Windows Server ＆ Cloud User Group Japan 第51回 勉強会セッション動画「OpenSSH for Windows Server 2025」

 

WAC vMode PreviewとWAC 2606でのRBAC

The Windows Admin Center: Virtualization Mode public preview build has been updated!

をみてまして、build number 2.7.1.8（WAC vMode Preview 2605らしい）を入れているときにRBACがあることに気づきました。

WAC 2606はどうかというと同じですね。

いずれも、Hyper-Vクラスター（Windows Server 2025 S2D）でして、クラスターの場合はRBACを推奨しないメッセージになっていますね。

スタンドアロンサーバーも別途確認したいですね。

OpenSSH for Windows Server 2025 その5 Tera TermとOpenSSH for Windows Server 2025の相性

Windows Server ＆ Cloud User Group Japan 第51回 勉強会セッション資料「OpenSSH for Windows Server 2025」 

の続き。上記セッション終了後、判明したことをまとめます。

Tera Term 5.6.0とOpenSSH for Windows Server 2025の相性なのか、キーバインドがあっていないようです。

具体的には、backspaceで文字列がすべて消せること、deleteで一文字ずつ前に削除（こちらはbackspaceの挙動とも言えます）です。こちら伝わりにくいので映像を用意しました。

Additional settings / "Keyboard" タブ ([Setup] メニュー)で、調整する必要があるかもしれない旨、教えていただきました。

Windows組み込みのsshでこのような事象は無いです。

putty 0.84もこのような事象は無いです。

Windows Server ＆ Cloud User Group Japan 第51回 勉強会セッション資料「OpenSSH for Windows Server 2025」

OpenSSH for Windows Server 2025 by @sshzk

Network ATCのインテントがエラーになった

Network ATCのインテントがエラーになっていました。。。

調査、解決は、イベントビューアーなどなどから探っていくわけですが、本稿はどうやって再評価させるかを記載します。その再評価は、

Set-NetIntentRetryState -Name "<Intent名>" -NodeName "<失敗ノード名>" -Wait

で行います。

Azure LocalとWindows Server 2025のGlobal Cluster Overridesを比較する

Azure LocalとWindows Server 2025のNetwork ATCにおいて、Global Cluster Overridesを比較します。というのも、クラスターネットワークのライブマイグレーション設定で違いがあることを見つけたためです。

下記は、Azure LocalをAzure Portalからデプロイした後で確認したクラスターネットワークのライブマイグレーション設定です。マネジメントネットワークもライブマイグレーション用ネットワークに含まれています。

下記は、PowerShellのお手製スクリプトでデプロイしたWindows Server 2025 HCI/S2Dにおける、クラスターネットワークのライブマイグレーション設定です。マネジメントネットワークがライブマイグレーション用ネットワークから除外されています。

じゃあ、マネジメントネットワークがライブマイグレーション用ネットワークに含めれば良いじゃ無いかとなるわけです。が話はそんなに簡単ではありません。この設定変更は、Network ATCのバリデーションでドリフトしているとみなされ、マネジメントネットワークがライブマイグレーション用ネットワークから除外されます。実際の挙動を見ましょう。次の画像が設定したものです。

今回は、WACからも状況を見ており、Validationが走っていることがわかりますね。

この後、確認し直すとマネジメントネットワークがライブマイグレーション用ネットワークから除外されました。

Network ATCから見たら「是正しました」になります。

では、ここからどうするのが良いか。冒頭に戻り、Azure LocalとWindows Server 2025のNetwork ATCにおいて、Global Cluster Overridesを比較します。

まずAzure LocalでのGlobal Cluster Overridesをダンプします。
※スクリプトは、Network ATCのGlobal Cluster Overridesも出力してみるを参照してください。

===== Global Cluster Overrides (ClusterOverride) =====

EnableNetworkNaming                               : False
EnableLiveMigrationNetworkSelection               : False
EnableVirtualMachineMigrationPerformanceSelection : 
VirtualMachineMigrationPerformanceOption          : 
MaximumVirtualMachineMigrations                   : 
MaximumSMBMigrationBandwidthInGbps                : 

続いてWindows Server 2025 HCI/S2DでのGlobal Cluster Overridesをダンプします。
===== Global Cluster Overrides (ClusterOverride) =====

