【第2話】SE ハジメくん ほかのお客さまの職場へ行く （3）

え〜と、「Active Directory ユーザーとコンピュータ」っていうツールを開いて、ハジメくんを追加してと…。

私のパスワードは、some…★

はあ？
パスワードはAbcdefg7#にして…、はい登録完了。

えっ、そんなパスワード使わないといけないんですか？

はは、まあ見てなって。
それからハジメくんをIT部門のグループに入れてと。後でハジメくんが使えるPCを教えるけど、最初にログオンするときにパスワードの変更を求められるから自分なりのパスワードを設定してね。変更する前のパスワードがさっきのやつ。
これで作業は終了だから、社内のサーバにはアクセスできるよ。

えっ、たったこれだけ？ それに、私のパスワードは私だけが知ってればいいんだ！

へえ、ADってちゃんと現場での利用を考えてあるって感じがしますね。

そう、実はここのポリシーは厳しくて、半年に1回はパスワードを変えないといけなかったりもするんだけど、その設定は俺にはできなかったりするしね。

必要な会社のポリシーだからベンダ任せにはしないってことですね。半年に1回のパスワード変更は面倒な気もしますけど、覚えないといけないパスワードが1つなら仕方がないですね。それがルールになってることは分かるんですけど、どうやってユーザーさんにパスワードの変更をさせるんですか？

もちろん、グループポリシーだよ。1カ所、パスワードの有効期限の設定を変更しておくと、ログオンするときにパスワード変更のメッセージが出てくるようになるんだ。

すごく便利ですね。でも、そのころには私はいない気がするんですけど

ここの会社のルールでは、1カ月ログオンしないとユーザーが無効になって、1年間使われないと削除されることになってるんだ。いきなり削除しちゃうと問題も出てくるし、使ってないユーザーがいつも使える状態で残っているというのはセキュリティ上好ましくないからバランスの取れた運用だね。だから、ハジメくんが次に来るときは、パスワード変更の前にユーザーIDを有効にしなきゃならないだろうね。

それもADの機能？

ユーザーIDの有効化・無効化の設定はユーザーのプロパティでできちゃうんだけど、全部がADの機能ではなくて、ADが持っているユーザーのプロパティ情報を使って動くツールを作ったのさ。そういう、お客さまに合わせた環境づくりこそシステム・インテグレータとしての腕の見せどころかもね。

すごいですね！ ADも真田さんも。

そういう勉強をする時間を作るためにもADを有効活用して、いかに楽をするか考えるってワケ。そうそう、ADのことはちゃんと勉強した方がいいよ。ADの良さをうまく生かせるようになればお客さまにとっても自分にとってもメリットはあると思うし、いろんなことができるからこそ知っておくべきことも多いからね。

ADがあればLDAPサーバはいらなそうですね。

確かに、ADがあればLDAPサーバの代わりまでできるけど、LDAPサーバはADの代わりはできないからね。でも、ADを本格導入しようとすると、ADに担ってもらう役割も大きくなるから、LDAPサーバとうまく使い分けることだってあるよ。Active DirectoryのLDAPサーバ機能だけを切り出した無償のツールで、Active Directory Application Mode（ADAM：アダム）ってのがあるから、それを使うのもいいよ。ADとの連携ツールも使えるしね。

ADAMですか。いろいろあって難しいですね。

難しいと思うのは基本的な情報の量が足りないからだよ。一連のパターンをつかんでしまえば、新しいものが出てきても、すぐに自分にとって大切なものかどうかの判断ができるようになるよ。

なんか、手伝いに来たのに教えてもらってばっかりですいません。

お疲れ〜。何か新しい発見でもあった？

グループポリシーの設定画面に、ユーザー用とコンピュータ用ってあるんですね。

そう、いいところに気付いたね。

？？

今回は第2フェイズだっていわなかったっけ？

パッチ配布だってことは聞いたんですけど・・・

いま、Windowsのクライアントには、OSのパッチを自動的に当てる仕組みがあるんだけど、全部のクライアントがマイクロソフトにパッチをとりに行かないといけないし、会社として当ててほしくないパッチとかがあってもPCを使ってる人にお任せじゃあ、うまく運用ができなくてね。

だからポリシーですか？

いや、ポリシーでパッチ配布までやろうとするとADがどんどん複雑になるから、WSUSを使うんだよ。適材適所ってやつ。

ADはシンプルに…、だからWSUSか。WSUSも勉強しないといけないんですね？

パッチのダウンロードも自動化して、社内のPCとかサーバに当てていいパッチを管理者が事前に選べるようになってて、クライアントが自動的にパッチを当てたとしたときにちゃんと当たったかどうかのレポートも出せるよ。

へえ。あれっ、もしかしてADって関係ないんですか？

もちろん関係あるよ。クライアント側のWindowsアップデートの機能だと、インターネット上のマイクロソフトのサイトにパッチをとりに行くようになってるんだけど、パッチを社内に用意したWSUSサーバに取りにいくように設定を変えてあげなきゃならないんだ。

全部のクライアント？

そう。

サーバも？

サーバはアプリケーションの都合もあって完全自動化は無理だけど、ファイルサーバとかはもちろん設定するよ。

それを2週間でやるんですか？ おかしくなりそう！

はは、まだ甘いな。こういうときにもグループポリシーが使えるんだよ。パッチはユーザーごとじゃなくて、コンピュータごとに当てる、だから、コンピュータに対するグループポリシー設定で、アップデート用の社内のサーバを設定したりアップデートをするタイミングを制御したりすればいいんだ。

そこでコンピュータの設定が出てくるってわけですね。でも、それで終わり？

もちろん。ただ、WSUSサーバ側の準備もいるし、全社に展開する前にテストもしないといけないから、ハジメくんには余裕をみて1カ月くらい来てもらうことにしたってわけよ。