SE の雑記

HTTPS で ISA を公開する場合の手順になります。
HTTP の設定と大きく異なるのは証明書の設定です。

手順としては

1. ルート証明書のインポート
2. サイト用証明書のインポート
3. Web リスナ の作成? (SSL)
4. ファイアウォール ポリシーの作成

になります。

まずは [その 1] として証明書のインポート関連の手順をまとめてみたいと思います。

verisign 等の証明機関から発行されている証明書を使用する場合は [ルート証明書のインポート] は不要です。
私は AD CS (Active Directory 証明書サービス) で発行している証明書を使用しており、ISA はワークグループの
環境で配置しているため、AD CS のルート証明書をインポートしています。

[ルート証明書のインポート]

1. ルート証明書をエクスポートします。
   Windows Server 2008 の AD CS の場合には、管理ツールの [証明機関] を実行して、証明機関のプロパティを開き、
   [証明書の表示] → [詳細タブ] → [ファイルにコピー] からルート証明書をエクスポートし、エクスポートしたファイルを
   ISA にコピーします。
   # 検証で証明書を使っているので塗りつぶしだらけです･･･。
   
2. ISA でファイル名を指定して実行から [mmc] を起動します。
3. [ファイル] → [スナップインの追加と削除] →[証明書] → [追加] をクリックします。
   
4. [コンピュータ アカウント] を選択し、[次へ] をクリックします。
   
5. [完了] をクリックして、スナップインを追加します。
6. [信頼されたルート証明機関] → [右クリック] → [すべてのタスク] → [インポート] をクリックします。
   
7. [次へ] をクリックし、[参照] でコピーしておいた証明書を選択し、[次へ] をクリックします。
8. [証明書をすべて次のストアに配置する] が選択され、[信頼されたルート証明機関] が表示されていることを確認し、
   [次へ] をクリックします。
   
9. [完了] をクリックし、ルート証明書をインポートします。

これで、AD CS で発行された証明書が有効なルート証明機関から発行された証明書として認識できるようになります。

[サイト用証明書のインポート]

続いてサイト用の証明書をインポートします。

IIS 7.0 では IIS マネージャからドメイン証明書が簡単に作成できます。
サイト用の証明書はこの機能を使用して作成しました。
以下、簡単ですがサイト用証明書の作成手順です。
[Domain Admins] のメンバーで操作をしないとうまくいかないかも知れないです。
# [Cert Publishers] で大丈夫かなと思っていたのですが駄目でした･･･。

1. IIS マネージャを起動します
2. サーバーを選択して、[サーバー証明書] をクリックします。
   
3. [ドメイン証明書] の作成をクリックします。
   
4. [一般名] に SSL を使用するサイトの名称を入力し、他の情報も入力して [次へ] をクリックします。
   一般名を [*.ドメイン名] として証明書を作成しておくと複数のサイト用の証明書として使用できます。
   [*.test.local] で証明書を作成した場合は、[www.test.local] [www2.test.local] というサイト名を
   一つの証明書で使用することが可能となります。
   
5. [オンライン証明機関の指定] で AD CS サーバーを選択し、[フレンドリ名] を入力し、[終了] をクリックします。
   フレンドリ名は実際のサイト名とは異なる証明書の管理名を入力すれば問題ありません。
   # AD CS サーバーの構築が正常に終了していないと [選択] ボタンで AD CS のサーバーを選択できないようです。
   IIS 7.0: IIS 7.0 でドメイン サーバー証明書を作成する

これでサイト用の証明書の作成は終了です。
IIS マネージャのサーバー証明書に以下のような表示がされていれば成功です。
この証明書は AD CS 側では自動的に [発行した証明書] として設定されています。

証明書を右クリックして [エクスポート] をするとファイルにエクスポートすることが可能です。

これでファイルにエクスポートした証明書を ISA にコピーして登録します。

1. MMC を実行して、スナップインを追加するところまでは [ルート証明書のインポート] と同じです。
2. [個人] → [右クリック] → [すべてのタスク] → [インポート] をクリックします。
   
3. [次へ] をクリックし、[参照] でコピーしておいた証明書を選択し、[次へ] をクリックします。
   IIS マネージャでエクスポートした証明書は [pfx] のファイルですので、ファイルの種類で [*pfx,*p12] を選択しておきます。

   

