます。
Windows PowerShell (管理者) に切り替えます。
Contoso AD DS ドメインに Seattle という組織単位 (OU) を作成するには、次のコマンドを入力し、Enter キーを押します。
```
New-ADOrganizationalUnit -Name "Seattle" -Path "DC=contoso,DC=com" -ProtectedFromAccidentalDeletion $true -Server SEA-DC1.contoso.com
```
Seattle OU で Ty Carlson のユーザーアカウントを作成するには、次のコマンドを入力し、Enter キーを押します。
```
New-ADUser -Name Ty -DisplayName 'Ty Carlson' -GivenName Ty -Surname Carlson -Path 'OU=Seattle,DC=contoso,DC=com'
```
Ty のユーザーアカウントのパスワードを設定するには、次のコマンドを入力し、Enter キーを押します。
```
Set-ADAccountPassword Ty
```
現在のパスワードの入力を求めるメッセージが表示されたら、Enter キーを押します。
目的のパスワードの入力を求めるメッセージが表示されたら、「Pa55w.rd」と入力し、Enter キーを押します。
パスワードをもう一度入力するよう求められたら、「Pa55w.rd」と入力し、Enter キーを押します。
アカウントを有効にするには、次のコマンドを入力し、Enter キーを押します。
```
Enable-ADAccount Ty
```
SeattleBranchUsers という名前のドメイングローバルグループを作成するには、次のコマンドを入力し、Enter キーを押します。
```
New-ADGroup SeattleBranchUsers -Path 'OU=Seattle,DC=contoso,DC=com' -GroupScope Global -GroupCategory Security
```
新しく作成されたグループに Ty ユーザーアカウントを追加するには、次のコマンドを入力し、Enter キーを押します。
```
Add-ADGroupMember -Identity SeattleBranchUsers -Members Ty
```
ユーザーがグループに存在していることを確認するには、次のコマンドを入力し、Enter キーを押します。
```
Get-ADGroupMember -Identity SeattleBranchUsers
```
ローカルの管理者グループにユーザーを追加するには、次のコマンドを入力し、Enter キーを押します。
```
Add-LocalGroupMember -Group 'Administrators' -Member 'CONTOSO\Ty'
```
注: これは、CONTOSO\Ty ユーザーアカウントで SEA-ADM1 にサインインできるようにするために必要です。

結果: この演習が完了すると、AD DS に新しいドメインコントローラーとマネージドオブジェクトを正常に作成したことになります。

演習 2: グループポリシーの構成

タスク 1: GPO を作成および編集する

SEA-ADM1 で、サーバーマネージャーから [ツール] を選択し、[グループポリシーの管理] を選びます。
必要に応じて、[グループポリシーの管理] ウィンドウに切り替えます。
[グループポリシーの管理] コンソールのナビゲーションペインで、Forest:Contoso.com、Domains、および Contoso.com を展開してから、[グループポリシーオブジェクト] コンテナーを選択します。
ナビゲーションペインで、[グループポリシーオブジェクト] コンテナーのコンテキストメニューを右クリックするかそこにアクセスして、[新規] を選択します。
[名前] テキストボックスに「CONTOSO Standards」と入力し、[OK] を選択します。
詳細ペインで、CONTOSO Standards グループポリシーオブジェクト (GPO) のコンテキストメニューを右クリックまたはそこにアクセスし、[編集] を選択します。
[グループポリシー管理エディター] ウィンドウのナビゲーションペインで、[ユーザーの構成]、[ポリシー]、[管理用テンプレート] の順に展開してから [システム] を選択します。
[レジストリ編集ツールへアクセスできないようにする] ポリシー設定をダブルクリックするか、その設定を選択してから、Enter キーを押します。
[レジストリ編集ツールへアクセスできないようにする] ダイアログボックスで、[有効]、[OK] の順に選択します。
ナビゲーションペインで、[ユーザーの構成]、[ポリシー]、[管理用テンプレート] の順に展開し、[コントロールパネル] を展開してから [個人用設定] を選択します。
詳細ペインで、[スクリーンセーバーのタイムアウト] ポリシー設定をダブルクリックまたは選択してから、Enter キーを押します。
[スクリーンセーバーのタイムアウト] ダイアログボックスで、[有効] を選択します。 [秒] テキストボックスに「600」と入力してから、[OK] を選択します。
[パスワードでスクリーンセーバーを保護する] ポリシー設定をダブルクリックまたは選択してから、Enter キーを押します。
[スクリーンセーバーをパスワードで保護する] ダイアログボックスで、[有効] を選んでから、[OK] を選択します。
[グループポリシー管理エディター] ウィンドウを閉じます。

