Windows DNSでのセカンダリゾーンの手動更新

｢マスタから転送｣ : SOAのシリアル番号を比較して更新する方法。
｢マスタからの再読み込み｣ : シリアル番号に関係なく完全ゾーン転送を行う

忘れがちなのでメモ書き。

シリアルを確認している「マスタから転送」が IXFRなのかな？とか思ったり。今度まじめに調べてみよう。今日DNS切替作業するのに今調べているのも駄目な感じだ。

操作マスタ（FSMO）ぞれぞれの役割

それぞれが何をしているかあまり気にしてなかったので調べてみた。
某ネット記事からの抜粋。

・スキーマ・マスタ
AD DBのスキーマ（データベースの構造）の変更を担当。
→ AD の管理する情報のデータ構造を統括しているので、フォレストに対して1台必要。

・ドメイン名前付けマスタ
フォレストに対してドメインの追加や削除を管理。
→ フォレスト内のドメインの名付け親なので、フォレストに対して1台必要。

・RIDマスタ
RIDプールのセキュリティIDを使いきった場合に再割り当てを担当。
→ユーザーやグループ・アカウントを作成したときにセキュリティIDが割り当てられる。
　セキュリティIDの一部である「RID（Relative ID）」はドメイン内でユニークな値。
　各ＤＣは、自分が与えることのできるセキュリティIDをいくつかプールしている（RIDプール）。
　RIDプールはドメイン内のみの管理なので、ドメインに1台必要。


・PDCエミュレータ
ＮＴドメイン環境のクライアントやBDC(バックアップドメインコントローラ)に対して
PDC（プライマリ・ドメイン・コントローラ）の役割を提供。
ドメインしばりなので、ドメインに1台必要。

・インフラストラクチャ・マスタ
ドメイン内でグループ・アカウント内のメンバーの割り当てを担当。
これもドメイン縛りなので、ドメイン1台に必要。

NotesカレンダーをCSVに書き出す。

人のソースを参考に、自分で書いたものをネットに退避。
これを使ってなんかトラブってもサポートいたしかねる。

・タスクが書き出されてしまう点
・会議しか書き出されない点
という問題があるのはいづれ直す。

Dim db As NotesDatabase
Dim doc As NotesDocument
Dim col As NotesDocumentCollection
Dim outputFile As Integer
Dim startDate As NotesDateTime, endDate As NotesDateTime

Sub Initialize
Dim session As New NotesSession
Set db = session.CurrentDatabase
Dim dateTime As New NotesDateTime(Today)

input@ = Cint(Inputbox$("何日前に作成されたスケジュールを取り込みますか？", , 1))

Msgbox Today-input@ & "以降に作成・変更した予定を書き出します。"
Set dateTime = New NotesDateTime( Today-input@)

Set col = db.Search("@IsAvailable(CalendarDateTime)",dateTime, 0)

counter=0

outputFile = Freefile()
Open "C:\NotesCal.csv" For Output As outputFile
Print #outputFile, |"| & "Subject" & |","| & "Start Date" & |","| & _
"Start Time" & |","| & "End Date" & |","| & "End Time" & |","| & _
"All day event" & |","| & "Description" & |"|
Set doc = col.GetFirstDocument
While Not (doc Is Nothing)
counter=counter+1
Set startDate = New NotesDateTime(doc.StartDateTime(0))
Set endDate = New NotesDateTime(doc.EndDateTime(0))
Print #outputFile, |"| & doc.Subject(0) & |","| & _
startDate.DateOnly & |","| & startDate.TimeOnly & |","| & _
endDate.DateOnly & |","| & endDate.TimeOnly & _
|","| & "false" & |",""|
Set doc = col.GetNextDocument(doc)
Wend

Msgbox counter & "個の予定を書き出しました。"

Close outputFile
End Sub

VBSからDOSコマンド実行

以下で実現可能。

Set objShell = CreateObject("WScript.Shell")
objShell.Run "cmd /c 実行したいコマンド",0,false

