管理サーバのインストール後にDelegation and Configurationのクライアントを介し新しい管理対象ドメインおよびコンピュータを追加できます。信頼されたドメインとサブツリーを追加し、それらのドメインとExchangeアクセスアカウントを設定することもできます。管理対象ドメインおよびコンピュータを追加するには、Configure Servers and Domainsという組み込みの役割に含まれる権限など、適切な権限が必要です。
メモ:管理対象ドメインの追加が完了した後、それらのドメインのアカウントキャッシュ更新のスケジュールが正しいことを確認してください。
管理対象ドメインまたはコンピュータを追加するには:
［Configuration Management (環境設定管理)］ > ［New Managed Domain (新しい管理対象ドメイン)］に移動します。
追加するコンポーネントを指定するには、該当するラジオボタンを選択して、ドメイン名またはコンピュータ名を指定します。
ドメインの管理
ドメインのサブツリーを管理する場合は、「管理対象サブツリーの追加」を参照してください。
セキュリティ保護されたLDAPを有効にした新しいドメインをドメインコントローラで追加し、DRAがSSLを使用してドメインコントローラと通信するようにしたい場合は、［This domain is configured for LDAP over SSL (このドメインはSSL経由のLDAP用に構成されています)］を選択します。詳細については、「セキュリティ保護されたActive Directoryを実行するためのDRAの設定」を参照してください。
コンピュータを管理する
設定が完了したら、［次へ］をクリックします。
［Domain access (ドメインアクセス)］タブで、このドメインまたはコンピュータにアクセスするためにDRAが使用するアカウント資格情報を指定します。デフォルトでは、DRAが管理サーバのサービスアカウントを使用します。
サマリの内容を確認し［完了］をクリックします。
このドメインまたはコンピュータにあるオブジェクトの管理を開始するために、ドメイン構成を更新します。
管理対象ドメインまたは管理対象サブツリーのそれぞれに、管理サーバのサービスアカウントの代わりに使うそのドメインへのアクセス用のアカウントを指定できます。この代替アカウントを「アクセスアカウント」と呼びます。アクセスアカウントを設定するには、Configure Servers and Domainsという組み込みの役割に含まれる権限など、適切な権限が必要です。
メンバーサーバに対しアクセスアカウントを指定するには、ドメインメンバーが存在するドメインを管理するためのパーミッションが必要です。管理サーバからアクセスできる管理対象ドメインの中にドメインメンバーが存在する場合、管理できるのはドメインメンバーのみです。
アクセスアカウントを指定するには:
［Configuration Management］>［Managed Domains (管理対象ドメイン)］ノードの順に選択します。
アクセス アカウントを指定する必要のあるドメインまたはサブツリーを右クリックし、［プロパティ］を右クリックします。
［Domain access account (ドメインアクセスのアカウント)］タブで［Use the following account to access this domain (このドメインへのアクセスに次のアカウントを使用)］をクリックします。
このアカウントの資格情報を指定および確認し、［OK］をクリックします。
この最小特権アカウントの設定について詳細は、「最小特権DRAアクセスアカウント」を参照してください。
DRAの各ドメインに対し、DRAのドメインアクセスアカウントまたは別のExchangeアクセスアカウントを使用してExchangeオブジェクトを管理できます。Exchangeのアクセスアカウントを設定するには、Configure Servers and Domainsという組み込みの役割に含まれている権限など、適切な権限が必要です。
重要:Microsoft Serverでは、WinRM/WinRSのセッションに同時に接続できるユーザ数を5に、ユーザごとのシェル数を5に制限しています。このため、同じユーザアカウントがDRAのセカンダリサーバで5シェルに限定されるようにしてください。
Exchangeのアクセスアカウントを指定するには:
［Configuration Management］>［Managed Domains (管理対象ドメイン)］ノードの順に選択します。
アクセス アカウントを指定する必要のあるドメインまたはサブツリーを右クリックし、［プロパティ］を右クリックします。
［Exchange access account (Exchangeのアクセスアカウント)］タブで［Use the following account to access all Exchange servers (すべてのExchangeサーバへのアクセスに次のアカウントを使用)］をクリックします。
このアカウントの資格情報を指定および確認し、［OK］をクリックします。
この最小特権アカウントの設定について詳細は、「」を参照してください。
管理サーバをインストールした後、管理対象サブツリーおよび欠けているサブツリーを特定のMicrosoft Windowsドメインから追加することができます。管理対象サブツリーを追加するには、Configure Servers and Domainsという組み込みの役割に含まれている権限など、適切な権限が必要です。
Microsoft Windowsのサポート対象バージョンについては、「DRA管理サーバ、Webコンソール、およびREST拡張要件」を参照してください。
Windowsのドメインのサブツリーを管理することにより、DRAを使って大規模な企業ドメイン内の部門のセキュリティを確保できます。
たとえば、SOUTHWESTドメイン内のHoustonサブツリーを指定して、ヒューストンOUとその子OUに属しているオブジェクトだけを安全に管理することができます。この柔軟性により、ドメイン全体に対する管理権限がなくても、1つまたは複数のサブツリーを管理することが可能になります。
メモ:
指定したアカウントがこのサブツリーの管理とアカウントキャッシュの増分更新の実行ができるパーミッションを持っているかどうか確認するには、削除オブジェクトというユーティリティを使用してください。このユーティリティで、適切なパーミッションをチェックおよび委任することができます。
管理対象サブツリーの追加が完了した後、対応するドメインのアカウントキャッシュ更新のスケジュールが正しいことを確認してください。
管理対象サブツリーを追加するには、以下の手順を実行します。
［Configuration Management］>［New Manage Domain (新しい管理対象ドメイン)］の順に選択します。
ドメインまたはサーバのタブで、［Manage a domain (ドメインを管理)］をクリックし、管理する必要のあるサブツリーのドメインを指定します。
管理の対象とするサブツリーのドメインを指定します。
［Manage a subtree of this domain (このドメインのサブツリーを管理)］を選択し、［次へ］をクリックします。
［サブツリー］タブで［追加］をクリックして、管理対象にするサブツリーを指定します。複数のサブツリーを指定できます。
［Access account (アクセスアカウント)］タブで、このサブツリーにアクセスするためにDRAが使用することになるアカウントを指定します。デフォルトでは、DRAが管理サーバのサービスアカウントを使用します。
サマリの内容を確認し［完了］をクリックします。
このサブツリーにあるオブジェクトの管理を開始するために、ドメイン構成を更新します。
信頼済みのドメインでは、管理対象の環境全体で管理対象システムでのユーザ認証が可能です。信頼済みドメインを追加すれば、管理対象ドメインと同じように、ドメインとExchangeアクセスアカウントの指定、キャッシュ更新のスケジュール、およびそのドメインのプロパティでの各種アクションの実行が可能です。
信頼済みドメインを追加するには:
［Configuration Management］>［Managed Domains］ノードの順に選択し、そのノードで、関連付けられている管理対象ドメインを持つ管理対象ドメインを選択します。
詳細ペインで［Trusted domains (信頼済みドメイン)］をクリックします。詳細ペインは、［表示］メニューで表示非表示を切り替える必要があります。
信頼済みドメインを右クリックして［プロパティ］を選択します。
［Ignore this trusted domain (この信頼済みドメインを除外する)］のチェックを外し、変更を適用します。
メモ:信頼済みのドメインを追加するとアカウントキャッシュの完全更新が始まりますが、［適用］をクリックしたときに通知として確認プロンプトが表示されます。