2024年8月4日日曜日

Windows Admin Center (v2) Public Preview build has been updated! だそうです。

Windows Admin Center (v2) Public Preview build has been updated!

にて、約半年ぶりぐらいにWindows Admin Center (v2) Public Previewの改版がリリースされました。

ファイルのサイズは、下記の通り。選択しているファイルが今回リリースされたファイルです。
早速インストール画面を見てみます。なお都合により英語版へインストールします。
ライセンス条項の確認画面
何も指定していないのにインストールが始まったかのようでしたが、インストール準備にともなうものでした。
エクスプレスセットアップかカスタムセットアップを選択できます。パラメーターを一通り確認したいので、カスタムセットアップを選んで進めます。
ローカル クライアントか、ゲートウェイ サーバーかを選択します。ここではゲートウェイサーバーを選んで進めます。

HTMLフォームでの認証か、従来通りのWindows認証かを選択します。ここでは、HTMLフォームでの認証を選んで進めます。

セキュア通信のポートを指定します。Windows Admin Centerは共存していないため、そのまま進めます。
HTTPS証明書は、あとで差し替えるので、自己署名証明書を選んで進めます。
サーバーのFQDNを確認します。
全てのコンピューターからアクセス可能とするか、ドメインに参加しているコンピューターのみのアクセスとするかを選択できます。ドメインに参加しているコンピューターのみのアクセスを選んで進めます。
セキュアなWinRMを使うか選択できます。ここでは従来通りとして進めます。
※事前に、証明書を使ったセキュアなWinRMで通信できるよう構成が必要と考えます。
自動更新の有無を選択できます。(現在のWindows Admin Centerは自動更新が無くなりましたが)自動更新の有効化を選択して進めます。
診断情報のレベルを選択します。必要なもののみ送ることとして進めます。
インストールサマリーを確認できます。
インストールをクリックしてインストール開始します。
しばらく待つとインストール完了します。

Windows Admin Center (v2) Public Previewにアクセスします。インストール完了から、少々待つと認証画面が表示されます。

認証後、接続リストが表示された際、ダイアログからWindows Admin Center (v2) Public Previewは、2311ベースであることがわかります。
Windows Admin Centerのみが登録されている接続リストとなります。この後、個人用、共有のそれぞれでサーバーなど登録すればよいです。

ビルド番号は、下記のとおりです。

設定画面を見ていきます。左側のメニュー項目は変わっていないです。
ユーザーアカウント
言語/地域

個人用設定
提案
パフォーマンスプロファイル
詳細設定
アクセス(この画面でアクセスキーを作成、表示できるようです。後日確認します)
インターネットアクセス
プロキシ
拡張(現状は、3rd party製はなく、マイクロソフト製のみです)
共有接続
更新(更新のボタンが二つあるのは、プレビュー故のバグ?!でしょうか)
2024/08/04追記 英語表記だと下記の記載でした。どっちも更新になってしまうのか。。。

全般
登録

Windows Admin Center (v2) Public Preview build has been updated! でうまくマウスクリックできない場合

Windows Admin Center (v2) Public Preview build has been updated! でうまくマウスクリックできない場合があります。どうもWebブラウザーとの相性があるようです。

Edgeだとうまくクリックできません。


Chromeは問題無いです。

切り分けにお役立てください。

2024年7月26日金曜日

Active DirectoryのKerberos認証に対する新たな3段適用更新プログラムがリリースされていました

CVE-2021-42287 で追加されたイベント メッセージ ID 35 , 37 と脆弱性対応の流れについて

で、Active DirectoryのKerberos認証に対する3段適用更新プログラムは、収束したと思っていました。ですが、教えていただいた話からKerberos認証に対する新たな3段適用更新プログラムがリリースされていました。それは、

KB5037754: CVE-2024-26248 および CVE-2024-29056 に関連する PAC 検証の変更を管理する方法

です。最大深刻度は重要なのですが、すべてのWindowsに適用が必要とのこと。つまりActive Directoryドメインコントローラー含むWindows ServerとWindowsクライアントが対象になります。
※もちろんサポートライフサイクルから外れているものは、もうどうしようもないと思いますい。拡張セキュリティ更新プログラム(ESU)が残っている場合は、その限りではないとも思います。