引数の0はプロンプトを表示するかどうか、falseコマンド終了待ちをするかどうか。

自転車：幡ヶ谷〜戸田橋

連休最終日前に北進してみた。

自転車：GIOS CELLE
距離：約１５キロ

山手通り沿いに北上するといい感じに戸田橋、荒川に到着。山手通りの中野周辺はまで歩道の工事をしているけど完成すると自転車と歩道を綺麗に分ける道ができるのでかなり快適に走れるかも。ただ歩行者は自転車用道路なんかおかまい無しに歩いていたけど。

悪い自転車があるのではなくて、悪い人間がいるのだと思うけどな。それは歩行者だろうが、自転車だろうが、クルマだろうが。

また近いうちに早い時間に出発して荒川沿いを走ってみようと思った。

自転車：幡ヶ谷〜六本木（東京ミッドタウン）

GWにドイツのワイン祭りをやっているということで友人に非常召集されて行って来た。

自転車：ブリジストン BSM179
距離：9キロ
所要時間：４０分

「３０分で到着するように」とのことであったけど、道に迷いまくってしまった。気がついたら六本木ヒルズの前に。
やはり定期的に地図をアップデートしないとよろしくないと思われる。

またドイツ人のアコーディオン奏者の方がいらしていて、生演奏を聴かせてもらえた。楽しかった。GWにこういうイベントに行けるのは人生初めてだったのでなかなか楽しかった。

自転車：幡ヶ谷〜善福寺公園〜井の頭公園

今日は自分にとってGW初日。折角なのでまた自転車に乗って来た。

自転車：ブリジストン　BSM179
距離：３５キロ

初めの予定では山と渓谷社の「東京周辺自転車散歩」のコースのように神田川を遡上しようと思ったのに、気がついたら善福寺川沿いを走っていたので「ままよ」と思ってそのまま遡上。途中広い公園があり、川も透明度が高かったり綺麗だったが、道は狭いし散歩しているカップルが結構多いので自転車で走る所ではないなと。あと道がガタガタなので走りづらい。そして遡上すればするほど道が狭い。

一時間程度で善福寺公園に到着してしまって、暇を持て余したので、復路は当初の通りに神田川を下って帰ろうと井の頭公園まで移動。

途中東京女子大学の横を通ったけど素敵な女性には遭遇できなかった。残念。

神田川沿いは歩道の整備がよく、少し広めなので走りやすい。もちろん歩行者は結構歩いているのでガンガン飛ばす場所ではない。あと川があまり綺麗ではなかったのが悲しかった。
ただ途中で鯉の大群に遭遇。


子供の日まで後二日。GW終わるまで後２日。明日はどこを走ろうか。

自転車：横浜〜新百合ケ丘

今日は職場に自転車で行ったくらいしか特に変わった事もなかった。ので昔の自転車散歩を整理してみる。

自転車：ビアンキ MINI VELO 8
距離：２８キロ

人生で初めて自転車で１０キロを超えて移動したのがこの時だったと思う。
入社二年目の夏、初めての夏のボーナスが出たけどギャグのように金一封（５万円）で、折角なので記念にと買ったビアンキのミニベロ。人生初のドロップハンドル。購入から数日後に何を思ったか他の同僚が住む会社の寮に行ったのがこの時。

故郷から遠くは慣れた知らない場所に一人で行くのがこの時はすごく辛く、おまけに道に散々迷うし、途中のアップダウンは厳しいし、タイヤ小さいからジャイロ効果期待できないしとで寮について同期に会った時には感動で涙出て来た事を思います。みんな元気だろうか？

たった２８キロだったけど当時は４時間くらいかかった。そして疲れ果てて同期の家に泊めてもらって翌日帰宅した。

あの頃と比べてもヘタレ自転車乗りだけど、少しは距離を稼げるようになったかな。

と過去に思いを馳せてみる。

タイヤチューブ交換

会社近くに某有名自転車ショップの神田支店があったのでチューブを買ってくる。
そもそもあんまり自転車の事に詳しくないので今のチューブを外して持って行ってみた。

「これと同じようなものを探しているのですけど。。。」

「二階に一杯あります。」

といった突き放す感じがMには堪らないんだろうけど、私はSだけど。

というわけで多分対丈夫じゃないですか？ってお染み付きを頂いたので買ってきました。
panaのR-AIR。明日会社まで走って調子を見てみよう。

自転車：幡ヶ谷〜神保町

今日は何の日かは忘れたけどお休みなので、朝から自転車でお出かけ。本の街、神保町に行って来た。ただ行って帰って来た。

車種：ピナレロ　FP3 (2009モデル？)
所要時間:2.5時間 (行き1時間、帰り１時間半)

