このセクションでは、パブリックフォルダ、Exchange、Office 365、Skype for Business Onlineを含むMicrosoft Exchangeコンポーネントや、ドメインに関係する管理対象システムの接続と設定について説明します。
管理サーバのインストール後にDelegation and Configurationのクライアントを介し新しい管理対象ドメインおよびコンピュータを追加できます。信頼されたドメインとサブツリーを追加し、それらのドメインとExchangeアクセスアカウントを設定することもできます。管理対象ドメインおよびコンピュータを追加するには、Configure Servers and Domainsという組み込みの役割に含まれる権限など、適切な権限が必要です。
メモ:管理対象ドメインの追加が完了した後、それらのドメインのアカウントキャッシュ更新のスケジュールが正しいことを確認してください。
管理対象ドメインおよびコンピュータを追加するには、以下の手順を実行します。
［Configuration Management］>［New Managed Domain (新しい管理対象ドメイン)］の順に選択します。
管理対象にするドメインまたはコンピュータの名前を指定し、［次へ］をクリックします。
［Access account (アクセスアカウント)］タブで、このドメインまたはコンピュータにアクセスするためにDRAが使用するアカウントを指定します。デフォルトでは、DRAは管理サーバのサービスアカウントを使用します。
サマリの内容を確認し［完了］をクリックします。
このドメインまたはコンピュータにあるオブジェクトの管理を開始するために、ドメイン構成を更新します。
管理対象ドメインまたは管理対象サブツリーのそれぞれに、管理サーバのサービスアカウントの代わりに使うそのドメインへのアクセス用のアカウントを指定できます。この代替アカウントを「アクセスアカウント」と呼びます。アクセスアカウントを設定するには、Configure Servers and Domainsという組み込みの役割に含まれる権限など、適切な権限が必要です。
メンバーサーバに対しアクセスアカウントを指定するには、ドメインメンバーが存在するドメインを管理するためのパーミッションが必要です。管理サーバからアクセスできる管理対象ドメインの中にドメインメンバーが存在する場合、管理できるのはドメインメンバーのみです。
アクセスアカウントを指定するには:
［Configuration Management］>［Managed Domains (管理対象ドメイン)］ノードの順に選択します。
アクセス アカウントを指定する必要のあるドメインまたはサブツリーを右クリックし、［プロパティ］を右クリックします。
［Domain access account (ドメインアクセスのアカウント)］タブで［Use the following account to access this domain (このドメインへのアクセスに次のアカウントを使用)］をクリックします。
このアカウントの資格情報を指定および確認し、［OK］をクリックします。
この最小特権アカウントの設定について詳細は、「最小特権DRAアクセスアカウント」を参照してください。
DRAの各ドメインに対し、DRAのドメインアクセスアカウントまたは別のExchangeアクセスアカウントを使用してExchangeオブジェクトを管理できます。Exchangeのアクセスアカウントを設定するには、Configure Servers and Domainsという組み込みの役割に含まれている権限など、適切な権限が必要です。
重要:Microsoft Serverでは、WinRM/WinRSのセッションに同時に接続できるユーザ数を5に、ユーザごとのシェル数を5に制限しています。このため、同じユーザアカウントがDRAのセカンダリサーバで5シェルに限定されるようにしてください。
Exchangeのアクセスアカウントを指定するには:
［Configuration Management］>［Managed Domains (管理対象ドメイン)］ノードの順に選択します。
アクセス アカウントを指定する必要のあるドメインまたはサブツリーを右クリックし、［プロパティ］を右クリックします。
［Exchange access account (Exchangeのアクセスアカウント)］タブで［Use the following account to access all Exchange servers (すべてのExchangeサーバへのアクセスに次のアカウントを使用)］をクリックします。
このアカウントの資格情報を指定および確認し、［OK］をクリックします。
この最小特権アカウントの設定について詳細は、「最小特権DRAアクセスアカウント」を参照してください。