タスク 2: GPO をリンクする

[グループポリシーの管理] ウィンドウのナビゲーションペインで、Contoso.com ドメインのコンテキストメニューを右クリックまたはそこにアクセスし、[既存の GPO のリンク] を選択します。
[GPO の選択] ダイアログボックスで、[CONTOSO Standards] を選んでから、[OK] を選択します。

タスク 3: GPO の設定の効果を確認する

SEA-ADM1 で、タスクバーの検索ボックスに「コントロールパネル」と入力します。
[最も一致する検索結果] リストで、[コントロールパネル] を選択します。
[システムとセキュリティ] を選択してから、[Windows ファイアウォールによるアプリケーションの許可] を選びます。
[許可されているアプリと機能] リストで、[リモートイベントログ管理] エントリを探し、[ドメイン] 列のチェックボックスをオンにしてから、[OK] を選択します。
サインアウトしてから、パスワード Pa55w.rd を使用して CONTOSO\Ty としてサインインします。
タスクバーの検索ボックスに、「コントロールパネル」と入力します。
[最も一致する検索結果] リストで、[コントロールパネル] を選択します。
[コントロールパネル] の検索ボックスに「スクリーンセーバー」と入力し、[スクリーンセーバーの変更] を選択します (オプションが表示されるまでに数分かかる場合があります)。
[スクリーンセーバーの設定] ダイアログボックスで、[待ち時間] オプションが淡色表示になっていることに注目してください。タイムアウトを変更することはできません。[再開時にログオン画面に戻る] オプションが選択されて淡色表示になっており、設定を変更できないことに注目にしてください。

注: [再開時にログオン画面に戻る] オプションが選択されて淡色表示になっていない場合は、コマンドプロンプトを開いて gpupdate /force を実行し、前の手順を繰り返します。
[スタート] のコンテキストメニューを右クリックまたはそこにアクセスし、[ファイル名を指定して実行] を選択します。
[ファイル名を指定して実行] ダイアログボックスの [名前] ボックスに「regedit」と入力し、[OK] を選択します。 レジストリ編集は、管理者によって使用不可にされていますというエラーメッセージに注意してください。
[レジストリエディター] ダイアログボックスで、[OK] を選択します。
サインアウトしてから、講師から提供された資格情報でサインインします。

タスク 4: 必要な GPO を作成してリンクする

SEA-ADM1 で、サーバーマネージャーから [ツール] を選択し、[グループポリシーの管理] を選びます。
必要に応じて、[グループポリシーの管理] ウィンドウに切り替えます。
[グループポリシーの管理] コンソールのナビゲーションペインで、Forest:Contoso.com、Domains、および Contoso.com を展開してから、[Seattle] を選択します。
Seattle 組織単位 (OU) のコンテキストメニューを右クリックするかそこにアクセスしてから、[このドメインに GPO を作成し、このコンテナーにリンクする] を選択します。
[新しい GPO] ダイアログボックスの [名前] テキストボックスに「Seattle Application Override」と入力し、[OK] を選択します。
詳細ペインで、Seattle Application Override GPO のコンテキストメニューを右クリックまたはそこにアクセスし、[編集] を選択します。
コンソール ツリーで、[ユーザーの構成]、[ポリシー]、[管理用テンプレート] の順に展開し、[コントロールパネル] を展開してから [個人用設定] を選択します。
[スクリーンセーバーのタイムアウト] ポリシー設定をダブルクリックするか、設定を選択して、Enter キーを押します。
[無効] を選択してから、[OK] を選択します。
[グループポリシー管理エディター] ウィンドウを閉じます。

タスク 5: 優先順位を確認する

[グループポリシー管理コンソール] ツリーに戻り、Seattle OU が選択されていることを確かめます。
[グループポリシーの継承] タブを選択し、その内容を確認します。

注: Seattle Application Override GPO は CONTOSO Standards GPO より優先順位が高くなります。 Seattle Application Override GPO で先ほど構成したスクリーンセーバーのタイムアウトポリシー設定は、CONTOSO Standards GPO の設定の後に適用されます。そのため、新しい設定で CONTOSO Standards GPO 設定が上書きされます。 Seattle Application Override GPO のスコープ内のユーザーに対して、スクリーンセーバーのタイムアウトが無効になります。