KB5037754: CVE-2024-26248 および CVE-2024-29056 に関連する PAC 検証の変更を管理する方法

は、今年の4月9日に最初のセキュリティ更新プログラムがリリースされました。このリリースでは互換モードです。上記リンクより文面引用します。

最初のデプロイ フェーズは、2024 年 4 月 9 日にリリースされた更新プログラムから始まります。 この更新プログラムは、CVE-2024-26248 および CVE-2024-29056 で 説明されている特権の脆弱性の昇格を防ぐ新しい動作を追加しますが、環境内の Windows ドメイン コントローラーと Windows クライアントの両方が更新されない限り、適用されません。


新しい動作を有効にし、脆弱性を軽減するには、Windows 環境全体 (ドメイン コントローラーとクライアントの両方を含む) が更新されていることを確認する必要があります。 監査イベントは、更新されていないデバイスを識別するためにログに記録されます。

2024年10月15日以降にリリースされるセキュリティ更新プログラムでは、強制モードすなわち、既定でセキュリティで保護された動作になるそうです。

最後に、2025年4月8日以降にリリースされるセキュリティ更新プログラムは、互換モードを一切サポートしません。

以上、パッチマネジメントは計画的に進める必要ありです。Active Directoryドメインコントローラーのローリングアップグレード時になって、慌てないようにしたいものです。。。

2024年7月20日土曜日

Azure Update ManagementからAzure Update Managerに移行する際の留意点

Log AnalyticsとAzure AutomationをベースにしたAzure Update Managementのリタイヤが、2024年8月31日と迫っています。下図の赤枠内がそれです。


移行方法については、

Automation Update Management から Azure Update Manager に移行する

に記載があります。

幾つか留意点がありましたので、本稿にまとめておきます。
※インストールのステップバイステップは、失敗例含めて勉強会で説明しようと思います。

前提条件 2: PowerShell スクリプトを実行してユーザー ID とロールの割り当てを作成する(移行用スクリプト)

  • AutomationAccountResoudeIdは、下記の通りJSONビューからコピーします。
  • 前提条件にある通り、az PowerShellモジュールが必要です。インストールを忘れていると下記のエラーに遭遇します。
  • az PowerShellモジュールのインストールが結構時間を要します。az PowerShellモジュールが多数あるためです。当方の環境では、完了までに30分ほどかかりました。
  • 移行用スクリプト内のConnect-AzAccountが認証用にWebブラウザを起動できない模様で、デバイス認証するようメッセージが出てエラーになりました。
    致し方ないので、スクリプトを改変し下図の通りデバイス認証を加えました。。。

手順 1: マシンとスケジュールの移行移行用ランブックを起動するとパラメーターの設定が必要です。

2024/07/21追記 手順は、ランブックのインポートを行う流れです。が移行画面の「今すぐ移行する」をクリックするとランブックが開くため、インポートは不要になっています。
※「手順 2: Automation Update Management ソリューションからのデボード」もインポートしないで進められます。
上記パラメーターの設定での留意点は、下記の通りです。
  • AutomationAccountResoudeIdは、下記の通りJSONビューからコピーします。
  • UserManagedServiceIdentityClientIdは、移行用スクリプトで作成されたUser assignedなマネジメントIDのクライアントIDをコピーします。
    注)オブジェクトIDをセットしてはいけません。
  • ResoruceGroupNameForMaintenanceConfigurationsは、空欄のままではダメです。
    移行先のリソースグループ名を指定します。こちら必須パラメーターの方が良くないか?!

手順 2: Automation Update Management ソリューションからのデボード

こちらは特に問題なく進みます。が、対象サーバーのMicorosoft Monitoring AgentとLog Analytics ワークスペースの関連付けは、解除されません。またMicorosoft Monitoring Agentは、アンインストールされません。各々の操作が必要です。
  • 対象サーバーのMicorosoft Monitoring AgentとLog Analytics ワークスペースの関連付け解除は、下記のダイアログから実施します。
  • Micorosoft Monitoring Agentのアンインストールは、プログラムと機能などから行います。