管理サーバをインストールした後、管理対象サブツリーおよび欠けているサブツリーを特定のMicrosoft Windowsドメインから追加することができます。管理対象サブツリーを追加するには、Configure Servers and Domainsという組み込みの役割に含まれている権限など、適切な権限が必要です。
Microsoft Windowsのサポート対象バージョンについては、「DRA管理サーバの要件」を参照してください。
Windowsのドメインのサブツリーを管理することにより、DRAを使って大規模な企業ドメイン内の部門のセキュリティを確保できます。
たとえば、SOUTHWESTドメイン内のHoustonサブツリーを指定して、ヒューストンOUとその子OUに属しているオブジェクトだけを安全に管理することができます。この柔軟性により、ドメイン全体に対する管理権限がなくても、1つまたは複数のサブツリーを管理することが可能になります。
メモ:
指定したアカウントがこのサブツリーの管理とアカウントキャッシュの増分更新の実行ができるパーミッションを持っているかどうか確認するには、Deleted Objectsというユーティリティを使用してください。このユーティリティで、適切なパーミッションをチェックおよび委任することができます。
管理対象サブツリーの追加が完了した後、対応するドメインのアカウントキャッシュ更新のスケジュールが正しいことを確認してください。
管理対象サブツリーを追加するには、以下の手順を実行します。
［Configuration Management］>［New Manage Domain (新しい管理対象ドメイン)］の順に選択します。
ドメインまたはサーバのタブで、［Manage a domain (ドメインを管理)］をクリックし、管理する必要のあるサブツリーのドメインを指定します。
管理の対象とするサブツリーのドメインを指定します。
［Manage a subtree of this domain (このドメインのサブツリーを管理)］を選択し、［次へ］をクリックします。
［サブツリー］タブで［追加］をクリックして、管理対象にするサブツリーを指定します。複数のサブツリーを指定できます。
［Access account (アクセスアカウント)］タブで、このサブツリーにアクセスするためにDRAが使用することになるアカウントを指定します。デフォルトでは、DRAが管理サーバのサービスアカウントを使用します。
サマリの内容を確認し［完了］をクリックします。
このサブツリーにあるオブジェクトの管理を開始するために、ドメイン構成を更新します。
信頼済みのドメインでは、管理対象の環境全体で管理対象システムでのユーザ認証が可能です。信頼済みドメインを追加すれば、管理対象ドメインと同じように、ドメインとExchangeアクセスアカウントの指定、キャッシュ更新のスケジュール、およびそのドメインのプロパティでの各種アクションの実行が可能です。
信頼済みドメインを追加するには:
［Configuration Management］>［Managed Domains］ノードの順に選択し、そのノードで、関連付けられている管理対象ドメインを持つ管理対象ドメインを選択します。
詳細ペインで［Trusted domains (信頼済みドメイン)］をクリックします。詳細ペインは、［表示］メニューで表示非表示を切り替える必要があります。
信頼済みドメインを右クリックして［プロパティ］を選択します。
［Ignore this trusted domain (この信頼済みドメインを除外する)］のチェックを外し、変更を適用します。
メモ:信頼済みのドメインを追加するとアカウントキャッシュの完全更新が始まりますが、［適用］をクリックしたときに通知として確認プロンプトが表示されます。
DRAでは、Microsoft Exchangeのパブリックフォルダが管理できます。パブリックフォルダのフォレストドメインの設定およびアシスタント管理者への権限付与により、DRAを使用してパブリックフォルダのプロパティの一部を管理することができます。
重要:パブリックフォルダ管理を管理するには、まずDRAでMicrosoft Exchangeのサポートを有効にし、該当する権限を持つ必要があります。
Microsoft Exchangeを有効にする方法については、「Microsoft Exchangeサポートの有効化」を参照してください。
アカウントパーミッションの詳細については、「最小特権DRAアクセスアカウント」を参照してください。
Exchangeのパブリックフォルダのサポートを設定するには:
Configuration and Managementノードの［Managed Public Folder Forests (管理対象のパブリックフォルダフォレスト)］を右クリックし、[New Public Folder Forest (新しいパブリックフォルダフォレスト)］をクリックします。
