次の方法で共有

サイトのプロパティ:[サイト モード] タブ

  • [アーティクル]

適用対象: System Center Configuration Manager 2007, System Center Configuration Manager 2007 R2, System Center Configuration Manager 2007 R3, System Center Configuration Manager 2007 SP1, System Center Configuration Manager 2007 SP2

[サイト モード] タブで、Configuration Manager 2007 が動作するモードとしてネイティブ モードと混在モードのいずれかを選択し、サイト モードに関連する設定を定義します。サイト モードを使用して、クライアントとサイトとの通信方法を指定します。サイトが動作するモードを選択するには、[サイト モード] ボックスから [ネイティブ] と [混在] のどちらかを選択します。

セカンダリ サイトのプロパティの表示中は、このタブは表示されません。セカンダリ サイトは、親サイトのサイト モードのタブに入っている情報を継承します。

重要

サイト モードを混在モードからネイティブ モードに変更した結果としてクライアントが管理されないようにするには、「管理者チェックリスト :サイトのネイティブ モードへの移行」を参照してください。

サイト モードを選択すると、ネイティブ モードと混在モードのどちらを選択したかによって、異なるオプションが表示されます。

注意

サイト モードを混在モードからネイティブ モードに変更し、かつネットワーク負荷分散 (NLB) 管理ポイントが IP アドレスを使用するように指定されている場合は、IP アドレスの代わりに完全修飾ドメイン名 (FQDN) を使用するように NLB 管理ポイントを構成し直す必要があります。FQDN を使用するように NLB 管理ポイントを構成し直すまでは、クライアントは、既定の管理ポイントにコンタクトできなくなるため、管理されなくなります。詳細については、「NLB 管理ポイントのイントラネット FQDN の構成方法」を参照してください。

ネイティブ モードの設定のプロパティ

ネイティブ モードでのサイト操作を選択すると、次のネイティブ モードのプロパティが表示されます。

  • サイト サーバー署名証明書
    サイト サーバー署名証明書を指定します。これは、ネイティブ モードでの操作を使用してサイトを構成する場合に必須です。この証明書は、Configuration Manager 2007 の外部で、サイト サーバーへすでに展開されている必要があります。この証明書を指定せずにネイティブ モードを構成することはできません。

    注意

    サイト サーバー署名証明書は、各プライマリ サイト データベースで直接構成する必要があります。親プライマリ サイトから子プライマリ サイトのサイト モードを設定することはできません。これは、そのシナリオでは証明書を正しく検証できないためです。

    PKI 証明書要件の詳細については、「ネイティブ モードの証明書要件」を参照してください。

    ネイティブ モードに必要な PKI 証明書の展開方法の詳細については、「ネイティブ モードで必要な PKI 証明書の展開」を参照してください。

  • 証明書
    サイトのサイト サーバー署名証明書を指定します。

    証明書が選択されている場合、証明書にフレンドリ名があるときは証明書のフレンドリ名、選択されている証明書にフレンドリ名がないときは <フレンドリ名がありません> と表示されます。

    証明書が指定されていない場合は、[参照] をクリックして選択するか、[拇印] テキスト ボックスに拇印を入力します。

    この証明書はサイト サーバーがクライアント ポリシーに署名する際に使用します。この証明書が署名したポリシーを受け入れるには、クライアントもサイト サーバー署名証明書のコピーを持っている必要があります。詳細については、「クライアントにサイト サーバー署名証明書を展開する方法を決定する (ネイティブ モード)」を参照してください。

  • 参照
    サイト サーバー上の証明書ストアを参照します。ここで、表示される証明書のリストからサイト サーバー署名証明書を選択できます。誤った証明書を指定するとサイトが管理されなくなる恐れがあるため、選択する証明書では次の点が検証されます。

    • 証明書が有効期間内で、期限切れになっていない。

    • 証明書に正しい証明書サブジェクト名がついており、サブジェクト名にサイトのサイト コードが含まれている。

    • 証明書の目的にドキュメントの署名機能が含まれている。

  • 拇印
    適切なアクセス許可がないなどの理由でサイト サーバーの証明書ストアを参照できないが、証明書の拇印を持っている場合は、ここに入力します。拇印は、連続した 16 進数の文字列として入力する必要があります。入力ミスを少なくするため、証明書そのものから文字列をコピーして貼り付けます。