EnableNetworkNaming                               : 
EnableLiveMigrationNetworkSelection               : 
EnableVirtualMachineMigrationPerformanceSelection : 
VirtualMachineMigrationPerformanceOption          : 
MaximumVirtualMachineMigrations                   : 
MaximumSMBMigrationBandwidthInGbps                : 

EnableNetworkNamingとEnableLiveMigrationNetworkSelectionに差異がありますね。

New-NetIntentGlobalClusterOverrides のパラメーター説明 によりそれぞれの意味合いは確認できます。今回は、EnableLiveMigrationNetworkSelectionを無効化すれば良さそうだと推測できます。なお後からクラスターネットワーク名を変更する可能性を鑑みたのと、Azure Localと設定を揃える意味合いで、EnableNetworkNamingも無効化しています。

実際のコードは、下記になります。これをWindows Server 2025 HCI/S2Dのノードから実行します。Global Cluster Overridesは、クラスター全体設定ですので、いずれかのノードから実行すれば良いわけです。
$clusterOverride = New-NetIntentGlobalClusterOverrides
$clusterOverride.EnableNetworkNaming = $false
$clusterOverride.EnableLiveMigrationNetworkSelection = $false
Set-NetIntent -GlobalClusterOverrides $clusterOverride

実行後、WACから見ると指定通り設定変更されていました。この設定自体は、WACからも変更可能（EnableNetworkNamingを例に別途確認してみます）。

改めて、マネジメントネットワークがライブマイグレーション用ネットワークに含めます。

しばらく経過しても、設定は維持されていました。

さらに放置しておきましたが、設定は維持されていました。

以上がGlobal Cluster Overridesを使った設定変更例となります。

セキュアブート許可署名データベースの更新

セキュア ブート許可済みキー交換キー (KEK) の更新 の続き。

Windows 11へ「セキュアブート許可署名データベースの更新」という更新プログラムが提供されていました。

再起動後に、履歴から当該更新プログラムを探し出しました。

「詳細情報」をクリックすると、Windows セキュア ブート証明書の有効期限と CA 更新プログラム

にアクセスできました。本更新プログラムは、セキュアブート証明書の有効期限切れに関連する更新プログラムということですね。

Windows Server 2025で同じ更新プログラムがあるか、確認してみました。今のところは検出されていません。引き続き状況を見ていきます。

Windows Server 2025日本語版だと、Windows Admin Center 2511 2.6.6.18へアップグレードできない？！

Windows Server 2025英語版だと、Windows Admin Center 2511 2.6.6.11へアップグレードできます。下記がファイルのプロパティにある詳細タブで確認したバージョンです。

このファイルを起動すると、セットアップウィザードが表示されます。

セットアップ完了しましたので、

Web UIを開くと、アップグレードされていま。

これが、日本語版だとアップグレードできないようなのです。下記がファイルのプロパティにある詳細タブで確認したバージョンです。

このファイルを起動すると、下記のメッセージが出てしまいます。

アップグレード元は、高可用性構成ではなく、通常インストールです。。。

製品チームにフィードバックしてみました。

OpenSSH for Windows Server 2025 その4 ローカルユーザーのパスワード認証

ADドメインユーザーではなく、ローカルユーザーを試してみます。

Windows Server および Windows 用の OpenSSH Server の構成 - AllowGroups、AllowUsers、DenyGroups、DenyUsers

を参照し、AllowUsersにローカルユーザーを追加しました（事前にローカルユーザーは作成済み）。sshdサービスも再起動します。

パスワード認証を試したところ、上手くいきました。

キーベース認証を試行していないことを思い出したので、別途確認します。

※何か権限設定を書き忘れているような気もするので、確認予定です。書き忘れがあれば別途追記します。

OpenSSH for Windows Server 2025 その3 キーベースの認証 ローカル管理者権限ありのADドメインユーザー

七転八倒のためGen AIを併用しながらという感じで試行錯誤した結果、タイトルの挙動故の設定が必要と理解しました。具体的には、下記の設定が必要でした。

Windows 用 OpenSSH でのキーベースの認証 - 管理ユーザー

通常ユーザーの公開キー配置場所である ホームディレクトリ\.ssh\id_ecdsa.pub ではなくて、$env:ProgramData\ssh\administrators_authorized_keys に置く必要がありました。加えて、set-contentでasciiにコード変換するとうまくいきました。コマンド例は下記のとおりです。

