トップ回答者
ADMTのプロファイル移行にてoutlookでのpop3認証passが消える等の件

質問
-
マーリンです。
初心者です。フォレスト間でのADのリソースの移行においてADMTを使ったプロファイルの移行についてお尋ねします。
<環境>
移行元 Win2003DC × 2
移行先 Win2008DC × 2(構築)クライアント Windwos XP
メーラー outlook若しくはoutlook expressメールサーバーはLINUXでqmailを使用しています。
http://www.atmarkit.co.jp/bbs/phpBB/viewtopic.php?topic=33084&forum=6に掲載してあるのですが、
ADMTにて移行できないものとしてMSから正式に返答があったとあります。▽ADMTにて移行できないもの
・Outlook/OutlookExpressのPOP3認証パスワード
・別ワークグループ内のファイルサーバへのアクセスID/パスワード
・IEの認証サイトによるユーザIDとパスワード今回はADMT3.1を使用するのですが、
上記問題は解決されているのでしょうか?
とくに「Outlook/OutlookExpressのPOP3認証パスワード」が気になります。
検証して確かめれば良いのでしょうが、メールまで構築する検証環境が無く困っております。
宜しくお願い致します。
回答
-
こんにちは、北川です。
正式な回答はサポートにお問い合わせいただいたほうが良いかと思います。
逆に、プロファイルの移行において基本的な考え方として、パスワードや証明書が簡単に移行できてしまうようなものはセキュリティ的に脆弱だと考えています。
パスワードや証明書は、これは各ユーザーが管理し、証明書などはエクスポートしておくべきことです。
(どこかのスレッドであったかと思いますが、部長さんのパスワードを新人さんの PC にコピーして使えてしまっては困りますよね。)
ADMT に限ったことでなく、プロファイルのコピーや USMT などのツールを用いてもこの問題は解決できません。
これはそれぞれの利用者の方が管理すべきことであるためです。
(ADMT が必要なシナリオでは難しいかと思いますが、移動ユーザー プロファイルでデータを移行するなど、様々な方法を実施されている方も見えるかと思いますので、投稿を待ってみても良いかもしれません。環境によっては moveuser を試してみるのも良いかもしれません。)
以下は USMT に関するドキュメントですが、移行できないパスワードなどに関する情報が記載されていますので、ご紹介いたします。
ファイルと設定の移行チーム ガイド
http://technet.microsoft.com/ja-jp/library/cc824812.aspx
---------------------------------------------
USMT は、ワークステーション上に格納されている、Microsoft Outlook Express、Internet Explorer などのアプリケーションのパスワードや、割り当てられたネットワーク ドライブのパスワードを移行しません。
---------------------------------------------
Outlook Express のアカウント情報はエクスポートできるので、事前に利用者の方にエクスポートいただき、新しいプロファイルでインポートしていただくような運用をご検討いただければと思います。
ただ、移行においては検証環境を準備して、しっかり検証されることをお勧めいたします。
どうしても環境によって、予期しないことはおきるため、事前に準備をしておくに越したことは無いためです。
こちらの情報が参考になれば幸いです。
--------------------------------------------------
タグ乱れを直していただきまして、ありがとうございました。
また、お手数をおかけしました。
-------------------------------------------------- -
チャブーンです。
この件ですが、MSFT 北川さんもコメントされていますが、ご指定されたパスワード情報については、Windows Server 2008 であっても移行しない、という話しが MS の資料にありますね。
SID の履歴を使用したアカウントの移行
----
ユーザー アカウントを移行するとき、すべてのユーザー プロパティを移行できるわけではありません。たとえば、Windows NT 4.0 ワークステーションの保護された記憶域 (Pstore) のコンテンツ (暗号化ファイル システム (EFS) の秘密キーなど) は、ユーザー アカウントを移行するときに Active Directory 移行ツール (ADMT) によって移行されません。Pstore のコンテンツを移行するには、移行プロセス中にキーのエクスポートとインポートを行う必要があります。
Windows 2000 Server 以降を実行しているクライアントでは、データ保護 API (DPAPI) によって保護されているデータも移行されません。DPAPI によって保護されるアイテムは次のとおりです。- Web ページの資格情報 (パスワードなど)
- ファイル共有の資格情報
- EFS、Secure/Multipurpose Internet Mail Extensions (S/MIME)、およびその他の資格情報に関連付けられている秘密キー
- CryptProtectData() 関数を使用して保護されているプログラム データ
----
うえの DPAPI というのは、ユーザープロファイルに個別に結びついた、暗号化による保護が必要なデータに対応する API のことです。DPAPI の細かい話しは、DPAPI (データ保護 API) のトラブルシューティングをみてもらうといいでしょう。
