ドメインコントローラを自前で立てずにWindows Serverを管理してみた(後編)

ウィスキー、シガー、パイプをこよなく愛する大栗です。

2014年11月4日追記

DNSは個別のインスタンスで設定しない方が良いとの情報がありました。 DNSはVPCのDHPC Optionで設定しましょう。

前編のドメインコントローラを自前で立てずにWindows Serverを管理してみた(前編)では、以下の様にWorkSpacesの環境をVPC内に配置しました。後編ではドメインコントローラの管理を行い、Windows Serverをドメインに参加させます。

ネットワーク設定を変更する

VPC内でActive Directoryを使用するために、ネットワークの設定を行う必要があります。

WorkSpacesのDirectoriesでDNS Addressを確認します。

次にVPCでDHCP Optionsを設定します。

上記で設定したDHCP OptionsをVPCに設定して、ネットワークの準備できました。

管理ツールをインストールする

まずはドメインコントローラを管理します。ドメインコントローラの管理クライアントとして、前編で起動したVDI環境を使用します。

WorkSpacesのドメインコントローラはVDI環境を30日以上起動していないと削除される可能性があります。そのため、ここではVDI環境をドメイン管理クライアントとして使用します。

VDI環境でドメインを管理するために、管理用ツールをインストールします。 [コントロール パネル]-[プログラム]-[プログラムと機能]-[Windows の機能の有効化または無効化]を選択し、[サーバー マネージャー]を起動します。

「機能の追加」で[AS DS ツール]を選択し、インストールします。

インストール処理を完了するために、再起動が必要になるので、再起動を行います。

再起動後にWorkSpaceにログインすると、インストール処理がされます。

ユーザに管理権限を付与する

前編でドメインコントローラを構成する時に、管理ユーザを設定しています。しかし、WorkSpacesクライアントでは管理ユーザでログインできません。そのためログインユーザに管理者権限を付与します。

WorkSpacesクライアントではAdministratorでログインできませんが、RDPクライアントを経由してAdministratorでログインできます。今回はVDI環境をPrivate Subnetに置いているため、WorkSpacesユーザに管理者権限を付与しています。

runasコマンドを使用して、「Active Directory ユーザーとコンピューター」を実行します。 コマンドプロンプトで、以下のコマンドを実行します。

runas /user:<NetBIOSドメイン名>\Administrator "mmc %SystemRoot%\system32\dsa.msc"

または

runas /user:Administrator@<FQDNドメイン名> "mmc %SystemRoot%\system32\dsa.msc"

パスワードを求められるので、管理者ユーザのパスワードを入力して下さい。

Administratorとして「Active Directory ユーザーとコンピューター」が起動します。

Users OUでログインユーザを選択します。

「所属するグループ」で以下の管理用グループを追加します。

• Administrators
• Domain Admins
• Enterprise Admins
• Schema Admins
• Remote Desktop Users

ログインユーザに管理者権限を付与したので、runasコマンドを使用せずに「Active Directory ユーザーとコンピューター」を起動しても、ドメインの管理が行えます。

Windows Serverをドメインに参加させる

いよいよWindows Serverをドメインに参加させます。 Windows Serverを以下の様に配置して起動します。今回はWindows Serverは日本語化していません。必要があれば日本語言語パックをインストールして下さい。

Windows Serverにログインし、[コントロールパネル]-[システムとセキュリティ]-[システム]を選択します。「コンピューター名、ドメインおよびワークグループの設定」で「設定の変更」をクリックします。

「変更」をクリックします。

「ドメイン」にWorkSpacesのFQDNドメイン名を入力し「OK」をクリックします。

ドメインの管理ユーザとパスワードが求められるので、管理ユーザとパスワードを入力します。管理ユーザはAdministratorでも上記で設定したWorkSpacesのログインユーザでも問題ありません。

ドメインに参加できると、以下の様なポップアップが表示されます。

以下の様にドメインに参加します。処理を完了させるために、再起動を行って下さい。

WorkSpacesのログインユーザにRemote Desktop Users権限を付与していたため、 Windows Serverへのログインも可能です。

最後に

ドメインコントローラは停止が許されない機能であるため、自前での構築、運用に手間がかかります。このように冗長化や構築の手間がかからないドメインコントローラを利用する事でWindows Serverの管理が楽に行えます。

しかし、WorkSpacesのドメインコントローラを利用した長期運用は未確認です。そのため、実運用を行う場合は検証の必要がありますので、ご注意下さい。