- PR -

ＡＤのユーザーＩＤ／ＰＡＳＳのみを別グループで使いたい

1
投稿者投稿内容
wojisan
大ベテラン
会議室デビュー日: 2006/08/02
投稿数: 149
投稿日時: 2006-08-03 09:03
新しくｗｉｎ２００３サーバーをたててＩＩＳを動かしwindows認証でアクセス制限をかけたい。
その時”ＤＯＭ−Ａ”のユーザーＩＤ／ｐａｓｓｗｏｒｄを使いたいがグループは”ＤＯＭ−Ａ”とは完全に別のグループを使用したい。

メインのドメイン”ＤＯＭ−Ａ”は　ネットワーク認証に使用している為ユーザーをＯＵの中の複数のグループに登録できない。

＊おそらく新しいサーバーを別ドメイン　”ＤＯＭ−Ｂ”として立てて片方向の信頼関係を持てば出来そうなのですがセットアップ手順が判りません

新サーバーは現在ｗｏｒｋｇｒｏｕｐで立てております。


１．ＤＯＭ−ＡのＤＮＳへの新サーバーの登録方法
２．ＤＯＭ−ＡのＡＤへの信頼の設定手順
３．必要なら新サーバーのＡＤへの移行手順
４．新サーバーとＡＤの信頼関係の設定手順
５．その他注意事項


宜しくご教授願います。
Mattun
ぬし
会議室デビュー日: 2004/08/10
投稿数: 1391
投稿日時: 2006-08-03 09:44
質問内で使ってる用語がずれてたり、5W1Hが肝心なところで抜けてるので、
やりたいことが理解できんです・・・

というわけで確認。
・DOM-AというActiveDirectoryのドメインが存在する
・社内のクライアントはDOM-Aに参加し、社内のユーザはDOM-Aにログオンしている
・新しいサーバ(ServerA)をWindowsServer2003で構築した
・ServerAではIISを構築して、認証機能を設けたい
・その認証で使うユーザとしてはDOM-Aのユーザ認証情報と同じものを使いたい

上記だけなら、
・ServerAをDOM-Aに参加させる
・IISで統合Windows認証を有効にする
・制限したいコンテンツに、DOM-Aのユーザに対するアクセス権を付与する
・アクセス権付与の際、場合によってはローカルグループかグローバルグループを活用する
で実現可能だと思うんですが、何か違う要件でもあるんでしょうか？

懸念材料をいくつか書いてくれてるのはいいのですが、意味が通じてません。
引用:

メインのドメイン”ＤＯＭ−Ａ”は　ネットワーク認証に使用している為ユーザーをＯＵの中の複数のグループに登録できない。

上記は機能的な制限はないはずですが、組織としての制限か何かあるんですか？
（OU云々はグループのメンバ云々には影響しないし、
　ユーザは複数のグループに登録することは機能としてはなんら問題なく可能です）


引用:

１．ＤＯＭ−ＡのＤＮＳへの新サーバーの登録方法
２．ＤＯＭ−ＡのＡＤへの信頼の設定手順
３．必要なら新サーバーのＡＤへの移行手順
４．新サーバーとＡＤの信頼関係の設定手順
５．その他注意事項

手順自体に関しては、ドメイン構築関連の資料を見ればたいてい解決はしそうですが、
それ以前にこの手順がやろうとしてることを実現するのにいい手段かどうか、
って点が不明です。
_________________
Mattun
Microsoft MVP for Directory Services
(Oct 2006-Sep 2007)
wojisan
大ベテラン
会議室デビュー日: 2006/08/02
投稿数: 149
投稿日時: 2006-08-03 10:33
言葉足らずで申し訳有りませんでした。

引用:

Mattunさんの書き込み (2006-08-03 09:44) より:
質問内で使ってる用語がずれてたり、5W1Hが肝心なところで抜けてるので、
やりたいことが理解できんです・・・

というわけで確認。
・DOM-AというActiveDirectoryのドメインが存在する
・社内のクライアントはDOM-Aに参加し、社内のユーザはDOM-Aにログオンしている
・新しいサーバ(ServerA)をWindowsServer2003で構築した
・ServerAではIISを構築して、認証機能を設けたい
・その認証で使うユーザとしてはDOM-Aのユーザ認証情報と同じものを使いたい

上記だけなら、
・ServerAをDOM-Aに参加させる
・IISで統合Windows認証を有効にする
・制限したいコンテンツに、DOM-Aのユーザに対するアクセス権を付与する
・アクセス権付与の際、場合によってはローカルグループかグローバルグループを活用する
で実現可能だと思うんですが、何か違う要件でもあるんでしょうか？

懸念材料をいくつか書いてくれてるのはいいのですが、意味が通じてません。
引用:

メインのドメイン”ＤＯＭ−Ａ”は　ネットワーク認証に使用している為ユーザーをＯＵの中の複数のグループに登録できない。

上記は機能的な制限はないはずですが、組織としての制限か何かあるんですか？
（OU云々はグループのメンバ云々には影響しないし、
　ユーザは複数のグループに登録することは機能としてはなんら問題なく可能です）

ＤＯＭ-Ａのグループは検疫システムのグループ分けに使っていまして。
検疫システムの制限でユーザーを多重にグループ登録出来ないのです。


引用:

１．ＤＯＭ−ＡのＤＮＳへの新サーバーの登録方法
２．ＤＯＭ−ＡのＡＤへの信頼の設定手順
３．必要なら新サーバーのＡＤへの移行手順
４．新サーバーとＡＤの信頼関係の設定手順
５．その他注意事項