［Forest Domain (フォレストドメイン)］をクリックし、パブリックフォルダオブジェクトがあるアクティブディレクトリフォレストを指定してから、［次へ］をクリックします。
［Domain access (ドメインアクセス)］で、次のようにアクセスアカウントを指定します。
Directory and Resource Administratorのサービスアカウントを使用する: DRAのサービスアカウントを使用する場合です。
次のアカウントを使用してこのドメインにアクセスする: ドメインアクセスアカウントを使用する場合です。
重要:セカンダリサーバを使用している場合、［Use the Primary Administration Server domain access account (プライマリ管理サーバのドメインアクセスアカウントを使用)］オプションが使用可能になります。
［Exchange access (Exchangeのアクセス)］で、Exchangeサーバへの保護されたアクセスにDRAが使用すべきアカウントを指定します。
すべてのExchangeサーバにドメインアクセスアカウントを使用する: ドメインアクセスアカウントを使用する場合です。
次のアカウントを使用してすべてのExchangeサーバにアクセスする: Exchangeアクセスアカウントを使用する場合です。
重要:セカンダリサーバを使用している場合、［Use the Primary Administration Server Exchange access account (プライマリ管理サーバのExchangeアクセスアカウントを使用)］というオプションが使用可能になります。
［Exchangeサーバ］で、パブリックフォルダの管理にDRAが使用するべきExchangeサーバを選択します。
［Summary (サマリー)］で、アカウントの詳細とExchange Serverの詳細を確認し、［完了］をクリックしてプロセスを完了します。
DRAサーバは、パブリックフォルダのアカウントキャッシュの完全更新を実行します。パブリックフォルダの新しいフォレストは、キャッシュの更新が完了してしばらくすると(数分かかる場合あり)、コンソールに表示されます。
メモ:選択したパブリックフォルダフォレストドメインを［タスク］メニューまたは右クリックメニューから削除することができます。
パブリックフォルダのドメインプロパティを表示または変更するには:
［Configuration Management］ノードで［Managed Public Folder Forests (管理対象のパブリックフォルダフォレスト)］をクリックして、パブリックフォルダを表示します。
表示するパブリックフォルダのアカウントを右クリックして［プロパティ］を選択します。
［Public Folder Forest (パブリックフォルダフォレスト)］プロパティで、次に挙げる操作を行うことができます。
全般: パブリックフォルダのアカウントの詳細を表示したり［Exchangeサーバ］フィールドを更新できます。これはDRAサーバがパブリックフォルダのサーバ上でのExchangeのアクティビティの実行に使用します。
統計: パブリックフォルダの数と、メール可能なパブリックフォルダの数を表示します。
増分更新ステータス: 増分アカウントキャッシュのステータスを表示または更新できます。
増分更新スケジュール: キャッシュの増分更新スケジュールを表示し、キャッシュ更新のスケジュールが変更できます。
完全更新ステータス: アカウントキャッシュの完全更新のステータスを表示します。
完全更新: アカウントキャッシュの更新更新をすぐに実行します。
NetIQでは、パブリックフォルダのキャッシュデータが破損している場合にのみ完全更新を実行することを推奨しています。
ドメインへのアクセス: DRAサービスアカウントの詳細を表示したり、アクセス アカウントを上書きできます。
Exchangeへのアクセス: Exchangeサーバへのセキュリティで保護されたアクセスを表示または更新できます。
権限を定義しパブリックフォルダの委任を管理するためにActiveViewを使用します。管理対象オブジェクトの追加、ドメインの選択、権限の割り当てのルールを指定し、それらのパブリックフォルダの権限をアシスタント管理者に委任することができます。
ActiveViewを作成して、パブリックフォルダの権限を委任するには:
［Delegation Management］ノードで［ActiveViews］をクリックします。
［Create ActiveView (ActiveViewを作成) > ］ウィザードで［次へ］をクリックし、［追加］ドロップダウンリストから目的のルールを選択し、オブジェクトタイプとしてパブリックフォルダを選択します。たとえば、オブジェクトマッチングルールを作成するには、［Objects that match a rule (ルールと一致するオブジェクト)］を選択し、オブジェクトタイプとして［パブリックフォルダ］を選択します。