コメント：
いつも新宿を跨いで皇居方面に移動する時に嫌になるのが新宿の道路の路駐や舗装の悪さ。なので本日はちょっと変わった経路で走ってみた。新宿ガード下から大久保方面に線路沿いに抜けて、302号を通って東新宿駅経由で曙橋へ。
途中に「抜弁天」など不思議な名前の場所があった。抜けている弁天様なのか？と罰当たりな事を考える。厳嶋神社というのが本名らしい。古くは源義家氏が建立した由緒ある神社だとか。交遊歴史の勉強も散歩の楽しさ。

市ヶ谷まだそのまま道なりに下って行き、あえて靖国通りを通らずに裏路地を通って神保町まで移動。小学館ビルの裏のビルで子供のモデルと母親達がタムロしていた。奥様も美しいです。

眼福ついでに帰り道は外堀通りを通って四谷まで移動し、迎賓館を眺めてきた。なんか付近の住民もハイソな感じがして、居たたまれなくなって早々に退散。

途中神宮外苑に迷い込んでしまったのだけれども休みの日はランニングとサイクリングの天国なんだろうか？たくさんの人が走っていた。今度はここに行ってみよう。

そんなこんなで午後一番には帰宅してしまった。明日仕事だし無理は禁物。

帰宅して昼食食べてぐったり寝てたら、リアタイヤがスローパンクチャしてた。明日はチューブを買いに行かないとだ。

今回のコース：

windowsのhosts

後輩から尋ねられたのでちょっと調べてみた。

windows xpのhostsファイルは「システムが入ったＨＤドライブレター:\windows\system32\driver\etc」にある。

っでここからがつまづいたところで、nslookupで名前解決しても反映されないじゃないか！と大騒ぎ。ネットでは「ipconfig /flushdns」でキャッシュ消せなど言っていたけど。

nslookupってhostsの情報は反映されないのね。pingで確認しました。
こんな事に３０分も悩んでしまった。

自転車：初台〜城南島海浜公園

先日買ったばかりのマウンテンポーテージのバッグに防犯タグが付きっぱだったので、お店の人に外してもらいに朝一で新宿へ。なんで防犯ゲートで気がつかなかったんだろうか。。。

天気もいいし、帰りに急に磯の香りを味わいたくなってお台場方面へ。

車種：BSモールトン (BSM179)
所要時間:4.5時間 (行き2時間、帰り2時間半)
行きは山手通りを通って空港方面へ。家からNHKホールがあんなに近いとは思わなかった。
海と飛行機を満喫して環七通りを通って帰宅。帰りはアップダウンがきつくて辛かった。


家に帰って距離を調べてみると４５キロくらいは走っているもよう。そりゃ疲れるわ。酢豚食べて寝よう。

権限のある復元、ない復元

Active Directoryのオブジェクトを削除した（OU消してしまった）などの際の復元として、権限の有る無しの戻し方がある。

権限のある復元から考える。

ADは各DCでレプリカを持っている。そのためオブジェクトを削除した際に、単純に戻しても古い情報として戻した情報を削除されてしまう。

たぶん絵にするとこんな感じ。


では権限がない復元は？

通常の復元のことらしい。ADの機能を復旧させて、最新の情報は他のDCからレプリカされるようにする。

たとえばスキーマを破損した場合、
①スキーママスタで「権限がある復元」
②その他で「権限がない復元」
をすることで、破損したスキーマが他のDCに正しく伝播するようになる。