4. パスワードの入力画面では、エクスポート時に指定したパスワードを入力し、[次へ] をクリックします。
   
5. [証明書をすべて次のストアに配置する] が選択され、[個人] が表示されていることを確認し、[次へ] をクリックします。
   
6. [完了] をクリックし、サイト用証明書をインポートします。

これで ISA で SSL サイトを設定するための事前準備が完了です。
次の投稿で実際に HTTPS でサイトを公開するための ISA の設定をまとめたいと思います。
# リモートデスクトップ ゲートウェイ (以前の TS ゲートウェイ) を公開するときの設定も少し書きたいと思っています。

簡単ですが ISA 2006 でリバースプロキシを試してみましたので、設定方法を投稿しておきたいと思います。
HTTP / HTTPS の両方を試してみました。

まずは HTTP 編から。

基本的な設定手順としては、

1. Web リスナ の作成
2. ファイアウォール ポリシーの作成

の 2 手順となります。
Web リスナはファイアウォール ポリシーの作成時に一緒に作成することもできますが、別の手順として
まとめておいたほうがわかりやすそうなので手順を分けています。

[Web リスナの作成]

1. [スタート] → [すべてのプログラム] → [Microsoft ISA Server] から [ISA Server の管理] を開きます。
2. [ファイアウォール ポリシー] を選択し、[ツールボックス] → [ネットワーク オブジェクト] → [Web リスナ]
   → [右クリック] → [新しい Web リスナ] をクリックします。
   
3. 任意の [Web リスナ名] を入力し、 [次へ] をクリックします。
   
4. [クライアントとの SSL セキュリティ保護接続を必要としない] を選択し、[次へ] をクリックします。
   
5. 外部からの要求を受け付ける IP アドレスが指定されているネットワークを選択し、[次へ] をクリックします。
   今回の検証環境は NIC 1 枚で全プライベート IP アドレスを [内部] に設定している環境のため、
   [内部] を選択しています。
   
6. [クライアントが ISA Server に～] は [認証なし] を選択し、[次へ] をクリックします。
   プロキシサーバーの認証を必要とする場合にはここで設定をするのだと思います。
   まだ、勉強中でほとんど調べられていないのですが、単純なリバプロとして使用する場合は無認証にしておけば検証ができます。
   
7. [次へ] をクリックします。
   
8. [完了] をクリックします。
   

これでリスナーの作成は完了です。
続いて、リバプロに使用するファイアウォールポリシーを作成します。

[ファイアウォール ポリシーの作成]

1. [タスク] → [Web サイトの公開] をクリックします。
   
2. 任煮の [公開ルール名] を入力し、[次へ] をクリックします。
   
3. [許可] を選択し、[次へ] をクリックします。
   
4. [1 つの Web サイトまたは付加分散装置を公開する] を選択し、[次へ] をクリックします。
   
5. [公開された Web サーバーまたはサーバー ファームへの接続に、セキュリティで保護されていない接続を使用する] を
   選択し、[次へ] をクリックします。
   ?
6. [内部サイト名] と、必要に応じて [コンピュータ名または IP アドレス～] を有効にして、入力を行い [次へ] をクリックします。
   [内部サイト名] は LAN のブラウザから開くときの URL のサイト名になるそうです。
   単純な検証をする場合は、外部公開のサイト名と同じものを指定すればよさそうです。
   ISA 2006 はワークグループ環境に構築ができますので、ドメイン内の DNS を使用しない場合などはサーバーの IP を
   [コンピュータ名または IP アドレス] に入力します。
   ?

この辺は勉強不足で最適な設定の検証がぜんぜんできていません･･･。
設定が正しくないと、ブラウザでアクセスした際に、

エラー コード: 500 Internal Server Error. 対象のプリンシパル名が間違っています。 (-2146893022)

が表示されるみたいです。

7. [内部公開の詳細] はデフォルトのままで [次へ] をクリックします。
   特定のフォルダだけ公開させることも可能なようです。
   今回は全公開なので未入力としています。
   
8. [パブリック名] に外部公開のドメイン名を入力し、[次へ] をクリックします。
   
9. [Web リスナ] に作成した HTTP 用のリスナ名を選択し、[次へ] をクリックします。
   
10. 認証方式は、[委任できません。クライアントは直接認証できません] を選択し、[次へ] をクリックします。
    
11. [次へ] をクリックします。
    
12. [完了] をクリックします。
    

以上で設定は完了です。

ISA は設定を変更した場合、最終的な確定には必ず [適用] が必要となります。
[適用] をクリックして、今までの設定を反映させます。

これで ISA に HTTP 要求があった場合、URL によってどのサーバーに割り振るかを変更できるようです。

ひとつのグローバル IP で複数のサーバーをポート 80 で公開するためにはこの辺の知識が必要になってくるので、
ネットワーク関連の知識として勉強が必要だな～と感じました。

