Systemwalker Centric Manager 導入手引書 - UNIX/Windows(R)共通 -

10.10 ドメインコントローラに昇格、またはドメインコントローラから降格する

導入環境のサーバマシンを、ドメインコントローラに昇格、またはドメインコントローラから降格する手順について説明します。

1. ドメインコントローラに昇格、またはドメインコントローラから降格する前に、バックアップを行います。

   バックアップ手順については、“バックアップ”を参照してください。

2. 以下に示すローカルグループに所属しているユーザを、それぞれ確認して記録しておきます。（ドメインコントローラに昇格、またはドメインコントローラから降格した後、昇格/降格する前と同じ状態に戻すときに、ここで記録した内容を使用します。）

   確認するローカルグループと、確認方法を以下に示します。

   [ローカルグループ]

   • DmAdmin
   • DmOperation
   • DmReference
   • DistributionAdmin
   • DistributionOperation
   • DistributionReference
   • SystemwalkerSecurityAdmin
   • SystemwalkerSecurityAuditor

   [確認方法]

   以下のメニューから確認できます。

   • 昇格の場合

     [コントロールパネル]-[管理ツール]-[コンピュータの管理]-[システムツール]-[ローカル ユーザーとグループ]-[グループ]

   • 降格の場合

     [コントロールパネル]-[管理ツール]-[Active Directory ユーザとコンピュータ]-[作成されたドメイン名]-[Users]

   
   

3. サーバマシンを、ドメインコントローラへ昇格、またはドメインコントローラから降格します。

   昇格、および降格の方法については、OSのマニュアルを参照してください。

4. ローカルグループの情報を確認/設定します。
   1. 以下のローカルグループが、システムに登録されていることを確認し、登録されていない場合は作成します。

      確認するローカルグループ、確認方法、および登録方法を以下に示します。

      [ローカルグループ]

      • DmAdmin
      • DmOperation
      • DmReference
      • DistributionAdmin
      • DistributionOperation
      • DistributionReference
      • SystemwalkerSecurityAdmin
      • SystemwalkerSecurityAuditor

      [確認方法]

      以下のメニューから確認できます。

      • 昇格の場合

        [コントロールパネル]-[管理ツール]-[Active Directory ユーザとコンピュータ]-[作成されたドメイン名]-[Users]

      • 降格の場合

        [コントロールパネル]-[管理ツール]-[コンピュータの管理]-[システムツール]-[ローカル ユーザーとグループ]-[グループ]

      [登録方法]

      1. コマンドプロンプトを起動します。
      2. 以下のコマンドを実行し、ローカルグループを作成します。

         > net localgroup DmAdmin /ADD
         > net localgroup DmOperation /ADD
         > net localgroup DmReference /ADD
         > net localgroup DistributionAdmin /ADD
         > net localgroup DistributionOperation /ADD
         > net localgroup DistributionReference /ADD
         > net localgroup SystemwalkerSecurityAdmin /ADD
         > net localgroup SystemwalkerSecurityAuditor /ADD

         
         
   2. 以下のローカルグループの特権が、以下のポリシーに設定されていることを確認します。設定されていない場合は設定を行います。

      確認するローカルグループとポリシー、および設定の確認方法を以下に示します。

      [ローカルグループ]

      • DmAdmin
      • DistributionAdmin

      [ポリシー]

      • オペレーティング システムの一部として機能
      • クォータの増加(Windows Server 2003 STD/Windows Server 2003 DTC/Windows Server 2003 EE/Windows Server 2008 STD/Windows Server 2008 DTC/Windows Server 2008 EE/Windows Server 2008 for Itanium-Based Systemsの場合、プロセスのメモリクォータの増加)
      • サービスとしてログオン
      • システム パフォーマンスのプロファイル
      • システムのシャットダウン
      • システム時刻の変更
      • スケジューリング優先順位の繰り上げ
      • デバイス ドライバのロードとアンロード
      • トークン オブジェクトの作成
      • ドメインにワークステーションを追加
      • ネットワーク経由でコンピュータへアクセス
      • ファームウェア環境値の修正
      • ファイルとその他のオブジェクトの所有権の取得
      • ファイルとディレクトリのバックアップ
      • ファイルとディレクトリの復元
      • プログラムのデバッグ
      • プロセス レベル トークンの置き換え
      • ページ ファイルの作成
      • リモート コンピュータからの強制シャットダウン
      • ローカル ログオン
      • 監査とセキュリティ ログの管理
      • 単一プロセスのプロファイル

      [確認方法]

      以下のメニューから確認できます。

      • 昇格の場合

        [コントロールパネル]-[管理ツール]-[ドメイン ローカル セキュリティ ポリシー]-[セキュリティの設定]-[ローカル ポリシー]-[ユーザー権利の割り当て]

      • 降格の場合

        [コントロールパネル]-[管理ツール]-[ローカル セキュリティ ポリシー]-[ローカル ポリシー]-[ユーザー権利の割り当て]

5. エクスプローラから以下のディレクトリのプロパティを開き、[セキュリティ]の[グループ名またはユーザ名]の一覧に、“不明なアカウント”が存在する場合は、すべて削除してください。

   [ディレクトリ]

   Systemwalkerインストール先\MpWalker
   Systemwalkerインストール先\MpWalker.DM

6. 手順5と同様に、エクスプローラから以下のディレクトリのプロパティを開き、以下に示すアクセス許可が設定されていることを確認し、設定されていない場合は設定します。

   確認するディレクトリとアクセス許可、および設定方法を以下に示します。

   [ディレクトリ]

   Systemwalkerインストール先\MpWalker
   Systemwalkerインストール先\MpWalker.DM

   [アクセス許可]

   	アクセス許可
   DmAdmin	フルコントロール
   DmOperation	変更
   DmReference	変更
   DistributionAdmin	フルコントロール
   DistributionOperation	変更
   DistributionReference	変更
   SystemwalkerSecurityAdmin	フルコントロール
   SystemwalkerSecurityAuditor	変更
   Administrators	フルコントロール
   SYSTEM	フルコントロール
   CREATOR OWNER	フルコントロール
   Users	読み取り

   [設定方法]

   1. Administratorsグループに所属するユーザでログインします。
   2. コマンドプロンプトを起動します。
   3. 以下のコマンドを実行し、アクセス許可を設定します。

      Systemwalkerインストール先\MpWalker\bin\mpsetsec.exe /c

      
      

7. 以下のローカルグループに所属するユーザを、手順2で記録した確認結果と同じ状態に設定します。(必要に応じてユーザを追加/削除してください。)

   [ローカルグループ]

   • DmAdmin
   • DmOperation
   • DmReference
   • DistributionAdmin
   • DistributionOperation
   • DistributionReference
   • SystemwalkerSecurityAdmin
   • SystemwalkerSecurityAuditor
     
8. スタートアップアカウントを変更します。
   • 昇格の場合

     スタートアップアカウントにドメインユーザを指定する必要があります。

   • 降格の場合

     スタートアップアカウントにローカルユーザを指定する必要があります。

   スタートアップアカウントの変更方法については、“スタートアップアカウントを変更する【Windows】”を参照してください。