Configuration Manager (現在のブランチ) に適用
前提条件が整ったら、クラウド管理ゲートウェイ (CMG) を設定するプロセスを開始できます。 このプロセスを開始する前に、CMG を作成するために必要な情報と前提条件があることを確認してください。 詳細については、「 CMG のチェックリストの設定」を参照してください。
プロセス全体のこの手順には、次のアクションが含まれます。
- Configuration Manager コンソールを使用して、Azure で CMG サービスを作成します。
- クライアント証明書の認証用にプライマリ サイトを構成する。
- CMG 接続ポイント サイト システムの役割を追加します。
- CMG トラフィックの管理ポイントとソフトウェア更新ポイントを構成します。
- 境界グループを構成します。
CMG を設定する
注:
Azure での仮想マシン スケール セットを使用した CMG のデプロイは、プレリリース機能としてバージョン 2010 に初めて導入されました。 バージョン 2107 以降では、プレリリース機能ではなくなりました。
Configuration Manager では、このオプション機能は既定では有効になりません。 この機能は、使用する前に有効にする必要があります。 詳細については、「更新プログラムのオプション機能の有効化」を参照してください。
この手順をトップレベル サイトで行います。 そのサイトは、スタンドアロンのプライマリ サイトまたはサーバーの全体管理サイト (CAS) のいずれかです。
Configuration Manager コンソールで、[管理] ワークスペースに移動し、[Cloud Services] を展開して、[Cloud Management Gateway] を選択します。
リボンで [ クラウド管理ゲートウェイの作成 ] を選択します。
ウィザードの [全般] ページで、最初にこの CMG の Azure 環境を指定します。
- AzurePublicCloud: グローバル Azure クラウドにサービスを作成します。
- AzureUSGovernmentCloud: Azure US Government クラウドにサービスを作成します。
次に、Azure での CMG のデプロイ方法を選択します。
仮想マシン スケール セット
バージョン 2203 以降では、仮想マシン スケール セットが唯一のオプションです。
バージョン 2107 以降では、このオプションが推奨される展開方法です。 クラウド サービス (クラシック) メソッドを使用してデプロイされた既存の CMG がある場合でも、新しい CMG インスタンスを仮想マシン スケール セットとしてデプロイします。
バージョン 2010 および 2103 では、このプレリリース機能を有効にしないと表示されません。 これらのリリースでは、クラウド ソリューション プロバイダー (CSP) サブスクリプションをお持ちのお客様を対象としています。 クラウド サービス (クラシック) メソッドを使用して CMG を既に展開している場合、このオプションは使用できません。 詳細については、「 CMG の計画: 仮想マシン スケール セット」を参照してください。
Cloud Service (クラシック)
重要
バージョン 2203 以降、CMG を クラウド サービス (クラシック) として展開するオプションは削除されました。 すべての CMG 展開では、 仮想マシン スケール セットを使用する必要があります。 詳細については、「 削除および非推奨の機能」を参照してください。
バージョン 2107 以降では、いずれか の制限事項のために仮想マシン スケール セットを使用してデプロイできない場合にのみ、このオプションを使用します。
バージョン 2010 および 2103 では、ほとんどのお客様がこの展開方法を使用する必要があります。
バージョン 2309 以降で、[Microsoft Entra テナント名] を選択すると、Microsoft Entra アプリ名が自動的に設定されます。 [サインイン] を選びます。 Azure サブスクリプション所有者アカウントを使用して認証します。 複数のサブスクリプションを所有している場合は、使用するサブスクリプションの サブスクリプション ID を選択します。
注:
バージョン 2309 以降、CMG の作成にファースト パーティ アプリを使用することは非推奨になりました。 現在、CMG はサードパーティのサーバー アプリを使用してベアラー トークンを取得します。
バージョン 2303 以下では、[ サインイン] を選択します。 Azure サブスクリプション所有者アカウントを使用して認証します。 ウィザードは、Microsoft Entra 統合の前提条件中に保存された情報から残りのフィールドに自動的に入力します。 複数のサブスクリプションを所有している場合は、使用するサブスクリプションの サブスクリプション ID を選択します。
[次へ] を選択し、サイトが Azure への接続をテストするまで待ちます。
ウィザードの [ 設定 ] ページで、最初に を参照 します 。CMG サーバー認証証明書 (証明書ファイル) の PFX ファイル。 この証明書の共通名は、[ サービス名 ] フィールドと [展開名] フィールドに入力するために使用されます。
ワイルドカード証明書を使用する場合は、[サービス名] フィールドのアスタリスク (
*) を CMG のグローバルに一意なデプロイ名のプレフィックスに置き換えます。必要に応じて、説明を指定して、Configuration Manager コンソールでこの CMG をさらに識別します。