手順自体に関しては、ドメイン構築関連の資料を見ればたいてい解決はしそうですが、
それ以前にこの手順がやろうとしてることを実現するのにいい手段かどうか、
って点が不明です。

Mattun
ぬし
会議室デビュー日: 2004/08/10
投稿数: 1391
投稿日時: 2006-08-03 10:49
どこが引用でどこが加筆分なのか分かりにくいです・・・

引用:

ＤＯＭ-Ａのグループは検疫システムのグループ分けに使っていまして。
検疫システムの制限でユーザーを多重にグループ登録出来ないのです。

IISのサーバのローカルグループにDOM-Aのドメインユーザを登録することすら
NGなんでしょうか？

また、既存のグローバルグループの組み合わせで実現不可能な制限を
IIS側でかけたいんでしょうか？
_________________
Mattun
Microsoft MVP for Directory Services
(Oct 2006-Sep 2007)
wojisan
大ベテラン
会議室デビュー日: 2006/08/02
投稿数: 149
投稿日時: 2006-08-03 13:07
大変失礼いたしました

ご指摘の通りです。

短くいうと”既存のグローバルグループの組み合わせで実現不可能な制限をIIS側でかけたい”パスワードはDOM-Aのドメインアカウントのパスワードを使いたいです。

また”[IISのサーバのローカルグループにDOM-Aのドメインユーザを登録することすら
NGなんでしょうか？”なのですが

DOM-Aのドメインアカウントを取り出してIISサーバーに入れなおすことは出来ますがパスワードをDOM-Aと同期させられないので一律のパスワード設定になりユーザーが自由に変更することが出来ません。
アカウントは８００ほどになります。

以上で事情をお分かりいただけたでしょうか。
Mattun
ぬし
会議室デビュー日: 2004/08/10
投稿数: 1391
投稿日時: 2006-08-03 13:30
引用:

また”[IISのサーバのローカルグループにDOM-Aのドメインユーザを登録することすら
NGなんでしょうか？”なのですが

DOM-Aのドメインアカウントを取り出してIISサーバーに入れなおすことは出来ますが

ドメインユーザをIISサーバのローカルグループに入れる、って話をしてます。
ドメインユーザをIISサーバのローカルユーザとして取り出す、という話ではないです。
ドメイングループにドメインユーザを入れられるのと同様に、
ローカルグループにドメインユーザも入れられるんです。

とりあえず、そのIISサーバをDOM-Aに参加させてください。
そして、IISサーバのローカルグループの設定画面で
ローカルグループを作ってメンバの登録をしてみてください。
そうすればたぶん分かると思います。
_________________
Mattun
Microsoft MVP for Directory Services
(Oct 2006-Sep 2007)
wojisan
大ベテラン
会議室デビュー日: 2006/08/02
投稿数: 149
投稿日時: 2006-08-03 14:05
引用:

Mattunさんの書き込み (2006-08-03 13:30) より:
引用:

また”[IISのサーバのローカルグループにDOM-Aのドメインユーザを登録することすら
NGなんでしょうか？”なのですが

DOM-Aのドメインアカウントを取り出してIISサーバーに入れなおすことは出来ますが

ドメインユーザをIISサーバのローカルグループに入れる、って話をしてます。
ドメインユーザをIISサーバのローカルユーザとして取り出す、という話ではないです。
ドメイングループにドメインユーザを入れられるのと同様に、
ローカルグループにドメインユーザも入れられるんです。

とりあえず、そのIISサーバをDOM-Aに参加させてください。
そして、IISサーバのローカルグループの設定画面で
ローカルグループを作ってメンバの登録をしてみてください。
そうすればたぶん分かると思います。



わかりました、早速やってみます。

ご丁寧に有難うございました。

結果は後日また書き込みます。
wojisan
大ベテラン
会議室デビュー日: 2006/08/02
投稿数: 149
投稿日時: 2006-08-07 16:31
Mattunさん　有り難うございました。

無事希望のセキュリティー（イントラｗｅｂ）を設定できました

１．アクセスす時”ユーザー名／パスワード”を要求する。
２．ユーザー名／パスワードはイントラＷＥＢサーバーとは別のＡＤの”ユーザー名／パスワード”で行う。
が実現できました。

サーバーでの設定
１．イントラｗｅｂサーバーにローカルグループ”kyokasuru"グループを作成。
２．”kyokasuru"グループにアクセスを許可するＡＤドメインユーザを登録。　
３．ＩＩＳの方の設定は「匿名アクセスを有効にする」のチェックをはずす。
４．認証済みアクセスの設定は「統合　Ｗｉｎｄｏｗｓ　認証」のみ。
５．ＮＴＦＳセキュリティー設定で該当するフォルダー（ｗｅｂ）のトップに”kyokasuru"グループを”読みとり／読みとりと実行／フォルダー内容の閲覧表示で設定。
６．グループＵＳＥＲの許可をすべてはずす。
７．クライアントのＩＥへイントラｗｅｂのＵＲＬをイントラネットのサイトに登録する。
８．クライアントのＩＥ設定はセキュリティー設定／ユーザー認証／ログオンを「ユーザー名とパスワードを入力してログオン」に設定。

以上の設定をしてＩＩＳを停止／開始させて確認できました。

＊ローカルグループにＡＤのグループを入れても同じ結果になりますね。
1

スキルアップ／キャリアアップ（JOB@IT）