トップ回答者
CMG指定の手動クライアントインストールに関しまして。

質問
-
いつも参考にさせていただいております。
先日、同様のことを窺わせていただきました。
https://social.technet.microsoft.com/Forums/ja-JP/69c1fa2a-ac2c-4473-a388-ead20b5d1096?forum=systemcenterja
インターネット接続端末をCMG(クラウド管理ゲートウェイ)指定で手動クライアントインストールしておりますが、
失敗となっております。
ご返答いただきました以下を試行いたしました。
<参考URL1>
https://docs.microsoft.com/ja-jp/mem/configmgr/core/clients/manage/cmg/configure-clients#install-off-premises-clients-using-a-cmg
一括トークンでも試行いたしましたが、成功例が確認出来ておりません。
<参考URL2>
https://docs.microsoft.com/ja-jp/mem/configmgr/core/clients/deploy/deploy-clients-cmg-token#bulk-registration-token
[ccmsetup.log]のエラー個所(抜粋)は以下となっております。
Failed to connect to machine policy namespace. 0x8004100e ccmsetup 2021/02/10 17:58:36 10316 (0x284C)
Failed to PutInstance. Error 0x8004100c ccmsetup 2021/02/10 17:58:36
IsSslClientAuthEnabled - Determining provisioning mode state failed with 80070002. Defaulting to state of 224.
Failed to get site version from AD with error 0x80004005
Failed to get site version from MP 'https://XXXXX.COM/CCM_Proxy_MutualAuth/1234567890123' with error 0x87d00455 ccmsetup
Unable to retrieve AD forest + domain membership. Error 0x8007054b
イントラネット接続時での成功例と比較いたしますと、ccmsetup.exeの処理時間が短時間となり、
タスクマネージャーのプロセス確認でインストールされていないのが明白です。
改めて、インターネット接続端末のCMG指定手動クライアントインストールの
仕様をご確認させていただければと存じます。
1.MECM(SCCM)構成ですが、
今回想定のHTTPベース(社内通信:HTTP)ではなく、HTTPSベース(社内通信:HTTPS)が前提ではないでしょうか。
(※インターネット接続端末に「クライアント証明書」必須と同意義としております。)
2.「クラウド管理ゲートウェイの作成」をする際、ルート証明書の設定は必須でしょうか。
<参考URL3>
https://docs.microsoft.com/ja-jp/mem/configmgr/core/clients/manage/cmg/setup-cloud-management-gateway#set-up-a-cmg
3.一括トークンでの手動クライアントインストールは、
プライマリサイトサーバー経由ではなく、直接CMGと通信を取るような経路なのでしょうか。
ログ解析による情報収集を続けておりますが、ご助力いただけますと幸いです。
何卒お力添えいただきたく存じます。
以上、よろしくお願いいたします。
回答
-
1
クライアント証明書が必要かと言う話であれば、以下にある通り CMG との認証は証明書だけでなく Azure AD による認証も可能です。
また、URL を記載されていたページにも、インターネット上のクライアントに MECM クライアントをインストールする条件として "システムが Azure Active Directory (Azure AD) ドメイン参加済みであるか、ハイブリッド Azure AD ドメイン参加済みである" と記載されています。
インストールエラーについては、インストールに使用している ccmsetup のパラメーターを記載頂いた方が良いでしょう。
なお、以下は Azure AD を使用してクライアントをインストールする場合の例です。
2
リンクされたページに記載がある通り、クライアント証明書を使用する場合は信頼されたルート証明書が必要ですが、Azure AD かトークンにより認証する場合は信頼されたルート証明書は不要な認識です。
3
一括登録トークンによるインストールの場合、以下にある通り CMG を介した初期通信に一括登録トークンを使用し、その後にクライアント毎に発行されるユニークなトークンにより通信が行われます。
よって、少なくともインストールプロセス中はプライマリサイトサーバーとの通信は不要な認識です。
- 回答としてマーク aimar10 2021年2月12日 2:35
すべての返信
-
1
クライアント証明書が必要かと言う話であれば、以下にある通り CMG との認証は証明書だけでなく Azure AD による認証も可能です。
また、URL を記載されていたページにも、インターネット上のクライアントに MECM クライアントをインストールする条件として "システムが Azure Active Directory (Azure AD) ドメイン参加済みであるか、ハイブリッド Azure AD ドメイン参加済みである" と記載されています。
インストールエラーについては、インストールに使用している ccmsetup のパラメーターを記載頂いた方が良いでしょう。
なお、以下は Azure AD を使用してクライアントをインストールする場合の例です。
2
リンクされたページに記載がある通り、クライアント証明書を使用する場合は信頼されたルート証明書が必要ですが、Azure AD かトークンにより認証する場合は信頼されたルート証明書は不要な認識です。
3
一括登録トークンによるインストールの場合、以下にある通り CMG を介した初期通信に一括登録トークンを使用し、その後にクライアント毎に発行されるユニークなトークンにより通信が行われます。
よって、少なくともインストールプロセス中はプライマリサイトサーバーとの通信は不要な認識です。
- 回答としてマーク aimar10 2021年2月12日 2:35