(Get-Content C:\Users\sashizaki\.ssh\id_ecdsa.pub) | Set-Content -Encoding ascii C:\ProgramData\ssh\administrators_authorized_keys

では、七転八倒をかいつまんでみていきます。基本的には、下記のドキュメントを参照しています。

Windows 用 OpenSSH でのキーベースの認証

まずは、ssh-keygenで秘密キーと公開キーのペアを作成します。

普通に、ホームディレクトリ\.ssh\id_ecdsa.pub に配置しました。これでキーベース認証が使えると思ったら間違いでして、

Windows Server および Windows 用の OpenSSH Server の構成 - OpenSSH 構成ファイル

に記載がある %programdata%\ssh\sshd_config ファイルから「PubkeyAuthentication yes」を有効化して、sshdサービスを再起動します。（後で気づいて対応しましたが、この時点でパスワード認証も有効化しておくてデバッグしやすい）

ユーザー指定を変えながらいくつかリトライしたもののsshコマンドからつながらず。

Gen AIの提案から、

(Get-Content C:\Users\sashizaki\.ssh\id_ecdsa.pub) | Set-Content -Encoding ascii C:\ProgramData\ssh\administrators_authorized_keys

と

icacls C:\ProgramData\ssh\administrators_authorized_keys /inheritance:r

icacls C:\ProgramData\ssh\administrators_authorized_keys /grant "Administrators:F"

icacls C:\ProgramData\ssh\administrators_authorized_keys /grant "SYSTEM:F"

を実行しsshdサービスを再起動しました。

ssh /vでデバッグ情報を出力させながら、再試行しました。結果、成功。

Network ATCのGlobal Cluster Overridesも出力してみる

Network ATCのSet-NetIntentによりOverridesを追加してみる

では、Global Cluster Overridesを出力していないことを思い出し、調べつつ生成AIからPowerShellコードを出力してもらいました。

# -----------------------------

# Dump Network ATC intents + Global overrides (Cluster + Proxy)

# -----------------------------

# インテント別Overrides（既存ロジックを最適化：Get-NetIntent呼び出しを1回に）

$intentNames = (Get-NetIntent).IntentName

foreach ($name in $intentNames) {

    $i = Get-NetIntent -Name $name

    "`n===== Intent: $($i.IntentName) / Type: $($i.IntentType) ====="

    "AdapterAdvancedParametersOverride:"; $i.AdapterAdvancedParametersOverride

    "RssConfigOverride:";                $i.RssConfigOverride

    "QosPolicyOverride:";                $i.QosPolicyOverride

    "SwitchConfigOverride:";             $i.SwitchConfigOverride

    "IPOverride:";                       $i.IPOverride

    "NetAdapterCommonProperties:";       $i.NetAdapterCommonProperties

}

# --- Global overrides を取得（globalintent相当） ---

$g = Get-NetIntent -GlobalOverrides | Where-Object IntentType -eq 'Global'

"`n===== Global Overrides (globalintent) ====="

$g | Format-List ProxyOverride, ClusterOverride, ResourceContentVersion, IntentName, Scope, IntentType, InstanceId, ObjectVersion

# -----------------------------

# 1) Global Cluster Overrides (New-NetIntentGlobalClusterOverrides 相当)

# -----------------------------

$clusterProps = @(

  'EnableNetworkNaming',

  'EnableLiveMigrationNetworkSelection',

  'EnableVirtualMachineMigrationPerformanceSelection',

  'VirtualMachineMigrationPerformanceOption',

  'MaximumVirtualMachineMigrations',

  'MaximumSMBMigrationBandwidthInGbps'

)

"`n===== Global Cluster Overrides (ClusterOverride) ====="

