2024年4月のセキュリティ更新プログラムで、既知の問題が2つ出ています。

おもにWindows Server 2022に影響ありますが、

2024 年 4 月 9 日 — KB5036909 (OS ビルド 20348.2402)

で、下記の通り既知の問題が2つ出ています。文面を引用します。

1. 2024 年 4 月のセキュリティ更新プログラムをインストールした後の NTLM トラフィックの問題
   ドメイン コントローラー (DC) に 2024 年 4 月のセキュリティ更新プログラム (KB5036909) をインストールすると、 NTLM 認証トラフィックが大幅に増加する可能性があります。 この問題は、環境内のプライマリ ドメイン コントローラーの割合が非常に少なく、NTLM トラフィックが多い組織に影響を与える可能性があります。
   次の手順: 解決に取り組んでおり、今後のリリースで更新プログラムを提供します。
   影響を受けるプラットフォーム:
1. クライアント: なし
2. サーバー: Windows Server 2022、Windows Server 2019、Windows Server 2016、Windows Server 2012 R2、Windows Server 2012、Windows Server 2008 R2、Windows Server 2008
2. 2024 年 4 月のセキュリティ更新プログラムをインストールした後、VPN 接続が失敗する可能性があります
   Windows デバイスは、2024 年 4 月のセキュリティ更新プログラム (KB5036909) または 2024 年 4 月のセキュリティ以外のプレビュー更新プログラム をインストールした後、VPN 接続エラーに直面する可能性があります。
   次の手順: 解決に取り組んでおり、今後のリリースで更新プログラムを提供します。
   影響を受けるプラットフォーム:
1. クライアント: Windows 11バージョン 23H2;Windows 11、バージョン 22H2、Windows 11、バージョン 21H2、Windows 10、バージョン 22H2、Windows 10、バージョン 21H2。
2. サーバー: Windows Server 2022、Windows Server 2019、Windows Server 2016、Windows Server 2012 R2、Windows Server 2012、Windows Server 2008 R2、Windows Server 2008。

いずれにしても、今後の定例なのか、定例外で対応が図られそうですね。

SCDPM 2019 を作り直したら、ID 31313を引いた

物理サーバーのディスク構成を見直し、SCDPM 2019 を作り直しました。

Windows Server 2008などの仮想マシンをバックアップしようと設定を作成しようとしたところ、下記のエラーが発生。

調べると、下記のようなエントリーがありました。

System Center Data Protection Manager 2016 Error 31313 during creation of protection group

SQLをアレンジして、実行してみました。

仮想マシンが選択できるようになりましたー

Windows Server Community Meetup #02 資料 「Windows Admin Center 2018年10月のお話 」を公開します

当ブログで、Windows Server Community Meetup #02 資料 「Windows Admin Center　2018年10月のお話 」を公開します！

Windows Admin Center　2018年10月のお話 from Dell

Windows Admin CenterにWindows Server 2008 R2を登録してみる

Interact 2018でデモンストレーションしようと考えていましたが、機材の不調で省略する羽目になりました。
よって、前提条件含め、キチンと説明していきます。

Prepare your environment for Windows Admin Center
にある通り、前提条件としてWMF 5.1以上のインストールが必要です。
が、Windows Server 2008 R2の場合、WMF 5.1以上のインストールでは.NET Framework 4.5.2以上が必要です。こちらについては、Windows Updateで最新版である4.7.1をインストールしておきます。
※WMF 3.0をインストールしてはいけないとも記載があります、ご注意ください。

以下も必要ですね。

• 名前解決
  今回はドメイン参加させることで、DNS登録を省略（DDNSするので）
• winrm quickconfig
  こちらでWindows Firewallも開きます
• Set-Item WSMan:\localhost\Client\TrustedHosts -Value ‘*’

まずwinrm quickconfigとSet-Item WSMan:\localhost\Client\TrustedHosts -Value '*'を実行。

winrm quickconfigで、WinRMも動作するようになりました。Windows Firewallの例外が構成されたことも確認できますね。

Windows Updateで最新版である4.7.1をインストール済み。


ダウンロードしたWMF 5.1をインストール。
Windows 7 and Windows Server 2008 R2用は、zipファイルです。デスクトップに解凍します。


