Azure ローカル デプロイ用に Active Directory を準備する

適用対象: Azure Local の Hyperconverged デプロイ

この記事では、展開の問題を回避するために必要な OU とアクセス許可の作成など、Azure Local展開用のActive Directoryを準備する方法について説明します。

Azure Local をデプロイするには、事前に Active Directory 側の構成を以下のとおり整えておく必要があります。

  • 専用の組織単位 (OU)。
  • 該当するグループ ポリシー オブジェクト (GPO) に対してブロックされているグループ ポリシーの継承。
  • Active Directoryの OU に対するすべての権限を持つユーザー アカウント。

注

  • 既存のプロセスを使用して、上記の要件を満たすことができます。 この記事で使用するスクリプトは、準備作業を簡素化するためのものであり、使用は必須ではありません。
  • OU レベルでグループ ポリシーの継承をブロックしても、適用されたオプションが有効になっている GPO はブロックされません。 該当する場合は、Windows管理インストルメンテーション (WMI) フィルターなどの他の方法を使用して、これらの GPO がブロックされていることを確認します。 適用されている GPO に WMI フィルターを適用して、Azure ローカル インスタンスのコンピューター アカウントが GPO の適用から除外されるようにします。 フィルターが適用されると、WMI フィルターで定義されているロジックに基づいて、適用された GPO は適用されません。

Active Directory に必要なアクセス許可を手動で割り当て、OU を作成し、GPO の継承をブロックするには、「 Azure Local のカスタム Active Directory 構成」を参照してください。

前提条件

デプロイメントユーザーの要件

ライフサイクル マネージャー (LCM) デプロイ ユーザー アカウントは、Azure ローカルデプロイとライフサイクル管理に関する次の Active Directory 要件を満たしている必要があります。

  • 対話型ログオン。 デプロイ ユーザーが対話形式でログオンできるようにする必要があります。
  • バッチ ジョブとしてログオンします。 デプロイ ユーザーには、 バッチ ジョブユーザー権限としてログオンする 必要があります。 既定のドメイン ポリシーでこの権限が拒否されないようにするか、デプロイ ユーザー アカウントに明示的に付与します。

Active Directory 準備モジュール

Azure LocalデプロイのActive Directoryを準備するには、AsHciADArtifactsPreCreationTool PowerShell モジュールのNew-HciAdObjectsPreCreation コマンドレットを使用します。 コマンドレットに必要なパラメーターを次に示します。

パラメーター 説明
-AzureStackLCMUserCredential デプロイに適したアクセス許可を持つ新しいユーザー オブジェクト。 このアカウントは、Azure ローカル デプロイで使用されるユーザー アカウントと同じです。
ユーザー名のみを指定してください。 contoso\usernameなど、ドメイン名を名前に含めないでください。
パスワードは、長さと複雑性の要件を満たしている必要があります。 14 文字以上のパスワードを使用します。 パスワードには、小文字、大文字、数字、特殊文字が含まれている必要があります。
詳細については、「パスワード の複雑さの要件」を参照してください。
名前をローカル管理者ユーザーとまったく同じにすることはできません。
ユーザー名として 管理者 を使用することはできません。 名前は、Azure Local インスタンス (デプロイ) ごとに一意である必要があります。
-AsHciOUName Azure ローカル デプロイのすべてのオブジェクトを格納する新しい組織単位 (OU)。 この OU は、設定の競合がないように、既存のグループ ポリシーと継承をブロックします。 OU を識別名 (DN) として指定します。 詳細については、「識別名の形式」に関する記事を参照してください。

注

  • -AsHciOUNameパス内では、特殊文字 &,",',<,> は、一切使用できません。
  • 展開が完了した後、コンピューター オブジェクトを別の OU に移動することはできません。

Active Directory の準備

Active Directory を準備するときは、デプロイ ユーザーなどの Azure ローカル関連オブジェクトを配置する専用の組織単位 (OU) を作成します。

専用 OU を作成するには、次の手順を実行します。

  1. Active Directory ドメインに参加しているコンピューターにサインインします。

  2. PowerShell を管理者として実行します。

  3. 以下のコマンドを実行して、専用 OU を作成します。

    New-HciAdObjectsPreCreation -AzureStackLCMUserCredential (Get-Credential) -AsHciOUName "<OU name or distinguished name including the domain components>"