この設定だと、各サーバーへの要求は ISA からの要求として処理がされるので、実際アクセスされたクライアントのログとしては
各サーバーに出力がされないんですよね。

作成した公開ルールを開くと、[公開先] のタブに、以下の設定があり、

[元のクライアントからの要求にする] を選択することによって、IIS のアクセスログに実際の要求元の IP アドレスを残すことが
できるのですが、この場合は各 IIS のサーバーのデフォルトゲートウェイを ISA に設定しないといけないようです。
いまは、かなり乱雑なネットワークで検証環境を構築してしまっているのでどこかで見直さないと。

ISA でリバースプロプロキシを構築する際に参考となりそうな資料をメモとして。

TechNet バーチャル ラボ: ISA Server 2006 と Forefront Server Security による Exchange、SharePoint の安全な利用
セキュリティ バーチャル ラボ
TS ゲートウェイの ISA Server シナリオを構成する
Outlook Web Access のプロキシ サーバーを構成する方法

基本的な作業としては

1. Web リスナを作成
2. ファイアウォールポリシーで内部 URL と関連付け

の手順となりそうです。

ISA の日本語の書籍ってほとんどないんですね～。
研修のカタログを見ても実施されていないようです。

洋書は何冊か出ているみたいですね。
いい加減、英語嫌いも克服しないとこの先 SE としてお先真っ暗な気がしてきました･･･。

検証環境の Exchange はメールのリレーサーバとしてエッジトランスポートを DMZ に配置しています。

Exchange 2010 も少し触っておこうと思い、まずは既存の環境への影響が少ない、エッジトランスポートを
2010 で構築してみました。
エッジトランスポートはワークグループ環境かつ既存の Exchange 組織内の役割とも競合しないので
手軽に入れ替えることができます。

今回はせっかくなので Windows Server 2008 R2 にインストールをしてみました。

1. 必要な役割 / 機能の追加
   まずはエッジトランスポートに必要な役割 / 機能の追加です。

   以下のコマンドを実行して、[.NET Framework 3.5.1] と [Active Directory Lightweight Directory Service] を
   インストールします。
   Windows Server 2008 R2 なので Dism コマンドを使用して追加してみました。

   dism /Online /Enable-Feature /FeatureName:NetFx3 dism /Online /Enable-Feature /FeatureName:DirectoryServices-ADAM

2. インストール言語の選択
   インストールメディアを挿入し、セットアップを起動後にインストールする言語オプションを選択します。
   言語の選択は [言語バンドルからすべての言語をインストールする] と [DVD に含まれる言語のみをインストールする] の
   2 種類から選べます。
   今回は [言語バンドル～] を選択してみました。
   この方法ではインターネットから言語バンドルがダウンロードされます。
   ?
3. エッジトランスポートの役割のインストール
   [Microsoft Exchange のインストール] でカスタムインストールを選択し、エッジトランスポートをインストールします。
   
   

エッジトランスポートのインストールは Exchange 2007 のときと変わりませんね。
管理コンソールの基本的な構成も Exchange 2007 と同じですね。

軽く、インターネット経由のメール送受信ができるか試したところ正常に動作しました。
製品版が出たらスムーズに置き換えができそうです。

忘れないようにメモ。

App-V サーバーでは SQL Server が必要となるため、1 台で完結させたサーバーを構築する場合には
App-V と SQL Server を共存させる構成になります。

この構成の場合、稀に [Application Virtualization Management Server] サービスが起動していないことがあります。

上記サービスは SQL Serve への接続が必要であるため、SQL Server のサービスが起動していない状態で、
Application Virtualization Management Server サービスが起動すると起動に失敗することがあります。

SQL Server を別のサーバーに構築することも考えられるので依存関係の設定はされていないんですよね。

SQL Server と依存関係を設定するためにはコマンドプロンプトで以下のコマンドを実行します。
# SQL Server の既定のインスタンスと依存関係を設定しています。
　 Express Edition を使用している場合は [MSSQL$SQLEXPRESS] と依存関係を設定します。

# depend= の後ろに半角スペースが必要です。

これで SQL Server と依存関係が設定されます。

?

