2.1 展開の計画

Directory and Resource Administratorの展開を計画するときは、このセクションを参照して、ハードウェア環境とソフトウェア環境の適合性を評価し、展開のために構成する必要があるポートおよびプロトコルを確認してください。

2.1.1 テスト済みのリソースの推奨構成

このセクションでは、基本的なリソースの推奨構成のサイジング情報を提供します。使用可能なハードウェア、特定の環境、処理データの特定のタイプなどの要因によって、結果は異なります。より高い負荷に対処するために、より強力で大規模なハードウェア構成にすることもできます。不明な点があれば、NetIQ Consulting Servicesにお問い合わせください。

約100万のActive Directoryオブジェクトが存在する環境で実行されます。

コンポーネント

CPU

メモリ

ストレージ

DRA管理サーバ

4CPU(x64)/コア2.0GHz

16GB

100GB

DRA Webコンソール

2CPU(x64)/コア2.0GHz

8GB

100GB

DRA Reporting

4CPU(x64)/コア2.0GHz

16GB

100GB

DRAワークフローサーバ

4CPU(x64)/コア2.0GHz

16GB

100GB

2.1.2 仮想環境リソースのプロビジョニング

DRAは、大きなメモリセグメントを長時間アクティブに保ちます。仮想環境にリソースをプロビジョニングする場合は、以下の推奨事項を考慮する必要があります。

  • ストレージを「シックプロビジョニング」として割り当てます

  • メモリ予約を［すべてのゲストメモリを予約(すべてロック)］に設定します

  • ページングファイルが、仮想階層でのバルーンメモリの再割り当てをカバーするのに十分な大きさであることを確認します

2.1.3 必要なネットワークポートおよびプロトコル

このセクションでは、DRA通信のポートとプロトコルについて説明します。

  • 設定可能なポートを、アスタリスク1つ*で示しています

  • 証明書を必要とするポートを、アスタリスク2つ**で示しています

DRA管理サーバ

プロトコルとポート

方向

宛先

用途

TCP 135

双方向

DRA管理サーバ

DRA通信の基本要件であるエンドポイントマッパーにより、MMS内で管理サーバは互いを認識

TCP 445

双方向

DRA管理サーバ

委任モデルの複製、MMS同期中のファイルの複製(SMB)

ダイナミックTCPポート範囲*

双方向

Microsoft Active Directoryドメインコントローラ

デフォルトでは、DRAは1024から65535までのTCPポート範囲から動的にポートを割り当てます。ただし、この範囲はコンポーネントサービスを使用して設定できます。詳細については、「ファイアウォールでの分散COMの使用(DCOM)」を参照してください。

TCP 50000 *

双方向

DRA管理サーバ

属性の複製、DRAサーバとADAMの通信。(LDAP)

TCP 50001 *

双方向

DRA管理サーバ

SSL属性のレプリケーション(ADAM)

TCP/UDP 389

アウトバウンド

Microsoft Active Directoryドメインコントローラ

Active Directoryオブジェクトの管理(LDAP)

アウトバウンド

Microsoft Exchange Server

メールボックスの管理(LDAP)

TCP/UDP 53

アウトバウンド

Microsoft Active Directoryドメインコントローラ

ネームレゾリューション

TCP/UDP 88

アウトバウンド

Microsoft Active Directoryドメインコントローラ

DRAサーバからドメインコントローラへの認証を許可(Kerberos)

TCP 80

アウトバウンド

Microsoft Exchange Server

オンプレミスのすべてのExchangeサーバ2010から2013に必要(HTTP)

アウトバウンド

Microsoft Office 365

リモートPowerShellアクセス(HTTP)

TCP 443

アウトバウンド

Microsoft Office 365、Change Guardian

Graph APIアクセスおよびChange Guardian Integration(HTTPS)

TCP 443、5986、5985

アウトバウンド

Microsoft PowerShell

ネーティブPowerShellコマンドレット(HTTPS)とPowerShellリモート処理

TCP 8092 * **

アウトバウンド

ワークフローサーバ

ワークフローのステータスとトリガ(HTTPS)

TCP 50101 *

インバウンド

DRAクライアント

変更履歴レポートを右クリックしてUI監査レポートに移動。インストール時に構成可能。

TCP 8989

localhost

ログアーカイブサービス

ログアーカイブ通信(ファイアウォールで開く必要はありません)

TCP 50102

双方向

DRAコアサービス

ログアーカイブサービス

TCP 50103

localhost

DRAキャッシュサービス

DRAサーバのキャッシュサービス通信(ファイアウォールで開く必要はありません)

