[Q&A]
そこが知りたい
Windows Server Update Services(第3回)

Q1 DCに変更したら、管理コンソールが開かなくなった(Windows 2000 Server編)(2)

Microsoft MVP
Windows Server System - Microsoft Update Services
創報 山近 慶一
2006/11/30

 この問題を解決するためには、データベースに適切なログイン・アカウントを追加すればよい。最も確実な解決方法は、インターネット・インフォメーション・サービス(IIS)、データベース・エンジン、WSUSサーバ・コンポーネントを再インストールすることだが、WSUSサーバの運用を続けたいユーザーのために、データベースを操作して簡易的にトラブルを回避する方法を解説しよう。

 WSUSサーバには、SQL ServerやMSDEを操作する「%ProgramFiles%\Update Services\Tools\osql\osql.exe」コマンドがインストールされているが、SQL文やストアド・プロシージャの使い方に慣れたユーザーでないと使いにくい(前ページの画面8)。そこで、今回はフリーソフトの「DbaMgr2k」を利用した問題修正テクニックのポイントを解説する。ツールの利用方法や注意点については、以下のWebサイトやDbaMgr2kツールのREADME、ヘルプ・ファイルなどを参照してほしい。

データベースへの接続

 データベースへの接続は「Windows認証」を使用するため、[SQL Server connection property]ダイアログでは[Trusted NT Connection]をチェックして、[SQL Server instance name]に「<コンピュータ名>\WSUS」と直接入力する(画面9)。Windows認証は「Windows統合セキュリティ」や「信頼関係接続」とも呼ばれる。

画面9 DbaMgr2kツールによるデータベースの操作
DbaMgr2kツールで、Windows認証を使ってMSDEに接続する。
  データベース・インスタンス名を「<コンピュータ名>\<インスタンス名>」の形式で指定する。デフォルトのインスタンス名は「WSUS」だ。
  Windows認証を使ってデータベースに接続するには、「Trusted NT Connection」チェック・ボックスをオンにする。

ログイン・アカウントの作成

 DbaMgr2kのメイン画面に戻り、左ペインで[Logins]を開いて、ログイン・アカウントとして「<ドメイン名>\Domain Users」グループを作成する(画面10)。[General]タブで[Windows NT Authentication]をチェックして、ドロップダウン・リストでドメイン名を選択するのがポイントだ。本来は「<ドメイン名>\ASPNET」アカウントを作成するべきところだが、DbaMgr2kはActive Directoryドメインのユーザー・アカウントを取得できないようだ。

画面10 Domain Usersグループの作成
左ペインで[Logins]を開き、Domain Usersグループを作成する。
  ログイン名として、「<ドメイン名>\Domain Users」を入力または選択する。
  「Windows NT Authentication」チェック・ボックスをオンにする。
  ユーザー認証を行うドメインを選択する。

ロール(役割)の付与

 作成した「<ドメイン名>\Domain Users」グループのプロパティを開き、[Database access]タブの[Access granted to database for this login]リストで、[SUSDB]をチェックする(画面11)。さらに、画面下部の[Database roles for [‘SUSDB’]]リストで、[public]と[webService]の2つをチェックする。これによって、Domain UsersグループがWSUS用データベースにアクセスする権利を与える。

画面11 ロールの付与
作成したログイン・アカウントのプロパティを開いて、SUSDBコンテキストにおいてwebServiceロールを追加する。
  <ドメイン名>\Domain Users」グループにアクセス許可を与えるコンテキストとして、「SUSDB」コンテキストを選択する。
  <ドメイン名>\Domain Users」グループに対して、「SUSDB」コンテキストにおける「webService」の役割りを与える。

エラー・イベントへの対処

 2つの問題を解決しても、さらにアプリケーション・イベントにソース「Update Services Service」のエラー・イベントが複数記録されているはずだ(画面12画面13)。

画面12 ID「421」のエラー
データベースへの接続エラー・イベントが記録される。

画面13 ID「503」のエラー
ログ・フォルダへのアクセス・エラー・イベントも連続して記録される。

 イベントID「421」のエラーについては、データベースに「<ドメイン名>\Domain Users」ログイン・アカウント(グループ)を追加することで解消する。

 一方、イベントID「503」のエラーについては、「<ドメイン名>\IWAM_<コンピュータ名>」ユーザーに「変更」のアクセス権を与えるように、「%ProgramFiles%\Update Services\LogFiles」フォルダのセキュリティを編集すれば解決する(画面14)。End of Article

画面14 LogFilesフォルダのアクセス権の編集
WSUSサーバ・コンポーネントのインストール・フォルダにある、「LogFiles」フォルダに対してアクセス権を追加する。
  WSUSのインストール・フォルダにある「LogFiles」フォルダのプロパティ。
  「IWAM_<コンピュータ名>」アカウントに対するアクセス権エントリを追加する。
  これらのアクセス権を許可する。
 

 INDEX
  [Q&A]そこが知りたい Windows Server Update Services(第3回)
    Q1 DCに変更したら、管理コンソールが開かなくなった(Windows Server 2003編)
    Q1 DCに変更したら、管理コンソールが開かなくなった(Windows 2000 Server編)(1)
  Q1 DCに変更したら、管理コンソールが開かなくなった(Windows 2000 Server編)(2)
 
 運用


Windows Server Insider フォーラム 新着記事
@ITメールマガジン 新着情報やスタッフのコラムがメールで届きます(無料)

注目のテーマ

Windows Server Insider 記事ランキング

本日 月間