で、ADMT として、DPAPI で保護されたデータは (おそらくセキュリティ上の理由により) 「移行しません」ということを宣言している情報、と個人的には理解しています。「不具合」による問題ではない、という認識をもっていただいた方が、いいと思います。
うえの資料では (はっきり書いてないので) 「本当にそうかどうかわからない!」ということであれば、MS の有償サポートにきちんと聞いていただく以外、確かな方法はありません。外部の人間では「どういう意図でこういう実装になっているのか」は、決してわかりませんので。すぐにお答えしなかったことで MSFT さんに迷惑をかけたようです。すみません…
- 回答としてマーク マーリン 2009年12月9日 11:49
すべての返信
-
こんにちは、北川です。
正式な回答はサポートにお問い合わせいただいたほうが良いかと思います。
逆に、プロファイルの移行において基本的な考え方として、パスワードや証明書が簡単に移行できてしまうようなものはセキュリティ的に脆弱だと考えています。
パスワードや証明書は、これは各ユーザーが管理し、証明書などはエクスポートしておくべきことです。
(どこかのスレッドであったかと思いますが、部長さんのパスワードを新人さんの PC にコピーして使えてしまっては困りますよね。)
ADMT に限ったことでなく、プロファイルのコピーや USMT などのツールを用いてもこの問題は解決できません。
これはそれぞれの利用者の方が管理すべきことであるためです。
(ADMT が必要なシナリオでは難しいかと思いますが、移動ユーザー プロファイルでデータを移行するなど、様々な方法を実施されている方も見えるかと思いますので、投稿を待ってみても良いかもしれません。環境によっては moveuser を試してみるのも良いかもしれません。)
以下は USMT に関するドキュメントですが、移行できないパスワードなどに関する情報が記載されていますので、ご紹介いたします。
ファイルと設定の移行チーム ガイド
http://technet.microsoft.com/ja-jp/library/cc824812.aspx
---------------------------------------------
USMT は、ワークステーション上に格納されている、Microsoft Outlook Express、Internet Explorer などのアプリケーションのパスワードや、割り当てられたネットワーク ドライブのパスワードを移行しません。
---------------------------------------------
Outlook Express のアカウント情報はエクスポートできるので、事前に利用者の方にエクスポートいただき、新しいプロファイルでインポートしていただくような運用をご検討いただければと思います。
ただ、移行においては検証環境を準備して、しっかり検証されることをお勧めいたします。
どうしても環境によって、予期しないことはおきるため、事前に準備をしておくに越したことは無いためです。
こちらの情報が参考になれば幸いです。
--------------------------------------------------
タグ乱れを直していただきまして、ありがとうございました。
また、お手数をおかけしました。
-------------------------------------------------- -
チャブーンです。
この件ですが、MSFT 北川さんもコメントされていますが、ご指定されたパスワード情報については、Windows Server 2008 であっても移行しない、という話しが MS の資料にありますね。
SID の履歴を使用したアカウントの移行
----
ユーザー アカウントを移行するとき、すべてのユーザー プロパティを移行できるわけではありません。たとえば、Windows NT 4.0 ワークステーションの保護された記憶域 (Pstore) のコンテンツ (暗号化ファイル システム (EFS) の秘密キーなど) は、ユーザー アカウントを移行するときに Active Directory 移行ツール (ADMT) によって移行されません。Pstore のコンテンツを移行するには、移行プロセス中にキーのエクスポートとインポートを行う必要があります。
Windows 2000 Server 以降を実行しているクライアントでは、データ保護 API (DPAPI) によって保護されているデータも移行されません。DPAPI によって保護されるアイテムは次のとおりです。- Web ページの資格情報 (パスワードなど)
- ファイル共有の資格情報
- EFS、Secure/Multipurpose Internet Mail Extensions (S/MIME)、およびその他の資格情報に関連付けられている秘密キー
- CryptProtectData() 関数を使用して保護されているプログラム データ
----
うえの DPAPI というのは、ユーザープロファイルに個別に結びついた、暗号化による保護が必要なデータに対応する API のことです。DPAPI の細かい話しは、DPAPI (データ保護 API) のトラブルシューティングをみてもらうといいでしょう。
で、ADMT として、DPAPI で保護されたデータは (おそらくセキュリティ上の理由により) 「移行しません」ということを宣言している情報、と個人的には理解しています。「不具合」による問題ではない、という認識をもっていただいた方が、いいと思います。
うえの資料では (はっきり書いてないので) 「本当にそうかどうかわからない!」ということであれば、MS の有償サポートにきちんと聞いていただく以外、確かな方法はありません。外部の人間では「どういう意図でこういう実装になっているのか」は、決してわかりませんので。すぐにお答えしなかったことで MSFT さんに迷惑をかけたようです。すみません…
- 回答としてマーク マーリン 2009年12月9日 11:49