タスク 6: セキュリティフィルター処理を使用して GPO のスコープを構成する

SEA-ADM1 の [グループポリシーの管理] コンソールのナビゲーションペインで、必要に応じて、Seattle OU を展開し、Seattle OU の下にある Seattle Application Override GPO を選択します。
[グループポリシー管理コンソール] ダイアログボックスで、グループポリシーオブジェクト (GPO) へのリンクを選択しました。リンクプロパティへの変更以外、ここで行われた変更は GPO にグローバルに適用され、この GPO がリンクされた他の場所すべてに影響しますというメッセージを確認します。
[今後このメッセージを表示しない] チェックボックスをオンにしてから、[OK] を選択します。
[セキュリティフィルター処理] セクションを確認し、認証されたユーザーに GPO が既定で適用されることに注意してください。
[セキュリティフィルター処理] セクションで、[認証されたユーザー] を選んでから [削除] を選択します。
[グループポリシーの管理] ダイアログボックスで [OK] を選択し、[グループポリシーの管理] の警告を確認してからもう一度 [OK] を選択します。

注: グループポリシーでは、ユーザーの GPO 設定を正常に適用するために、各コンピューターアカウントにドメインコントローラーから GPO データを読み取るアクセス許可が求められます。 GPO のセキュリティフィルター処理設定を変更する場合は、これに注意してください。
詳細ペインで、[追加] を選択します。
[ユーザー、コンピューター、またはグループの選択] ダイアログボックスで、[選択するオブジェクト名を入力してください (例):] テキストボックスに「SeattleBranchUsers」と入力してから、[OK] を選択します。
詳細ペインの [セキュリティフィルター処理] で、[追加] を選択します。
[ユーザー、コンピューター、またはグループの選択] ダイアログボックスで、[オブジェクトの種類] を選択します。
[オブジェクトの種類] ダイアログボックスで、[コンピューター] チェックボックスをオンにしてから、[OK] を選択します。
[ユーザー、コンピューター、またはグループの選択] ダイアログボックスで、[選択するオブジェクト名を入力してください (例):] ボックスに「SEA-ADM1」と入力してから [OK] を選択します。

タスク 7: 設定の適用を確認する

ナビゲーションペインの [グループポリシーの管理] で、[グループポリシーのモデル作成] を選択します。
[グループポリシーのモデル作成] のコンテキストメニューを右クリックするかそこにアクセスし、[グループポリシーのモデル作成ウィザード] を選択します。
[グループポリシーのモデル作成ウィザード] で、[次へ] を選択します。
[ドメインコントローラーの選択] ページで、既定の設定を受け入れ、[次へ] を選択します。
[ユーザーとコンピューターの選択] ページの [ユーザー情報] セクションで、[ユーザー] を選択してから、[ユーザー] テキストボックスに「CONTOSO\Ty」と入力するか、[参照] コマンドボタンを使用して Ty ユーザーアカウントを見つけます。
[ユーザーとコンピューターの選択] ページの [コンピューター情報] セクションで、 [コンピューター] を選択してから、 [コンピューター] テキストボックスに「CONTOSO\SEA-ADM1」と入力するか、 [参照] コマンドボタンを使用して SEA-ADM1 コンピューターを見つけます。
[ユーザーとコンピューターの選択] ページで、[次へ] を選択します。
[詳細シミュレーションオプション] ページで、既定の設定を受け入れ、[次へ] を選択します。
[代替 Active Directory パス] ページの、ユーザーとコンピューターの場所に注意してください。その後、[次へ] を選択します。
[ユーザーセキュリティグループ] ページで、グループのリストに CONTOSO\ SeattleBranchUsers が含まれていることを確認してから、[次へ] を選択します。
[コンピューターセキュリティグループ] ページで、[次へ] を選択します。
[ユーザーの WMI フィルター] ページで、既定の設定を受け入れ、[次へ] を選択します。
[コンピューターの WMI フィルター] ページで、既定の設定を受け入れ、[次へ] を選択します。
[選択の要約] ページで、[次へ] を選択します。
メッセージが表示されたら、[完了] を選択します。
詳細ペインで、[詳細] タブを選択し、[すべて表示] を選びます。
レポートで、 [ユーザーの詳細] セクションが見つかるまで下にスクロールし、 [コントロールパネル] の [個人用設定] セクションを見つけます。 [スクリーンセーバーのタイムアウト] 設定が無効になっており、優勢な GPO がSeattle Application Override GPO に設定されていることに注意してください。
[グループポリシーの管理] コンソールを閉じます。

結果: この演習が完了すると、GPO を正常に作成して構成したことになります。

ラボの回答キー: ID サービスおよびグループ ポリシーの実装

演習 1: Server Core への新しいドメイン コントローラーの展開