パブリックフォルダに追加するActiveViewルールを指定してから［次へ］をクリックします。
ActiveViewの名前を指定してから［完了］をクリックします。
［ActiveViews］を右クリックして、［Delegate Administration］>［アシスタント管理者］の順に選択し, ウィザードで［追加］ドロップダウンリストから管理者タイプを指定します。
権限の委任先となる特定のグループ、またはアシスタント管理者グループを検索します。
オブジェクトセレクタを使用して目的のオブジェクトを見つけて追加し、ウィザードで［Roles and Powers (役割と権限)］をクリックします。
［追加］ドロップダウンリストから［役割］を選択し、パブリックフォルダ管理の役割を追加します。
［追加］ドロップダウンリストから権限を選択し、パブリックフォルダ管理者の役割に入っていないアシスタント管理者に対して割り当てたい権限があれば、それらを見つけて追加します。
［次へ］をクリックしてから［完了］で委任プロセスを完了します。
パブリックフォルダの権限委任が完了したら、設定されたドメイン内のパブリックフォルダのプロパティに対して作成、読み取り、更新、削除の各操作を、認可されたユーザがWebコンソールから実行することができます。
Microsoft Exchangeのサポートを有効にすると、Microsoft Exchangeのポリシー、統合化されたメールボックス、メールが有効なオブジェクト管理など、Exchangeの機能を最大限に利用できます。Microsoft Exchange Server 2010、Microsoft Exchange Server 2013以降のバージョンのプラットフォームで、管理サーバごとにMicrosoft Exchangeのサポートを有効または無効にすることができます。
Microsoft Exchangeサポートを有効にするには、Manage Policies and Automation Triggersという組み込みの役割に含まれている権限のような、適切な権限が必要です。また、ご使用のライセンスがExchange製品をサポートしている必要があります。Microsoft Exchangeの要件の詳細については、「サポートされているプラットフォーム」を参照してください。
Microsoft Exchangeのサポートを有効にするには:
［Policy and Automation Management (ポリシーと自動化の管理)］>［Configure Exchange Policies (Exchangeポリシーを設定)］の順に選択します。
［Exchangeポリシーを有効にする］を選択し、［適用］をクリックします。
DRAがExchange管理サーバにどのバージョンの管理ツールがインストールされているかを検証し、適切なバージョンでのExchangeサポートが選択できるオプションを有効にします。
Enable Exchange Policyがすでに選択され、Exchangeサポートが選択できるオプションが有効になっていない場合、［更新］をクリックしてExchange管理サーバにどのバージョンの管理ツールがインストールされているかをDRAに検証させてください。
Exchange管理サポートを有効にするには、オプションを選択して、この管理サーバで管理するつもりのバージョンのExchangeのサポートを有効にしてください。
［OK］をクリックします。
Office 365のSkype for Business OnlineとExchange Onlineのメールボックスを有効にするには、Manage Policies and Automation Triggersという組み込みの役割に含まれているような適切な権限が必要です。使用しているライセンスがMicrosoft Exchangeをサポートしている必要もあります。
重要:Microsoft Serverでは、WinRM/WinRSのセッションに同時に接続できるユーザ数を5に、ユーザごとのシェル数を5に制限しています。このため、同じユーザアカウントがDRAのセカンダリサーバで5シェルに限定されるようにしてください。
Exchange OnlineとSkype for Business Onlineのサポートを有効にするには:
まだインストールしていない場合は、以下に示すMicrosoftコンポーネントをインストールしてください。
PowerShell 5.0+
IT Professional RTW用Microsoft Online Servicesサインインアシスタント