    注意

    Microsoft Certificates MMC スナップインを使用して拇印をコピーできます。拇印が保存されているコンピュータで、[ローカル コンピュータ]、[個人用] ストアの順に移動し、[証明書] を展開します。証明書をダブルクリックし、[詳細] タブをクリックします。ファイルをスクロールし、[拇印] をクリックします。テキスト ボックスに表示される 16 進数の文字列をコピーします。

    拇印を入力すると、Configuration Manager 2007 はサイト サーバーの証明書ストアにある有効な証明書と拇印を照合します。照合に成功し、証明書が正しく検証されると、[証明書] オプションに対するフレンドリ名が表示されます。

  • オペレーティング システムの展開設定
    サイトがネイティブ モードで動作しているときの、オペレーティング システムの展開に関連する設定を指定します。これらの設定はセカンダリ サイトには継承されますが、子プライマリ サイトには継承されません。

  • ルート CA 証明書の指定
    [ルート CA 証明書の指定] ダイアログ ボックスを開きます。ここで、サイトに割り当てられているクライアントの、エクスポートされたルート証明機関の証明書をインポートできます。この証明書は、オペレーティング システムを展開するクライアントでインストールを完了するために必要となることがあります。

    ルート証明機関の証明書の準備の詳細については、「オペレーティング システムの展開クライアントで使用するルート証明機関証明書の準備方法」を参照してください。

  • Active Directory に公開されたクライアントの設定
    クライアント コンピュータの Active Directory ドメイン サービスに発行され、クライアント プッシュ インストールで自動的に使用される、ネイティブ モードのサイト設定を指定します。

    Active Directory ドメイン サービスでこれらの設定を使用できるクライアント コンピュータは、これらの値で定期的に設定されます。設定されるタイミングは、サイト割り当てが成功したとき、起動時、25 時間ごとなどです。

    クライアント コンピュータが既定の設定を使用しない場合、次のシナリオのいずれかに該当するときは、CCMSetup インストール プロパティでこれらのオプションを指定します。

    • Active Directory スキーマが Configuration Manager 2007 向けに拡張されていない。

    • Active Directory スキーマは Configuration Manager 2007 用に拡張されているが、ワークグループのクライアントであったり、別の Active Directory フォレストに属しているといった理由でこれらの設定を使用できないクライアントがある。

    • インストールのためのみに別のクライアント設定を指定したい。

    コマンド ライン プロパティの詳細については、「Configuration Manager クライアント インストールのプロパティについて」を参照してください。

  • クライアントの CRL チェックを有効にする
    ネイティブ モードで必要な PKI 証明書を使用する前に Configuration Manager クライアント コンピュータで証明書失効確認 (CRL) を使用するかどうかを指定します。

    この設定の既定では、サイトをネイティブ モードでインストールした場合に CRL チェックを有効にします。サイトが混在モードでインストールされて、ネイティブ モードに移行されると、この設定の既定はクライアントに対する CRL チェックを無効にします。

    詳細については、「クライアントで証明書失効確認 (CRL) を有効にするかどうかを判断する (ネイティブ モード)」を参照してください。

  • ローミングとサイト割り当てのための HTTP 通信を許可する
    ネイティブ モードのクライアント コンピュータが混在モードのサイトにローミングする場合に HTTP を使用できるかどうかを指定します。これを指定することで、クライアント コンピュータはコンテンツの場所について常駐管理ポイントと交信したり、サイトの配布ポイントからコンテンツをダウンロードしたりすることができます。

    また、サーバー ロケータ ポイントとの交信にも HTTP が必要となります。サーバー ロケータ ポイントは、Active Directory スキーマが Configuration Manager 2007 用に拡張されていない場合や、ネイティブ モードのクライアント コンピュータがイントラネット上のネットワーク負荷分散管理ポイントを使用しているために Active Directory ドメイン サービスで Active Directory スキーマが見つからない場合に、サイト割り当てで必要となります。

    既定では、ローミングおよびサイト割り当てでは HTTP 通信を使用できません。

    このオプションの詳細については、「ローミングとサイト割り当てのために HTTP 通信を構成する必要があるかどうかを判断する (ネイティブ モード)」を参照してください。