依存関係を削除する場合は

で依存関係を解除することができます。

これで SQL Server と依存関係が設定されます。

この状態で SQL Server のサービスを停止しようとすると依存関係が設定されているため、App-V の
サービスも停止されます。

App-V のサービスを開始すると依存関係により、SQL Server のサービスも開始されます。

いざ、サービスを手動で開始しようとしてみると依存関係で SQL Server のサービス開始後に App-V の
サービスが起動するのですがエラーとなってしまうんですよね。

?
SQL Server のスタートアップが終わる前に接続しようとして、エラーとなっている感じがします。
# 一度エラーになったあとに、再度手動で起動すると正常にサービスが起動できるんですよね。
?
ひとまず、依存関係を設定して、サービスの起動を [自動 (遅延開始)] にし、回復でエラー発生時に
[サービスを再起動する] にして回避しています。

遅延開始は Vista 以降でしか使用できないので Windows Server 2003 で構築する場合は別の方法を
考える必要がありますね。

サービスの遅延開始もコマンドで設定ができます。

?

App-V 関連では、ステップバイステップからの抜粋になりますが、RTSPS を使用する場合の
設定箇所もメモとしてどこかで投稿しておきたいです。
数ヶ月前、少し調べたのですが投稿しようと思ってずっと手付かずのままです･･･。

クライアントのコンピュータアカウントのパスワード格納場所

の続きとして投稿しようと思っていたのですが本日まで手付かずでした。
記憶も薄れつつあるのでここでまとめておきたいと思います。

以前の投稿で記載しましたがコンピュータアカウントのパスワードは

– [HKEY_LOCAL_MACHINESECURITYPolicySecrets$MACHINE.ACC]

に格納されているようです。

この中には [CupdTime] / [OupdTime] という 2 種類のキーがあり、この値に変更された日付が入っていそうです。
# 具体的なドキュメントは見つかっていないので [ここかな～] というレベルです。違っているかも･･･。

上記の画像が、キーの値を表示したものになります。

という値が入っていますがこのままでは何のことやらさっぱりです。

この値を日付に変換するためには [nltest.exe] を使用します。
[nltest.exe] は Windows 2000 Server / Windows Server 2003 のサポートツールに含まれています。

Windows 2000 SP4 サポート ツール
Windows Server 2003 Service Pack 2 32-bit Support Tools

Windows 7 / Windows Server 2008 R2 では標準で含まれていそうです。

このコマンドとレジストリの値を使用すると日付に変換することができます。
以下がコマンドの実行結果です。

レジストリに設定されている値を以下の順で変換します。

1. 値を 8 桁 + 8 桁にします。
   

   4a 30 31 af

   44 30 ca 01

2. 値を 2 桁一組として逆から並べ替えます
   

   af31304a

   01ca3044

この値を使用して nltest を実行すると日付が取得できます。
# 最初のブロックと最後のブロックの間には半角スペースを入れます。
今回の値だと [2009/9/8 14:24:48] になりますね。

このタイミングでドメインに参加をさせていますので、コンピュータアカウントのパスワード変更日付の
設定値としては有効かなと思います。

ADSI エディットを使用して、コンピュータアカウントの [pwdLastSet] を確認すると以下の値が設定されています。

[2009/9/8 14:24:49]

コンピュータのレジストリの値とほぼ同一の時刻が設定されています。

上記画像は Windows Server 2008 の ADSI エディットで表示したものですが、残念ながら 2008 より前の
ADSI エディットでは日付で表示されません。
下の画像は Windows 2000 Server の ADSI エディットを使用して [pwdLastSet] を取得したものです。

[128968610899088750]

このままだと何の値かわからないですよね･･･。
これも日付に変換することが可能です。

1. 16 進数に変換できる電卓を実行します。
   # 2008 までは関数電卓 / R2, 7 ではプログラマ電卓で変換できます。
   ?
2. 10 進数の状態で、[pwdLastSet] の値を貼り付けます。
   
3. 16 進数に変換します。
   ?