この CMG の Azure リージョンを選択します。 利用可能なリージョンの一覧は、選択したサブスクリプションによって異なる場合があります。
リソース グループ オプションを選択します:
[ 既存のものを使用] を選択した場合は、リストから既存のリソース グループを選択します。 このリソース グループは、CMG 用に選択したのと同じリージョンに既に存在している必要があります。 既存のリソース グループを選択し、それが以前に選択したリージョンとは異なるリージョンにある場合、CMG はデプロイに失敗します。
[ 新規作成] を選択する場合は、新しいリソース グループ名を入力します。
既定では、VM サイズは Standard (A2_V2) です。 デザインで指定されている別のオプションを選択します。 たとえば、VM あたりのクライアント容量を増やす場合は 大規模 (A4_v2)、 小規模なテスト環境の場合は ラボ (B2s) です。
重要
ラボ (B2s) サイズの VM は、ラボ テストと小規模な概念実証環境のみを対象としています。 たとえば、Configuration Manager テクニカル プレビュー ブランチを使用する場合です。 B2S VM は、CMG での運用環境での使用を目的としていません。 それらは低コストでパフォーマンスが低いです。
[ VM インスタンス ] フィールドに、このサービス用の VM の数を入力します。 既定値は 1 ですが、CMG ごとに最大 16 個の VM までスケールできます。
クライアント認証証明書を使用している場合は、[ 証明書] を選択して、信頼されたルート証明書を追加します。 トラスト チェーン内のすべての証明書を追加します。
注:
クライアント認証に Microsoft Entra ID またはサイト発行トークンを使用する場合、信頼されたルート証明書は必要ありません。
ウィザードでは、デフォルトで [ クライアント証明書の取り消しを確認する] オプションが有効になっています。 この検証を機能させるには、証明書失効リスト (CRL) を公開する必要があります。 詳細については、「 証明書失効リストを発行する」を参照してください。
既定では、ウィザードは TLS 1.2 を適用するオプションを有効にします。 この設定では、Azure VM で TLS 1.2 暗号化プロトコルを使用する必要があります。 オンプレミスの Configuration Manager サイト サーバーまたはクライアントには適用されません。 更新プログラムのロールアップを含むバージョン 2107 以降では、この設定は CMG ストレージ アカウントにも適用されます。 詳細については、「 TLS 1.2 を有効にする方法」を参照してください。
既定では、ウィザードでは CMG がクラウド配布ポイントとして機能し、Azure Storage からコンテンツを提供することを許可するオプションが有効になっています。 クライアントへのコンテンツを含む展開をターゲットにする計画がある場合は、コンテンツを提供するように CMG を構成する必要があります。
次に、ウィザードの [アラート] ページを示します。 14 日間のしきい値で CMG トラフィックを監視するには、しきい値アラートを有効にします。 次に、しきい値と、異なるアラート・レベルを上げるパーセンテージを指定します。 ストレージ アラートのしきい値を有効にすることもできます。 完了したら、[ 次へ ] を選択します。
設定を確認し、ウィザードを完了します。
Configuration Manager によってサービスのセットアップが開始されます。 Azure でサービスを完全にプロビジョニングするのにかかる時間は、指定した設定によって異なります。 サービスの準備ができたかどうかを判断するには、新しい CMG の [状態 ] 列を表示します。
CMG デプロイのトラブルシューティングを行うには、 CloudMgr.log と CMGSetup.log を使用します。 詳細については、「 CMG の監視」を参照してください。
ヒント
このプロセスには、PowerShell コマンドレット New-CMCloudManagementGateway を使用することもできます。 必要に応じて、このコマンドレットを使用して CMG サービスを作成します。 詳細については、「 New-CMCloudManagementGateway」を参照してください。
クライアント証明書の認証用にプライマリ サイトを構成する
クライアントが CMG で認証するために クライアント認証証明書 を使用している場合は、次の手順に従って各プライマリ サイトを構成します。
Configuration Manager コンソールで、[管理] ワークスペースに移動し、[サイトの構成] を展開して、[サイト] を選択します。
インターネットベースのクライアントが割り当てられているプライマリ サイトを選択し、[ プロパティ] を選択します。
[ 通信セキュリティ ] タブに切り替え、 使用可能な場合は [PKI クライアント証明書 (クライアント認証) を使用する] を選択します。
CRL を発行しない場合は、次のオプションを無効にします。 クライアントは、サイト システムの証明書失効リスト (CRL) をチェックします。
CMG 接続ポイントを追加する
CMG 接続ポイントは、オンプレミスの Configuration Manager 展開からクラウドベースの CMG への通信に必要なサイト システムの役割です。 このプロセスを開始する前に、ロールの計画を作成し、少なくとも 1 つの既存のサイト システム サーバーを特定しておく必要があります。 詳細については、「 CMG の計画」を参照してください。