https://www.microsoft.com/en-us/download/details.aspx?id=41950
Skype for Business Online、Windows PowerShellモジュール
https://www.microsoft.com/en-us/download/details.aspx?id=39366
PowerShellを開き、Install-Module MSOnlineを実行します。
詳細については、https://docs.microsoft.com/en-us/office365/enterprise/powershell/connect-to-office-365-powershellを参照してください。
Computer Managementコンソールを開き、NetIQ Administration Serviceを再起動します。
左のペインで［Policy and Automation Management (ポリシーと自動化の管理)］をクリックします。
［Policy and Automation Management (ポリシーと自動化の管理)］>［Configure Office 365 Policies (Office 365のポリシーを設定)］の順に選択し、［Enable Exchange Online Administration support (Exchange Online管理のサポートを有効にする)］をクリックします。
Exchange OnlineおよびSkype for Business Onlineを管理するためには、Office 365のテナントを1つまたは複数管理する必要があります。Office 365のテナントを管理できるようにするには、その前にExchange OnlineまたはSkype for Business Onlineのサポートを有効にしておく必要があります。
重要:Microsoft Serverでは、WinRM/WinRSのセッションに同時に接続できるユーザ数を5に、ユーザごとのシェル数を5に制限しています。このため、同じユーザアカウントがDRAのセカンダリサーバで5シェルに限定されるようにしてください。
Exchange OnlineまたはSkype for Business Onlineを有効にする方法の詳細については、次を参照してください。
Exchange Onlineのテナントを管理するようにDRAを設定する前に、Office 365のポータルに、次に挙げるパーミッションを持つアカウントを作成する必要があります。
DRAはこのアカウントを使用して、Exchange Onlineのすべての管理タスクを実行します。
Office 365のユーザ管理の管理者
Exchange Onlineの受信者管理
メモ:このアカウントは、Active Directory環境との同期化、または Microsoft Office 365のクラウドでホストされることのいずれかが可能です。DRAでは、Active Directoryに入っていなくとも管理タスクを実行できます。
アカウントのパーミッションの詳細については、「最小特権DRAアクセスアカウント」を参照してください。
DRAでオンラインポリシーを有効にしたら、新しいOffice 365テナントが管理可能な「Office 365 Tenants」という名称の設定管理から、新しいノードにアクセスできるようになります。
Office 365テナントを追加するには、［Configuration Management］>［Office 365 Tenants (Office 365テナント)］の順に選択し、ウィザードの指示に従ってOffice 365テナントのアクセスアカウントの追加や各種更新スケジュールの設定などの操作を行ってください。
DRAには、テナント内のオブジェクトに関するデータを収集するために、Directory Readersというパーミッションを持つサービスプリンシパルが必要です。
サービスプリンシパルを作成するには、Office 365で企業管理者の役割を持つユーザアカウントの資格情報をDRAに入力してDRAに自分用のサービスプリンシパルを作成させてもよいし、またはオフラインでサービスプリンシパルを作成することもできます。
メモ:
サービスプリンシパル作成のために入力された企業管理者の資格情報はDRA内に保存されません。
オフラインでサービスプリンシパルを作成する場合は、ウィザードでサービスプリンシパルのIDとパスワードを指定する必要があります。
Office 365テナントの追加には数分かかる場合があります。テナントが正常に追加されると、DRAがそのテナントのためにFACR (Full Accounts Cache Refresh)を実行します。キャッシュの更新が完了すると、そのテナントに関するOffice 365ライセンスとメールボックスの管理を始めることができます。