インストールは、PowerShellで行うのですね～。
と思って実行したら、PowerShellの実行ポリシーに引っかかってる。


RemoteSignedに変えてみて、再度実行。

しばらく待つと、ダイアログが出ました。

[はい]ボタンを押すと、ライセンス条項の同意ダイアログが出ました。

[同意します]を押します。
6～7分ほど待つと、インストール完了し、再起動待ちとなります。ここで再起動します。



前提条件を満たしましたので、Windows Admin Centerに登録/接続します。
ここではドメイン管理者のアカウントをしています

無事に登録完了。


サーバーの概要画面も表示できました。

ですが、Supported operating systems: Managementに記載の通り、

• 概要
• PowerShell
• イベント
• サービス
• プロセス
• レジストリ
• ローカルユーザーとグループ

といった管理項目は限られていますね。

w32tm /config /update /syncfromflags:domhier

Azure VMのDCにFSMOを移動したので、w32tmでPDCエミュレーターと外部NTPサーバーの同期を設定しました。


で、そう言えば、PDCエミュレーターの移行時、元のPDCエミュレーターは時刻同期をADドメインから持ってくるようにしないといけないですね。

• 元のPDCエミュレーターを直ちにメンバーサーバーへ降格しない
• PDCエミュレーターを復旧したので、暫定PDCエミュレーターをDCに戻す
  BCPからの切り戻しなどが該当しそうです。

といったような場合も該当しますよね。
そういったときに
w32tm /config /update /syncfromflags:domhier
を使います。

Windowsネットワーク時刻同期の基礎とノウハウ：
第2回　w32timeデバッグ・ログとw32tmコマンド (2/3)に掲載されていますが、埋もれされては勿体ないので、ご紹介（転記）してみました！

リモートサーバー管理ツールのサポートマトリックスを見つけました

Short tips兼、備忘録です。

リモートサーバー管理ツール（RSAT）毎のサポート状況（サポートマトリックス）がまとまっているのですね。
Remote Server Administration Tools (RSAT) for Windows Client and Windows Server (dsforum2wiki)

RSATのダウンロード先、RSATの有効化方法、リモートサーバー管理ツール（RSAT）毎にどのWindows Serverに接続できるか等、記載されていますね。

サポート状況の詳細は、Remote Server Administration Tools (RSAT) for Windows Client and Windows Server (dsforum2wiki)を見ていただくとして、概要として既知の通りです。

• Windows 10のRSATは、Windows Server 2016、Windows Server 2012とWindows Server 2012 R2が対象
• Windows 8、8.1のRSATは、Windows Server 2012とWindows Server 2012 R2、Windows Server 2008とWindows Server 2008 R2が対象

リモートサーバー管理ツール（RSAT）に関する一元的な情報として、活用できますね～。

Windows Server 2016 TP5 policy settings

Short tipsです。

久しぶりに下記のページを見たところ、
Group Policy Settings Reference for Windows and Windows Server

Windows Server 2016 technology Preview 5用のリファレンスも置いてありました。
もちろん、Windows Server 2012 R2以前もありますし、Windows 10も、Windows 8.x以前もあります。

以下、対象製品のリストを転記します。

• TP4 Policy Settings Spreadsheet.xlsx
• Windows 10 ADMX spreadsheet.xlsx
• Windows 8.1 Update and Windows Server 2012 R2 Update 1 .xlsx
• Windows Server 2016 TP5 policy settings spreadsheet.xlsx
• WindowsServer2003SP2GroupPolicySettings.xls
• WindowsServer2008andWindowsVistaSP1GroupPolicySettings.xlsx
• WindowsServer2008R2andWindows7GroupPolicySettings.xlsx
• WindowsServer2012andWindows8GroupPolicySettings.xlsx
• WindowsServer2012R2andWindows8.1GroupPolicySettings.xlsx
• WindowsServer2012R2UpdateGroupPolicySettings.xlsx
• WindowsVistaGroupPolicySettings.xls