CMG 接続ポイントを追加するには、次の手順がサイト システムの役割をインストールする手順をまとめたものです。
Configuration Manager コンソールで、[管理] ワークスペースに移動し、[サイトの構成] を展開して、[サーバーとサイト システムの役割] ノードを選択します。
この役割を追加する既存のサイト サーバーを選択します。 リボンの [ ホーム ] タブで、[ サイト システムの役割の追加] を選択します。
[システム ロールの選択] 画面で、[ クラウド管理ゲートウェイ接続ポイント] を選択し、[ 次へ] を選択します。 このサーバーが接続する クラウド管理ゲートウェイ名 を選択します。 ウィザードには、選択した CMG のリージョンが表示されます。
重要
クライアント認証証明書を使用している場合、CMG 接続ポイントにはこの証明書が必要です。 詳細については、「 クライアント認証証明書」を参照してください。
CMG サービスの正常性をトラブルシューティングするには、 CMGService.log と SMS_Cloud_ProxyConnector.log を使用します。 詳細については、「 ログ ファイル」を参照してください。
ヒント
必要に応じて、PowerShell コマンドレット Add-CMCloudManagementGatewayConnectionPoint を使用して、CMG 接続ポイントの役割をサイト システム サーバーに追加することもできます。
詳細については、「 Add-CMCloudManagementGatewayConnectionPoint」を参照してください。
CMG トラフィックのクライアント向けロールを構成する
CMG トラフィックを受け入れるように管理ポイントとソフトウェアの更新ポイント サイト システムを構成します。 インターネット ベースのクライアントにサービスを提供するすべての管理ポイントとソフトウェア更新ポイントについて、プライマリ サイトでこの手順を実行します。
Configuration Manager コンソールで、[管理] ワークスペースに移動し、[サイトの構成] を展開して、[サーバーとサイト システムの役割] ノードを選択します。 リボンの [ホーム] タブの [表示] グループで、[ 役割を持つサーバー] を選択します。 次に、一覧から [管理ポイント ] を選択します。
CMG トラフィック用に構成するサイト システム サーバーを選択します。 詳細ウィンドウで 管理ポイント の役割を選択し、リボンの [サイトの役割] グループで [ プロパティ] を選択します。
管理ポイントのプロパティ シートの [クライアント接続] で、[Configuration Manager クラウド管理ゲートウェイ トラフィックを許可する] を選択します。
CMG の設計と Configuration Manager のバージョンによっては、HTTPS オプションを有効にする必要がある場合があります。 詳細については、「 HTTPS の管理ポイントを有効にする」を参照してください。
[ OK ] を選択して、管理ポイントのプロパティ ウィンドウを閉じます。
必要に応じて、他の管理ポイントとすべてのソフトウェア更新ポイントに対してこれらの手順を繰り返します。
境界グループの構成
CMG は境界グループに関連付けることができます。 この構成により、クライアントは境界グループ関係に従って、クライアント通信に CMG を使用できます。 この構成は、VPN または WAN 接続経由よりも CMG 経由で管理する方が適している可能性がある VPN またはブランチ オフィスのクライアントにとって有益です。 [ オンプレミス ソースよりもクラウドベースのソースを優先する] オプションを有効にした場合、クライアントはポリシーとコンテンツの両方で CMG を優先します。
境界グループの詳細については、「 境界グループの構成」を参照してください。
境界グループを作成または構成するときに、[参照] タブで、クラウド管理ゲートウェイを追加します。 このアクションにより、CMG はこの境界グループに関連付けられます。
BranchCache
コンテンツ対応 CMG で Windows BranchCache を使用できるようにするには、サイト サーバーに BranchCache 機能をインストールします。
サイト サーバーにオンプレミスの配布ポイント サイト システムの役割がある場合は、その役割のプロパティでオプションを [ 有効にして構成する] に構成します。 詳細については、「 配布ポイントの構成」を参照してください。
サイト サーバーに配布ポイントの役割がない場合は、Windows に BranchCache 機能をインストールします。 詳細については、「 BranchCache 機能をインストールする」を参照してください。
コンテンツを既に CMG に配布していて、BranchCache を有効にすることにした場合は、まず機能をインストールします。 次に、コンテンツを CMG に再配布します。
コンテンツの配布と管理
他の配布ポイントと同じように、コンテンツが有効な CMG にコンテンツを配信します。 管理ポイントは、クライアントが要求するコンテンツが含まれていない限り、コンテンツの場所のリストに CMG を含めません。 詳細については、「 コンテンツの配布と管理」を参照してください。
CMG 上のコンテンツを他の配布ポイントと同じように管理します。 これらのアクションには、配布ポイント グループへの割り当てとコンテンツ パッケージの管理が含まれます。 詳細については、「 配布ポイントのインストールと構成」を参照してください。
次の手順
CMG のクライアントを構成して、CMG のセットアップを続行します。