  • 証明書ストア
    ネイティブ モードで使用するクライアント証明書の場所を指定します。

    既定の場所は、[コンピュータ] 証明書ストア内の [個人用] ストアです。[コンピュータ-] ストア内の別の場所にクライアント証明書を展開している場合は、その場所を指定します。

  • 証明書の選択条件
    指定した証明書ストア内に複数の有効な証明書が見つかった場合に使用する選択条件を指定します。

    既定では、証明書の目的のみをチェックするように設定されています。証明書の選択条件を指定するには、次のいずれかのオプションを選択し、関連する値を指定します。

    • [証明書の目的のみをチェックする]: このオプションでは、証明書の選択時にサブジェクト名やサブジェクトの別名を使用しません。その代わり、証明書の意図した目的のみを基準に証明書が選択されます。証明書にはクライアント認証が含まれている必要があります。これが既定の証明書選択条件です。

    • [サブジェクトに文字列が含まれる]:証明書のサブジェクト名に一致する文字列は、大文字小文字を区別しません。コンピュータの完全修飾ドメイン名を使用していて、ドメイン サフィックス (contoso.com など) に基づいて証明書を選択したい場合に、この選択条件が適しています。しかし、この選択方法を使用すれば、クライアントの証明書ストア内で証明書を他の証明書と区別する文字列や連続した文字を識別することができます。

    • [サブジェクトまたは代替に属性が含まれる]:属性の識別が、証明書内のサブジェクト名またはサブジェクトの別名と大文字小文字を区別して行われます。RFC 3280 に従って X.500 識別名または同等のオブジェクト識別子を使用していて、属性値に基づいて証明書を選択する場合、この選択条件が適しています。証明書を一意に識別または検証し、クライアントの証明書ストア内で証明書を別の証明書と区別するために必要な属性およびその値のみを指定します。属性が入力される順序には意味はありません。証明書の選択条件でサポートされる属性値の一覧は、「クライアント証明書設定を指定するかどうかを判断する (ネイティブ モード)」を参照してください。次の例では、オブジェクト識別子属性および識別名属性を使用して、証明書の選択条件を定義します。

      • 例 1:   2.5.4.8 =Maryland, 2.5.4.6 =US, 2.5.4.10= Contoso, 2.5.4.11 =Sales

      • 例 2:   ST=Maryland, C=US, O= Contoso, OU=Workstations

  • 複数の証明書が条件に一致した場合
    指定した設定を基準としたときに有効な証明書が複数見つかった場合の動作を指定します。

    • [一致した証明書を選択する]:選択内容と一致して見つかった証明書のうちから、ランダムに 1 つが選択されます。クライアントが Configuration Manager 2007 SP1 以降を実行している場合、有効期間が最も長い証明書が選択されます。その証明書で正常に接続できない場合は別の証明書が試され、割り当てられたフォールバック ステータス ポイントにクライアントからエラー メッセージが送信されます。

    • [選択せずにエラー メッセージを送信する]:いずれの証明書も使用せずに接続を試行します。その代わり、クライアントは管理ポイントとの接続を試行せず、割り当てられたフォールバック ステータス ポイントにエラー メッセージを送信します。これが既定の構成です。

  • OK
    変更を保存してダイアログ ボックスを閉じます。
  • キャンセル
    変更を保存せずにダイアログ ボックスを閉じます。
  • 適用
    変更を保存してダイアログ ボックスを開いたままにします。
  • ヘルプ
    [サイトのプロパティ] の[サイト モード] タブのヘルプが開きます。

混在モードの設定のプロパティ

混在モードでのサイト操作を選択すると、次の混在モードのプロパティが表示されます。

  • 承認設定
    混在モードのサイトで完全に管理されるコンピュータを承認する際に使用する、クライアントの承認設定を指定します。

    クライアント ID を検証するには、混在モードでクライアントを承認します。必ず、自分のリスク プロファイルに合ったクライアントの承認方法を選択してください。クライアントのセキュリティの詳細については、「クライアントについて推奨するセキュリティ運用方法」、承認の詳細については、「Configuration Manager クライアントの承認について」を参照してください。