$g.ClusterOverride | Select-Object $clusterProps | Format-List

# -----------------------------

# 2) Global Proxy Overrides (New-NetIntentGlobalProxyOverrides 相当)

#    -ProxyServer / -ProxyBypass / -AutoDetect / -AutoConfigUrl

# -----------------------------

$proxyPropCandidates = @(

  'ProxyServer',     # New-NetIntentGlobalProxyOverrides -ProxyServer

  'ProxyBypass',     # New-NetIntentGlobalProxyOverrides -ProxyBypass

  'AutoDetect',      # New-NetIntentGlobalProxyOverrides -AutoDetect

  'AutoConfigUrl'    # New-NetIntentGlobalProxyOverrides -AutoConfigUrl

)

"`n===== Global Proxy Overrides (ProxyOverride) ====="

# ProxyOverride は環境によりプロパティ名が揺れる可能性があるため、

# 「存在するプロパティだけ」出すようにしています。

if ($null -eq $g.ProxyOverride) {

    Write-Warning "ProxyOverride が null です（未設定/既定の可能性）。"

} else {

    $existing = $proxyPropCandidates | Where-Object { $g.ProxyOverride.PSObject.Properties.Name -contains $_ }

    if ($existing.Count -eq 0) {

        # 期待の名前で取れない場合は全出力して原因特定

        Write-Warning "ProxyOverride に期待プロパティ($($proxyPropCandidates -join ', '))が見つかりません。全プロパティを表示します。"

        $g.ProxyOverride | Format-List *

    } else {

        $g.ProxyOverride | Select-Object $existing | Format-List

    }

}

これをNestedなWindows Server 2025 S2D上で実行しました。NetDirect=RDMAとSR-IOVは無効化が確認できました。

Global Cluster Overridesは、特段設定してないので何も出てきませんが、項目としては大丈夫です。

なお物理サーバーで値が出ているのは確認済みです。

OpenSSH for Windows Server 2025 その2 GPOによるサービスの制御

OpenSSHをホストごとに個別設定するのは手がかかりますので、グループポリシー（GPO）で制御します。

グループ ポリシーを使用して OpenSSH を管理する方法

に則り、設定します。

グループポリシーの管理を起動します。

GPOを作成します。

グループポリシーを編集しましょう。左側のナビゲーションウィンドウで、[コンピューターの構成]、[ポリシー]、[Windowsの構成]、[セキュリティの構成] 、[システムサービス] の順で選択します。その中にある[OpenSSH SSH Server] をダブルクリックします。

[このポリシーの設定を定義する]をチェックするとサービスの起動を制御できます。

[セキュリティの編集]をクリックすると、既定値の確認、編集が可能です。

では、サービスのスタートアップモードを無効化。gpupdate /forceでGPOを反映しました。止まりましたね。

サービスのスタートアップモードを手動に変更。gpupdate /forceでGPOを反映しました。

明示的に起動していないので、サービスは停止したままです。

サービスの管理でもスタートアップの種類は[手動]であることが確認できます。

スタートアップの種類を[自動]に変更します。

gpupdate /forceでGPOを反映しました。サービスの起動を確認できます。

サービスの管理でもスタートアップの種類は[自動]であり、サービスは実行中であることが確認できます。

次回は、キーベースの認証をみていきます。調べている限り、クセがあるので注意しなければなりませんので、その辺りも解説予定です。

OpenSSH for Windows Server 2025 その1 有効化とパスワード認証

Windows Server 2025では、OpenSSHが簡単に使えるようになっています。

Configure SSH Server on Windows Server 2025

を踏まえてみていきます。

有効化については、サーバーマネージャーからクリックするだけ。（下図の赤枠内をクリック）

確認が表示されますので、日本語で「はい」と入れましょう。

yやyesを入力しても却下されます。

有効化されると下図の赤枠内通りになります。
※無効化したい場合は、「有効」になっているリンクをクリックすれば良いです。

OpenSSHのサービスが有効化されています。

Windows Firewallでも通信が許可されています。

ただし、ルールのプロパティにある詳細タブから、Domainを追加でチェックします。

実際にパスワード認証で接続します。なおローカルユーザーで接続可能かは別途確認予定です。
ユーザー名が少々分かりにくいのですが、

ADドメイン名¥ADドメインのユーザー名@接続先ホスト名

となっています。接続した結果、拇印の受け入れを求められのが下記です。

接続できましたので、プロンプトにユーザー名が含まれています。

exitでリモート接続を終了できます。

次回は、グループポリシーによるサービス制御を解説します。