   そうすると

   1CA3044AFD0D56E

   という値に変換ができます。これを [nltest.exe] で実行できる形式に変換します。

4. 最初に [0] をつけます。
   

   01CA3044AFD0D56E

5. 8 桁 + 8 桁に分割します。
   

   01CA3044

   AFD0D56E

6. 最初のブロックと最後のブロックを入れ替えます。
   

   AFD0D56E

   01CA3044

これで値の変換は完了です。
変換した値を使用して [nltest.exe] を実行してみます。

< p>2008 の ADSI エディットと同じ値が取得できました。

Mechanics of User Identification and Authenication: Fundamentals of Identity Management

という書籍にこの辺の内容が書かれていそうなのですが英語なのとお値段がそれなりにするので買えていません･･･。
面白そうな本なのでどこかで読んでみたいとは思っているのですが。

AD 関連では備忘録としていくつか残しておきたいことがあるので時間を見て少しずつ投稿していきたいと思います。

どうやるんだろうと思って昨日、帰宅してから調べていました。

SP2 のリリースノートを確認していたら以下の記述が。

Microsoft Exchange Server 2007 Service Pack 2 (SP2) リリース ノート

Exchange 2007 の SP2 は /extract オプションを使用して展開したモジュールが　1.6 GB 近くあり、
サイズが大きいなと思っていたのですが SP だけではなく RTM のファイルが含まれているんですね。

新規インストールの場合は SP2 のメディアを使用してインストールすると With SP2 としてインストールできます。

下の画像は Exchange の役割がインストールされていないサーバーでセットアップを起動した際の画面です。
Step 5 を実行すると Exchange 2007 With SP2 としてインストールが実行されます。

?

ダウンロードした SP2 を使用すれば良いとなると、UPDATES フォルダにモジュールを置く必要もなく
簡単に With SP2 のメディアが作成できますね。

SCVMM や Hyper-V Manager を使うと複数のゲスト OS に対して同時にスナップショットを取得することはできるのですが、
複数のゲスト OS の特定のスナップショットを一括で戻すという機能が見当たりません。

Try & Error で検証をしていると複数のゲスト OS のスナップショットをグループ化して戻したいときはありますよね。

SCVMM 2008 R2 (無印も) にはゲスト OS 用のコマンドレットが含まれているのでそちらを利用して複数のゲスト OS の
スナップショットを戻す PowerShell のスクリプトを勉強も兼ねて書いてみました。

PowerShell をはじめて使うのでものすごいおおざっぱなコードです…。。
もっと勉強しないとですね。

ゲスト OS 名とリストア対象のスナップショットの番号を二次元配列にいれてループしているだけの簡単なスクリプトですが、
複数のゲスト OS を特定の状態に戻す時には割と便利だなと感じてます。

アップグレードの検証をしているとかなりの台数でアップグレード前後の状態を一括で戻すことがあるのでその時のために作ってみました。

現在はシーケンシャルに実行のため、一つのスナップショットの復元が終わるまで次のスナップショットの復元は開始されません。
時間のあるときにバックグラウンドジョブ化したいと思います。
PowerShell 2.0 CTP のときはバックグラウンドジョブは [Start-PSJob] だったようなのですが RTM では [Start-Job] になっているみたいですね。
# [Get-Command] で [Start-PSJob] を探しても見つからず、なくなったのかと思ってしまいました。

試験関係の投稿をもうひとつ。

米国ではすでに試験が開始されていたようですが日本でも
TS: Windows 7, Configuring
がプロメトリックで受験できるようになりました。

英語版だけですが･･･。

試験一覧

日本語版が提供されたら Windows Server 2008 のときのように何かキャンペーンが始まったりするかもしれないですね。

マイクロソフト認定資格プログラム（MCP）において、Windows Server(R) 2008 対応新資格の日本語試験を提供開始

昨日、ニュースサイトに掲載されていた Hyper-V 導入コーディネーター資格ですが以下の URL から受験可能です。

Hyper-V 仮想化検定

リンクを開いて下にスクロールしていただくと、受験をすることができます。

以前、MCA プラットフォーム (Windows Server 2008) 保持者が受験でした、Hyper-V 導入アドバイザー検定と
どこが違うのだろうと思っていたのですが、今回発表されたものは R2 対応のものとなっていました。

MCA の有資格者以外も受験できますので興味がある方は受験されてみてはいかがでしょう？
無償で何度もチャレンジできます。

合格すると Hyper-V 導入コーディネーターという称号がいただけるようです。

以前の資格と同様に合格しても MCA の Transcript に表示はされないようです。
連携されていると資格証明書として提出する機会があるときに便利なんですけどね。