TCP 1433

アウトバウンド

Microsoft SQL Server

レポーティングデータの収集

UDP 1434

アウトバウンド

Microsoft SQL Server

SQL Serverのブラウザサービスは、このポートを使用して名前付きインスタンスのポートを識別。

TCP 8443

双方向

Change Guardianサーバ

Unified Change History

DRA RESTサーバ

プロトコルとポート

方向

宛先

用途

TCP 8755 * **

インバウンド

IISサーバ、DRA PowerShellコマンドレット

DRA RESTベースのワークフローアクティビティを実行(ActivityBroker)

TCP 11192 * **

アウトバウンド

DRAホストサービス

DRA RESTサービスとDRA管理サービスの間の通信

TCP 135

アウトバウンド

Microsoft Active Directoryドメインコントローラ

サービス接続ポイント(SCP)を使用した自動検出

TCP 443

アウトバウンド

Microsoft ADドメインコントローラ

サービス接続ポイント(SCP)を使用した自動検出

Webコンソール(IIS)

プロトコルとポート

方向

宛先

用途

TCP 8755 * **

アウトバウンド

DRA RESTサービス

DRA Webコンソール、DRA PowerShell、およびDRAホストサービスの間の通信

TCP 443

インバウンド

クライアントブラウザ

DRA Webサイトを開く

TCP 443 **

アウトバウンド

高度な認証サーバ

高度な認証

DRA Delegation and Administrationコンソール

プロトコルとポート

方向

宛先

用途

TCP 135

アウトバウンド

Microsoft Active Directoryドメインコントローラ

SCPを使用した自動検出

ダイナミックTCPポート範囲*

アウトバウンド

DRA管理サーバ

DRAアダプタのワークフローアクティビティ。デフォルトでは、DCOMは1024から65535までのTCPポート範囲から動的にポートを割り当てます。ただし、この範囲はコンポーネントサービスを使用して設定できます。詳細については、「ファイアウォールでの分散COMの使用(DCOM)」を参照してください。

TCP 50102

アウトバウンド

DRAコアサービス

変更履歴レポートの生成

ワークフローサーバ

プロトコルとポート

方向

宛先

用途

TCP 8755

アウトバウンド

DRA管理サーバ

DRA RESTベースのワークフローアクティビティを実行(ActivityBroker)

ダイナミックTCPポート範囲*

アウトバウンド

DRA管理サーバ

DRAアダプタのワークフローアクティビティ。デフォルトでは、DCOMは1024から65535までのTCPポート範囲から動的にポートを割り当てます。ただし、この範囲はコンポーネントサービスを使用して設定できます。詳細については、「ファイアウォールでの分散COMの使用(DCOM)」を参照してください。

TCP 1433

アウトバウンド

Microsoft SQL Server

ワークフローデータストレージ

TCP 8091

インバウンド

OperationsコンソールおよびConfigurationコンソール

ワークフローBSL API(TCP)

TCP 8092 **

インバウンド

DRA管理サーバ

ワークフローBSL API(HTTP) および (HTTPS)

TCP 2219

localhost

Namespace Provider

アダプタを実行するためにNamespace Providerで使用

TCP 9900

localhost

Correlation Engine

ワークフローエンジンおよびNamespace Providerと通信するためにCorrelation Engineで使用

TCP 10117

localhost

Resource Management Namespace Provider

Resource Management Namespace Providerで使用

2.1.4 サポートされているプラットフォーム

サポートされているソフトウェアプラットフォームに関する最新情報については、NetIQ WebサイトでDirectory and Resource Administratorのページを参照してください。

管理対象システム

前提条件

Active Directory

  • Microsoft Server 2012

  • Microsoft Server 2012 R2

  • Microsoft Server 2016

Microsoft Exchange

  • Microsoft Exchange 2010 SP3(パブリックフォルダを除く)

  • Microsoft Exchange 2013

  • Microsoft Exchange 2016

  • Microsoft Skype Online

Microsoft Office 365

Skype for Business

  • Microsoft Skype for Business 2015

変更履歴

  • Change Guardian 5.0、5.1

Webブラウザ

  • Microsoft Internet Explorer 11、Edge

  • Google Chrome

  • Mozilla Firefox

ワークフローの自動化

  • Microsoft Server 2012

  • Microsoft Server 2012 R2

2.1.5 DRA管理サーバの要件

DRAには、ソフトウェアおよびアカウントに関する次のサーバ要件があります。

ソフトウェアの必要条件

コンポーネント

前提条件

インストールターゲット

オペレーティングシステム

NetIQ管理サーバおよびオペレーティングシステム:

  • Microsoft Windows Server 2012、2012 R2、2016

  • Microsoft Windows 2008 R2はアップグレードする場合のみサポートされます。

    メモ:また、サーバは、サポートされるMicrosoft Windows Serverのネーティブドメインのメンバーでなければなりません。

Windows DRAインタフェース:

  • Microsoft Windows Server 2012、2012 R2、2016

  • Microsoft Windows 8.1(x86 & x64)、10(x86 & x64)

