トップ回答者
コンピュータアカウントの追加の使い方について

質問
-
1 ADのユーザとコンピュータスナップインからコンピュータアカウントの追加ができますがこれはどのように使うのでしょうか?クライアントをドメインに追加するときはマイコンピュータのプロパティからドメインに参加していますし、何のために使うのかがよくわかっていないです。同じコンピュータ名のアカウントがある状態で参加しようとしても名前が衝突してエラーとなってしまいました。
2 クライアントを大量にドメインに参加させる必要があるときみなさんはどうされているでしょうか?netdomバッチとかログインスクリプトで使うのでしょうか。ドメインを参加させた状態のイメージを展開するのはよくないとききましたし。
よろしくおねがいします。
回答
-
こんにちは。
他の使い方で利用されている方もいらっしゃると思いますが、私が使う場合には・・・
1.たとえば、ドメインに参加させる権限は通常、domain adminsに与えられていると思います。しかし、遠隔地や人手不足などで
domain adminsメンバー以外が新規パソコンをドメインに参加させる必要がある場合など、予め管理者がコンピュータを作成して
おき、ドメインに参加させる権限をdomain admins以外に権限移譲することが可能です。その他にも、グループポリシーを適切な
OUに適用したい場合など、最初から該当のOUにPCを作成しておけば楽になると思います。
2.下記のURLにあるスクリプトか、nodame2010様が言われているようにnetdomが便利だと思います。
どちらにしろクライアント側で作業するしか無いと思いますので、複数台ある場合には手間には変わりませんが。
http://www.microsoft.com/japan/technet/scriptcenter/scripts/ad/computer/cptrvb06.mspx
- 回答の候補に設定 三沢健二Moderator 2010年6月18日 4:41
- 回答としてマーク 三沢健二Moderator 2010年6月23日 5:29
-
チャブーンです。
nodame2010 さんの質問については、「応答ファイルを使った Sysprep 展開」でうまくいくはずですよ。Sysprep を使って特定のディスクイメージを使った一斉展開ができますけれど、応答ファイルを組み合わせることで展開時にいっしょにドメインに参加させる、といったことができます。
Sysprep ツールを使用して Windows XP の展開を自動化する方法
いくつか、補足させてください。
[ADUC] ツールでコンピュータアカウントを独自に追加できるのは、その方が管理要件の幅が広がるからです。古い管理者の方ならおなじみですが、Windows NTドメインでは「Domain Admins」なアカウントでしかドメイン参加を行わせることはできなかったので、一般ユーザにドメイン参加作業をお願いすることができませんでした。
こういう欠点をふまえて、Windows 2000 以降のドメインでは「Authenticated Users」(認証されたユーザ)ならだれでもドメインに参加できるようになっているのですが、一方以前のスタイルじゃないと困る、とか、コンピュータに紐づいた特定のユーザだけにドメイン参加を認めたい、というところで、今のスタイルになっています(OU の委任もその一つかもしれません)。
たとえばADUCでコンピュータアカウントを作るとき、ドメイン参加させるユーザ(既定はドメイン管理者です)を指定できるのは、うえのような背景があるためだ、と理解しています。
あと、netdom /join コマンドですが、実行時に必ず参加させるコンピュータが起動している必要がありますが、「必ずそのコンピュータ上で実行しなくてはならない」というものではなかった(他のマシン上でも実行は可能)だったと思います。ただ、Windows XP以降ではWindowsファイアウォールがクライアント上で有効になっているので、これがジャマをすることを考えると、各々のクライアント上で実行させないとうまくいかない、ということはあり得るかな、と思っています。
- 回答の候補に設定 三沢健二Moderator 2010年6月18日 4:41
- 回答としてマーク 三沢健二Moderator 2010年6月23日 5:29
すべての返信
-
こんにちは。
他の使い方で利用されている方もいらっしゃると思いますが、私が使う場合には・・・
1.たとえば、ドメインに参加させる権限は通常、domain adminsに与えられていると思います。しかし、遠隔地や人手不足などで
domain adminsメンバー以外が新規パソコンをドメインに参加させる必要がある場合など、予め管理者がコンピュータを作成して
おき、ドメインに参加させる権限をdomain admins以外に権限移譲することが可能です。その他にも、グループポリシーを適切な
OUに適用したい場合など、最初から該当のOUにPCを作成しておけば楽になると思います。
2.下記のURLにあるスクリプトか、nodame2010様が言われているようにnetdomが便利だと思います。
どちらにしろクライアント側で作業するしか無いと思いますので、複数台ある場合には手間には変わりませんが。
http://www.microsoft.com/japan/technet/scriptcenter/scripts/ad/computer/cptrvb06.mspx
- 回答の候補に設定 三沢健二Moderator 2010年6月18日 4:41
- 回答としてマーク 三沢健二Moderator 2010年6月23日 5:29
-
チャブーンです。
nodame2010 さんの質問については、「応答ファイルを使った Sysprep 展開」でうまくいくはずですよ。Sysprep を使って特定のディスクイメージを使った一斉展開ができますけれど、応答ファイルを組み合わせることで展開時にいっしょにドメインに参加させる、といったことができます。
Sysprep ツールを使用して Windows XP の展開を自動化する方法
いくつか、補足させてください。
[ADUC] ツールでコンピュータアカウントを独自に追加できるのは、その方が管理要件の幅が広がるからです。古い管理者の方ならおなじみですが、Windows NTドメインでは「Domain Admins」なアカウントでしかドメイン参加を行わせることはできなかったので、一般ユーザにドメイン参加作業をお願いすることができませんでした。
こういう欠点をふまえて、Windows 2000 以降のドメインでは「Authenticated Users」(認証されたユーザ)ならだれでもドメインに参加できるようになっているのですが、一方以前のスタイルじゃないと困る、とか、コンピュータに紐づいた特定のユーザだけにドメイン参加を認めたい、というところで、今のスタイルになっています(OU の委任もその一つかもしれません)。
たとえばADUCでコンピュータアカウントを作るとき、ドメイン参加させるユーザ(既定はドメイン管理者です)を指定できるのは、うえのような背景があるためだ、と理解しています。
あと、netdom /join コマンドですが、実行時に必ず参加させるコンピュータが起動している必要がありますが、「必ずそのコンピュータ上で実行しなくてはならない」というものではなかった(他のマシン上でも実行は可能)だったと思います。ただ、Windows XP以降ではWindowsファイアウォールがクライアント上で有効になっているので、これがジャマをすることを考えると、各々のクライアント上で実行させないとうまくいかない、ということはあり得るかな、と思っています。
- 回答の候補に設定 三沢健二Moderator 2010年6月18日 4:41
- 回答としてマーク 三沢健二Moderator 2010年6月23日 5:29