none
コンピュータアカウントの追加の使い方について RRS feed

  • 質問

  • 1 ADのユーザとコンピュータスナップインからコンピュータアカウントの追加ができますがこれはどのように使うのでしょうか?クライアントをドメインに追加するときはマイコンピュータのプロパティからドメインに参加していますし、何のために使うのかがよくわかっていないです。同じコンピュータ名のアカウントがある状態で参加しようとしても名前が衝突してエラーとなってしまいました。

    2 クライアントを大量にドメインに参加させる必要があるときみなさんはどうされているでしょうか?netdomバッチとかログインスクリプトで使うのでしょうか。ドメインを参加させた状態のイメージを展開するのはよくないとききましたし。

     

    よろしくおねがいします。

    2010年6月9日 8:51

回答

  • こんにちは。

    他の使い方で利用されている方もいらっしゃると思いますが、私が使う場合には・・・

     

    1.たとえば、ドメインに参加させる権限は通常、domain adminsに与えられていると思います。しかし、遠隔地や人手不足などで

      domain adminsメンバー以外が新規パソコンをドメインに参加させる必要がある場合など、予め管理者がコンピュータを作成して

      おき、ドメインに参加させる権限をdomain admins以外に権限移譲することが可能です。その他にも、グループポリシーを適切な

      OUに適用したい場合など、最初から該当のOUにPCを作成しておけば楽になると思います。

    2.下記のURLにあるスクリプトか、nodame2010様が言われているようにnetdomが便利だと思います。

      どちらにしろクライアント側で作業するしか無いと思いますので、複数台ある場合には手間には変わりませんが。

      http://www.microsoft.com/japan/technet/scriptcenter/scripts/ad/computer/cptrvb06.mspx

    2010年6月9日 23:27
  • チャブーンです。

    nodame2010 さんの質問については、「応答ファイルを使った Sysprep 展開」でうまくいくはずですよ。Sysprep を使って特定のディスクイメージを使った一斉展開ができますけれど、応答ファイルを組み合わせることで展開時にいっしょにドメインに参加させる、といったことができます。

    Sysprep ツールを使用して Windows XP の展開を自動化する方法

    いくつか、補足させてください。

    [ADUC] ツールでコンピュータアカウントを独自に追加できるのは、その方が管理要件の幅が広がるからです。古い管理者の方ならおなじみですが、Windows NTドメインでは「Domain Admins」なアカウントでしかドメイン参加を行わせることはできなかったので、一般ユーザにドメイン参加作業をお願いすることができませんでした。

    こういう欠点をふまえて、Windows 2000 以降のドメインでは「Authenticated Users」(認証されたユーザ)ならだれでもドメインに参加できるようになっているのですが、一方以前のスタイルじゃないと困る、とか、コンピュータに紐づいた特定のユーザだけにドメイン参加を認めたい、というところで、今のスタイルになっています(OU の委任もその一つかもしれません)。

    たとえばADUCでコンピュータアカウントを作るとき、ドメイン参加させるユーザ(既定はドメイン管理者です)を指定できるのは、うえのような背景があるためだ、と理解しています。

    あと、netdom /join コマンドですが、実行時に必ず参加させるコンピュータが起動している必要がありますが、「必ずそのコンピュータ上で実行しなくてはならない」というものではなかった(他のマシン上でも実行は可能)だったと思います。ただ、Windows XP以降ではWindowsファイアウォールがクライアント上で有効になっているので、これがジャマをすることを考えると、各々のクライアント上で実行させないとうまくいかない、ということはあり得るかな、と思っています。

    2010年6月10日 3:30
    モデレータ

すべての返信

  • こんにちは。

    他の使い方で利用されている方もいらっしゃると思いますが、私が使う場合には・・・

     

    1.たとえば、ドメインに参加させる権限は通常、domain adminsに与えられていると思います。しかし、遠隔地や人手不足などで

      domain adminsメンバー以外が新規パソコンをドメインに参加させる必要がある場合など、予め管理者がコンピュータを作成して

      おき、ドメインに参加させる権限をdomain admins以外に権限移譲することが可能です。その他にも、グループポリシーを適切な

      OUに適用したい場合など、最初から該当のOUにPCを作成しておけば楽になると思います。

    2.下記のURLにあるスクリプトか、nodame2010様が言われているようにnetdomが便利だと思います。

      どちらにしろクライアント側で作業するしか無いと思いますので、複数台ある場合には手間には変わりませんが。

      http://www.microsoft.com/japan/technet/scriptcenter/scripts/ad/computer/cptrvb06.mspx

    2010年6月9日 23:27
  • チャブーンです。

    nodame2010 さんの質問については、「応答ファイルを使った Sysprep 展開」でうまくいくはずですよ。Sysprep を使って特定のディスクイメージを使った一斉展開ができますけれど、応答ファイルを組み合わせることで展開時にいっしょにドメインに参加させる、といったことができます。

    Sysprep ツールを使用して Windows XP の展開を自動化する方法

    いくつか、補足させてください。

    [ADUC] ツールでコンピュータアカウントを独自に追加できるのは、その方が管理要件の幅が広がるからです。古い管理者の方ならおなじみですが、Windows NTドメインでは「Domain Admins」なアカウントでしかドメイン参加を行わせることはできなかったので、一般ユーザにドメイン参加作業をお願いすることができませんでした。

    こういう欠点をふまえて、Windows 2000 以降のドメインでは「Authenticated Users」(認証されたユーザ)ならだれでもドメインに参加できるようになっているのですが、一方以前のスタイルじゃないと困る、とか、コンピュータに紐づいた特定のユーザだけにドメイン参加を認めたい、というところで、今のスタイルになっています(OU の委任もその一つかもしれません)。

    たとえばADUCでコンピュータアカウントを作るとき、ドメイン参加させるユーザ(既定はドメイン管理者です)を指定できるのは、うえのような背景があるためだ、と理解しています。

    あと、netdom /join コマンドですが、実行時に必ず参加させるコンピュータが起動している必要がありますが、「必ずそのコンピュータ上で実行しなくてはならない」というものではなかった(他のマシン上でも実行は可能)だったと思います。ただ、Windows XP以降ではWindowsファイアウォールがクライアント上で有効になっているので、これがジャマをすることを考えると、各々のクライアント上で実行させないとうまくいかない、ということはあり得るかな、と思っています。

    2010年6月10日 3:30
    モデレータ
  • ありがとうございます。

    メインに参加させる権限をdomain admins以外に権限移譲するとのことですが、これはどのようにするのでしょうか。

    GPOでしょうか?

     

    スクリプトやnetdomでログオンスクリプトを走らせておられるのでしょうか?

    2010年6月13日 4:18
  • ありがとうございます。

    なるほど。イメージ展開とドメイン参加が同時にできるのですね。

    Windows 2000 以降は既定で「Authenticated Users」(認証されたユーザ)ならだれでもドメインに参加できるようになっているのでしょうか?

    確かにユーザで参加できたような気もするのですが。

    2010年6月13日 4:20
  • 1.ADユーザーとコンピュータを起動ます。

    2.コンピュータを作成したいOUを右クリックし、[新規作成]-[コンピュj-タ]をクリックします。

    3.コンピュータ名を記入し、[変更]ボタンをクリックします。

    4.一覧から参加権限を与えたいユーザーまたはグループを選択し、[OK]をクリックします。

    5.[OK]を押してコンピュータアカウントを作成します。

    2010年6月14日 1:45