  4. プロンプトが表示されたら、デプロイに使用するユーザー名とパスワードを入力します。

    1. ユーザー名のみを指定します。 contoso\usernameなど、ドメイン名を名前に含めることはできません。 ユーザー名は 1 ~ 20 文字にする必要があり、文字、数字、ハイフン、アンダースコアのみを含み、ハイフンまたは数字で始めることはできません。
    2. パスワードが複雑さと長さの要件を満たしていることを確認します。 14 文字以上で、小文字、大文字、数字、特殊文字を含むパスワードを使用します。

    スクリプトが正常に完了した場合の出力例を次に示します。

    PS C:\work> $password = ConvertTo-SecureString '<password>' -AsPlainText -Force
PS C:\work> $user = "lcmuser"
PS C:\work> $credential = New-Object System.Management.Automation.PSCredential ($user, $password)
PS C:\work> New-HciAdObjectsPreCreation -AzureStackLCMUserCredential $credential -AsHciOUName "OU=ms309,DC=PLab8,DC=nttest,DC=microsoft,DC=com"    
PS C:\work>

  5. OU が作成されたことを確認します。 Windows Server クライアントを使用している場合は、[z]> [ツール]>[Active Directory ユーザーとコンピューター] に移動します。

  6. 指定した名前の OU が作成されます。 この OU には、新しい LCM デプロイ ユーザー アカウントが含まれています。

    Active Directory コンピューターとユーザー ウィンドウのスクリーンショット

注

1 台のコンピューターを修復する場合は、既存の OU を削除しないでください。 マシンのボリュームが暗号化されている場合、OU を削除すると、BitLocker 回復キーも削除されます。

大規模なデプロイに関する考慮事項

LCM ユーザー アカウントは、PowerShell による更新プログラムの適用などのサービス操作中に使用されます。 このアカウントは、 ノードの修復やノード の追加など、AD に対してドメイン参加アクションを実行するときにも使用 されます。 これには、オンプレミス ドメイン内のターゲット OU にコンピューター アカウントを追加するための委任されたアクセス許可を持つ LCM ユーザー ID が必要です。

Azure Localのクラウドデプロイ中に、LCM ユーザー アカウントが物理ノードのローカル管理者のグループに追加されます。 LCM アカウントのユーザー名は、Azure Local インスタンス (デプロイ) ごとに一意である必要があります。 LCM ユーザー アカウントが侵害されるリスクをさらに軽減するために、Azure Local インスタンスごとに一意のパスワードを持つ専用の LCM ユーザー アカウントを使用することもお勧めします。 この推奨事項では、侵害された LCM アカウントのスコープと影響を 1 つのインスタンスに制限します。

OU の作成については、次のベスト プラクティスに従うことをお勧めします。 これらの推奨事項は、 New-HciAdObjectsPreCreation コマンドレットを使用して Active Directory を準備するときに自動化されます。

  • Azure ローカル インスタンスごとに、Active Directory 内に個別の OU を作成します。 この方法は、LCM ユーザー アカウント、物理マシンのコンピューター アカウント、およびインスタンスごとに 1 つの OU のスコープ内のクラスター名オブジェクト (CNO) を管理するのに役立ちます。
  • 管理を容易にするために、複数のインスタンスを大規模にデプロイする場合:
    • インスタンスごとに、単一の親 OU の下に OU を作成します。
    • 親 OU レベルとサブ OU レベルの両方で [継承のブロック ] オプションを有効にします。
    • ローカル管理者グループ内のドメイン グループの入れ子など、すべての Azure ローカル インスタンスに GPO を適用するには、GPO を親 OU にリンクし、[ 適用] オプションを有効にします。 これにより、 ブロック継承 が有効になっている場合でも、すべてのサブ OU に構成を適用します。

組織のプロセスと手順でこれらの推奨事項からの逸脱が必要な場合は、許可されます。 ただし、これらの要素を考慮して、設計のセキュリティと管理容易性への影響を考慮することが重要です。

次のステップ

  • Last updated on