Windows Server 2008 R2の信頼関係ウィザード

マイナーネタ第二弾
Windows Server 2008 R2の信頼関係ウィザードです。
まあ、もしかしたらWindows Server 2008も同じウィザードが使えるかもしれませんけど、確認していません。

一番のトピックは、片方のドメインから、両方のドメインに対する信頼関係の設定ができること。
��もちろん、両方のドメインの管理者パスワードを教えたくない等、セキュリティ的な懸念事項がある場合は、従来通り別々に設定できます）

信頼される側（ユーザーアカウントなどを使いたい）ドメインは、"exsshzk.local"とします。
信頼する側（リソースにアクセスさせたい）ドメインは、"exsshzk2.local"とします。

信頼関係の設定では、双方のドメインを名前解決できる必要があります。今となっては、DNSが一番良いですが、HOSTSファイルでも良いかと（もしかしてまだLMHOSTSでも良い？！）。
新機能が使えるので、信頼される側のドメインで、信頼関係の設定をまとめて行うことにします。
信頼関係の設定は、従来通り、ドメインの信頼関係（名前が正しくないかも、違っていたら後日修正します）で行います。

ドメインの信頼関係]でプロパティを表示させると以下のような画面が表示されます。
ここで、[信頼]タブにある[新しい信頼]ボタンを押してやります。


[新しい信頼ウィザード]が起動します。


信頼する側のドメイン名を入力します。


ここでは、自動的に信頼関係を推移させることはしないので、[外部の信頼]をチェックしています。
自動的に信頼関係を推移させたい場合は[フォレストの信頼]をチェックすれば良いです。


信頼関係の方向を指定します。
ここでは、信頼される側のユーザーアカウントから、信頼する側のリソースへのアクセスを許可するだけにしたいので、[一方向:入力方向]を指定します。


信頼の対象ですが、ここが新機能なんですよね？！
今回は信頼される側からすべての設定を行いたいので、[このドメインと指定されたドメインの両方]を選択します。


[このドメインと指定されたドメインの両方]を選択したので、指定されたドメイン=信頼される側 のドメイン管理者名とそのパスワードを入力します。


今回は、テスト環境で両方とも私が管理していますので、[ドメイン全体の認証]を選択しました。
組織が違う場合は、[認証の選択]を選択すれば良いです。


設定内容の確認画面です。


信頼関係について、設定完了した旨のメッセージが出ています。


これは、入力方向の信頼関係ができているかをきちんと確認するためのものです。
今回は省きました（本来はやったほうが良いです）。


ここで、[新しい信頼ウィザード]が完了します。


このようなダイアログが表示されます。
内容を読んで[OK]ボタンを押します。


信頼される側のドメインでは、以下のように設定されています。


信頼する側のドメインでは、以下のように設定されています。


ということで、信頼関係の確立も少し手間が減ったといえますね。

Windows Server 2008 R2のdcpromo step by step

dcpromoのウィザードの順番を見たかったのですが、意外とインターネットに無い。
ということで、確認のためにdcpromoを動作させながら、画面を撮ってみました。
何かの参考になれば幸いです。

最初のウィザード画面。詳細モードのスイッチもあります。


オペレーティングシステムの説明画面。


フォレストとドメインを新規作成するのか、既存のものに追加するのかという画面。


ドメイン名の指定画面。今回の例では、exsshzk2.localというFQDNを指定してみました。


ドメインNetBIOS名の指定画面。exsshzk2が自動的に指定されています。


フォレストの機能レベルの指定画面。各機能レベル毎に、機能の違いが記載されています。
この例は、Windows Server 2003。



この例は、Windows Server 2008。


この例は、Windows Server 2008 R2。


追加のドメインコントローラオプションの指定画面。


DNSサーバーをインストールするように指定すると、DNSサーバーの委任に関するダイアログが出ます。


データベース、ログファイル、およびSYSVOLの場所の指定画面。


ディレクトリサービス復元モードの管理者パスワードの指定画面。


インストールの概要を確認する画面。
"設定のエクスポート"ボタンもあります。


完了画面。


以上、終わり。