インストーラ

  • Microsoft .Net Framework 4.5.2以降

管理サーバ

Directory and Resource Administrator:

  • Microsoft .Net Framework 4.5.2以降

  • 次のいずれか:

    • Microsoft Visual C++ 2015(Update 3)再頒布可能パッケージ(x64およびx86)

    • Microsoft Visual C++ 2017(Update 3)再頒布可能パッケージ(x64およびx86)

  • Microsoft Message Queuing

  • Microsoft Active Directoryライトウェイトディレクトリサービス役割

  • リモートレジストリサービスが開始済みであること

Microsoft Office 365/Exchange Online管理:

  • Windows PowerShell用Windows Azure Active Directoryモジュール

  • IT Professional用Microsoft Online Servicesサインインアシスタント

  • Skype for Business Online、Windows PowerShellモジュール

詳細については、「サポートされているプラットフォーム」を参照してください。

レガシWebコンポーネント

Webサーバ:

  • Microsoft Internet Information Services(IIS)バージョン8.0、8.5、10

Microsoft IISコンポーネント:

  • Microsoft Active Service Pages(ASP)

  • Microsoft Active Service Pages .NET(ASP .Net)

  • Microsoft IISセキュリティ役割サービス

Windows DRAインタフェース:

  • Microsoft .Net Framework 4.5.2

  • Microsoft Visual C++ 2015(Update 3)再頒布可能パッケージ(x86)

アカウント要件

アカウント

説明

権限

AD LDSグループ

AD LDSにアクセスするには、このグループにDRAサービスアカウントを追加する必要があります

  • ドメインローカルセキュリティグループ

DRAサービスアカウント

NetIQ管理サービスを実行するために必要な権限

  • 「Distributed COM Users」権限

  • AD LDS管理者グループのメンバー

  • アカウントオペレータグループ

  • ログアーカイブグループ(OnePointOp ConfgAdms & OnePointOp)

メモ:最小特権のドメインアクセスアカウントの設定方法については、「最小特権DRAアクセスアカウント」を参照してください。

DRA管理者

標準のDRA管理者役割にプロビジョニングされたユーザアカウントまたはグループ

  • ドメインローカルセキュリティグループまたはドメインユーザアカウント

  • 管理対象ドメインまたは信頼されたドメインのメンバー

    • 信頼されたドメインのアカウントを指定する場合は、管理サーバコンピュータがそのアカウントを認証できることを確認してください。

DRA Assistant Adminアカウント

DRAで権限を委任されるアカウント

  • リモートクライアントからDRAサーバに接続できるように、すべてのDRA Assistant Adminアカウントを「Distributed COM Users」グループに追加してください。

    メモ:これを自動で実行するように、インストール時にDRAを構成することができます。

最小特権DRAアクセスアカウント

ここには、各アカウントに必要な権限と特権、および実行する必要がある構成コマンドを記載します。

ドメインアクセスアカウント: ドメインアクセスアカウントには、次のActive Directory権限を割り当ててください。

  • 組み込みのドメインオブジェクトに対するフルコントロール

  • コンピュータオブジェクトに対するフルコントロール

  • 連絡先オブジェクトに対するフルコントロール

  • コンテナオブジェクトに対するフルコントロール

  • 動的配布グループに対するフルコントロール

  • グループオブジェクトに対するフルコントロール

  • Inetorgpersonオブジェクトに対するフルコントロール

  • MsExchSystemObjectContainerオブジェクトに対するフルコントロール

  • 部門オブジェクトに対するフルコントロール

  • プリンタオブジェクトに対するフルコントロール

  • パブリックフォルダに対するフルコントロール

  • ユーザオブジェクトに対するフルコントロール

ドメインアクセスアカウントには、次に挙げる特権を「このオブジェクトとすべての子オブジェクト」の範囲で指定してください。

  • コンピュータオブジェクトの作成を許可

  • 連絡先オブジェクトの作成を許可

  • コンテナの作成を許可

  • グループオブジェクトの作成を許可

  • MsExchDynamicDistiributionListの作成を許可

  • 部門オブジェクトの作成を許可

  • パブリックフォルダの作成を許可

  • サービス接続ポイントの作成を許可

  • ユーザオブジェクトの作成を許可

  • コンピュータオブジェクトの削除を許可

  • 連絡先オブジェクトの削除を許可

  • コンテナの削除を許可

  • グループオブジェクトの削除を許可

  • InetOrgPersonオブジェクトの削除を許可

  • MsExchDynamicDistiributionListの削除を許可

  • 部門オブジェクトの削除を許可

  • パブリックフォルダの削除を許可

  • サービス接続ポイントの削除を許可

  • ユーザオブジェクトの削除を許可

Office 365テナントのアクセスアカウント: Office 365テナントのアクセスアカウントには、次のActive Directory権限を割り当ててください。