    注意

    サイトの承認方法を変更しても、既にサイトに割り当てられているクライアントの承認ステータスは、自動的にリセットされません。新しい設定は、新しく割り当てられたクライアントにのみ適用されます。

  • 各コンピュータを手動で承認する
    サイト内のすべてのコンピュータを手動で承認すると、リスクは最も小さくなりますが、管理オーバーヘッドは最も大きくなります。クライアントは、Configuration Manager コンソールから手動で承認する必要があります。「Configuration Manager クライアントの承認方法」で、「クライアントを手動で承認するには」の手順を参照してください。

  • 信頼されたドメインのコンピュータを自動的に承認する (推奨)
    信頼されたドメインのコンピュータを自動的に承認すると、サイト サーバーのドメインによって信頼されるドメインに参加しているクライアント コンピュータが自動的に認証されます。

    重要

    Configuration Manager 2007 の階層が複数のドメインにわたっている場合、サイト サーバーのドメインと異なるドメインにあるクライアントを承認するには、イントラネットの FQDN で管理ポイントを構成する必要があります。

    詳細については、「サイト システムのイントラネット FQDN の構成方法」と「FQDN サーバー名を使用するかどうかを判断する」を参照してください。

    この設定を使用するとき、信頼されたドメインに信頼されないコンピュータが参加することを防ぐ、その他のセキュリティ制御があることを確認してください。

  • すべてのコンピュータを自動的に承認する (推奨しません)
    すべてのコンピュータを自動的に承認すると、サイトでの割り当てを要求するすべてのコンピュータが認証されます。信頼性の検証を行うことなく機密性の高い可能性のあるデータがどのコンピュータでも受け取れるようになるため、この設定は絶対にお勧めしません。
  • このサイトに ConfigMgr 2007 クライアントのみを含める
    選択したクライアントの認証方法にかかわらず、この設定では、Configuration Manager クライアントで使用できる、より強力なクライアント通信セキュリティ設定が有効になります。このより強力なクライアント通信セキュリティ設定と SMS 2003 のクライアント通信設定との間には互換性がありません。この設定を有効にする前に、サイト内に SMS 2003 クライアントが存在しないことを確認してください。
  • クライアント設定
    管理ポイントへ送信されるクライアント情報に対する、クライアントのデータの暗号化設定を指定します。
  • 管理ポイントに送信する前にデータを暗号化する
    この設定を選択し、インベントリ データをクライアントから管理ポイントに送信される状態メッセージを暗号化します。この暗号化方法は PIK を必要としないクライアントの自己署名入り証明書を使用し、またネイティブ モードで SSL で暗号化された PKI 証明書を使用するより安全な暗号化方法ではなく、3DES アルゴリズムを使用します。混在モードおよびネイティブ モードでのクライアント データのセキュリティの違いについては、「ネイティブ モードの利点」トピックの「混在モードとネイティブ モードの比較」を参照してください。
  • OK
    変更を保存してダイアログ ボックスを閉じます。
  • キャンセル
    変更を保存せずにダイアログ ボックスを閉じます。
  • 適用
    変更を保存してダイアログ ボックスを開いたままにします。
  • ヘルプ
    [サイトのプロパティ] の[サイト モード] タブのヘルプが開きます。

参照:

タスク

オペレーティング システムの展開クライアントで使用するルート証明機関証明書の準備方法

概念

Configuration Manager サイト モード
ネイティブ モードまたは混在モードを選択する
Configuration Manager クライアントの承認について
クライアントで証明書失効確認 (CRL) を有効にするかどうかを判断する (ネイティブ モード)
クライアント証明書設定を指定するかどうかを判断する (ネイティブ モード)
クライアントにサイト サーバー署名証明書を展開する方法を決定する (ネイティブ モード)
サイト サーバー署名証明書の更新または変更
Configuration Manager クライアント インストールのプロパティについて

その他のリソース

ネイティブ モードで必要な PKI 証明書の展開

その他の情報については、「Configuration Manager 2007 Information and Support」 (Configuration Manager 2007 の情報とサポート) を参照してください。
ドキュメント チームに連絡するには、次のアドレスに電子メールを送信してください。 SMSdocs@microsoft.com.