  • Office 365のユーザ管理の管理者

  • Exchange Onlineの受信者管理

Exchangeアクセスアカウント: Exchange 2010を管理するには、Exchangeアクセスアカウントに組織管理役割を割り当ててください。

Skypeアクセスアカウント: このアカウントがSkype対応ユーザであり、以下の少なくとも1つのメンバーであることを確認してください。

  • CSAdministrator役割

  • CSUserAdministrator役割とCSArchiving役割

パブリックフォルダのアクセスアカウント: パブリックフォルダのアクセスアカウントには、次のActive Directory権限を割り当ててください。

  • パブリックフォルダ管理

  • メールが有効なパブリックフォルダ

DRAのインストール後:

  • 次のコマンドを実行して、DRAインストールフォルダの「削除済みオブジェクトコンテナ」への権限を委任します(注:このコマンドはドメイン管理者が実行する必要があります)。

    DraDelObjsUtil.exe /domain:<NetbiosDomainName> /delegate:<Account Name>

  • 次のコマンドを実行して、DRAインストールフォルダの「NetIQReceyleBin OU」への権限を委任します(注:これは、DRAで管理する各ドメインを追加した後に初めて実行できます)。

    DraRecycleBinUtil.exe /domain:<NetbiosDomainName> /delegate:<AccountName>

  • 最小特権のオーバーライドアカウントを、DRAでプリンタ、サービス、イベントログ、デバイスなどのリソースを管理する各コンピュータの「ローカル管理者」グループに追加します。

  • 最小特権のオーバーライドアカウントに、ホームディレクトリをプロビジョニングした共有フォルダまたはDFSフォルダに対する「フル権限」を付与します。

  • Exchangeオブジェクトを管理するには、最小特権のオーバーライドアカウントを「組織管理」役割に追加します。

2.1.6 DRA Webコンソールおよび拡張の要件

WebコンソールおよびREST拡張機能には、次のような要件があります。

ソフトウェアの必要条件

コンポーネント

前提条件

インストールターゲット

オペレーティングシステム:

  • Microsoft Windows Server 2016、Microsoft Windows 10(Microsoft IIS 10搭載)

  • Microsoft Windows Server 2012、2012 R2(Microsoft IIS 8.0、8.5搭載)

DRAホストサービス

  • Microsoft .Net Framework 4.5.2

  • DRA管理サーバ

DRA RESTエンドポイントおよびサービス

  • Microsoft .Net Framework 4.5.2

PowerShell拡張機能

  • Microsoft .Net Framework 4.5.2

  • PowerShell 4.0

DRA Webコンソール

Webサーバ:

  • Microsoft Internet Information Server 8.0、8.5、10

  • Microsoft Internet Information Services WCF(アクティブ化)

Microsoft IISコンポーネント:

  • Webサーバ

    • 一般的なHTTP機能

      • 静的なコンテンツ

      • デフォルトのドキュメント

      • ディレクトリブラウザ

      • HTTPエラー

    • アプリケーション開発

      • ASP

    • 健全性と診断

      • HTTPログ

      • 要求の監視

    • セキュリティ

      • 基本認証

    • パフォーマンス

      • 静的なコンテンツの圧縮

  • Webサーバの管理ツール

2.1.7 レポーティングの要件

DRA Reportingの要件は次のとおりです。

ソフトウェアの必要条件

コンポーネント

前提条件

インストールターゲット

オペレーティングシステム:

  • Microsoft Windows Server 2012、2012 R2、2016

NetIQ Reporting Center(v3.2)

データベース:

  • Microsoft SQL Server 2012、2014、2016

  • Microsoft SQL Server Reporting Services

Webサーバ:

  • Microsoft Internet Information Server 8.0、8.5、10

  • Microsoft IISコンポーネント

    • ASP .NET 4.0

Microsoft .NET Framework 3.5:

DRA Reportingに接続するすべてのDRA管理サーバには.NET Framework 3.5も必要です。

メモ:SQL ServerコンピュータにNetIQ Reporting Center(NRC)をインストールする場合、NRCをインストールする前に.NET Framework 3.5を手動でインストールしておかなければならないことがあります。

DRA Reporting

データベース:

  • Microsoft SQL Server Integration Services

  • Microsofte SQL Serverエージェント

2.1.8 ライセンスの要件

ライセンスによって、使用できる製品と機能が決まります。DRAでは、管理サーバとともにライセンスキーをインストールする必要があります。

管理サーバをインストールした後、無制限の数のユーザアカウントとメールボックスを30日間管理できる試用ライセンスキー(TrialLicense.lic)を、正常性検査ユーティリティを使用してインストールすることができます。

ライセンスの定義や制限事項に関する詳細については、製品のエンドユーザ使用許諾契約書(EULA)を参照してください。