つまり、
「権限のある復元」→オブジェクトの削除を復元したい、
　　　　　　　　　　ドメインの再構築をしたいなど
　　　　　　　　　　過去に戻りたいとき。

「権限のない復元」→ADとして再構築したいとき。

こんな感じだろうか。

PSOの設定

PHANTASY STAR ONLINE のことではなくて。
Password Settings Objectのこと。

Windows Server 2003などではパスワードに関してグループポリシーで行えていたが、この場合だとドメイン全体にのみ適用となり、個別に強固な制限をかけれない。
Windows Server 2008では“きめ細かなパスワードポリシー”PSO(Password Settings Object)という仕組みでそれを解決。

これで複数のパスワードポリシーやアカウントロックポリシーを設定できるようになった。

利用の前提条件としてはドメイン機能レベルがWindows Server 2008でなくてはいけない

作成に利用するのはADSIエディタ（adsiedit.msc）。ldifdeでもできるそうな。

適用方法は「Active Direcotory ユーザとコンピュータ」にて利用したいオブジェクトのプロパティを開き、「属性エディタ」から当該の属性を追加する。

残念なことに、周りにドメイン機能レベルが2008のサーバがないので画面無し。

操作マスタの転送方法

GUIでやる場合は以下の通り。

ドメインに一つ必要な役割である3つが「Active Directory ユーザーとコンピュータ」で転送できて、他が特殊であると覚えておこう。

ADで標準で出てくるMMCは以下の三つで、ドメイン名付けに関係しそうなのは必然的に「Active Directory ドメインと信頼関係」。
- Active Directory ユーザーとコンピュータ
- Active Directory ドメインと信頼関係
- Active Directory サイトとサービス

スキーマは別途追加のMMCが必要だったと覚えておく。

役割	利用MMC
スキーマ マスタ	Active Directory スキーマ
ドメイン名前付けマスタ	Active Directory ドメインと信頼関係
RID マスタ	Active Directory ユーザーとコンピュータ
PDC エミュレータ マスタ	Active Directory ユーザーとコンピュータ
インフラストラクチャ マスタ	Active Directory ユーザーとコンピュータ

CUIはntdsutilで。詳細は割愛。

GlobalNames

Windows Server 2008から追加された新機能。
WINSの静的なDBとしての代替かな。

複数のDNSサフィックスが混在する環境で
単一名の名前解決=ホスト名での名前解決を
提供することができるのかな。

例えば、以下のようなイメージ。



設定方法としては
①DNSマネージャにて「GlobalNames」
　というゾーンを作成。
②以下コマンドでGlobalNamesゾーンを有効化
dnscmd サーバ名 /config /enableglobalnamessupport 1

操作マスタ

結婚には大事な袋（マスタ）が５つあります。※1

そんな冗談はさておき。

■操作マスタとは
Active Direcotoryは「マルチマスタ」である。
だからNTドメインみたいにプライマリとかない。※2
とは言ったものの、操作上は同時に複数のサーバで
処理されても困る機能があるので、その機能を
ドメイン内の一台がマスタとなって処理する。
その役割が操作マスタということだと聞いた。

フォレストに一台必要な役割は
・スキーママスタ
・ドメイン名付けマスタ

ドメインに一台必要な役割は
・RIDマスタ
・インフラストラクチャマスタ
・PDCマスタ

意味から考えると、Active DirectoryのDB構造（スキーマ）
を管理するスキーママスタはフォレストに一台でいいし、
所属するドメインの名前管理するマスタだから、これも
フォレストに一台でいい。他はドメイン毎と覚えよう。

余談：
※1
お袋はやはり、ドメイン名付けマスタかしら。

※2
弊社先輩は未だにADにはマスタが存在しないと
思っておられる。
操作マスタすべて壊してしまえばいいのにと
思わず思ってしまう鬼の子です。
■

RODC(読み取り専用ドメインコントローラ)

RODCとは、Windows Server 2008から新規に採用された
読み取り専用のDC。
以下のような状況をゴソッと解決する仕組みなのかな。。



(1)管理者が不在もしくは正規の管理者が置けない
(2)専用部屋に保管できず、盗難等のセキュリティ
　 リスクがある
(3)DCをローカルに置かないと認証トラフィックで困る



導入条件として-レプリカ元の書き込み可能DCとして

-Windows Server 2008が一台存在
-フォレスト・ドメインの機能レベルが2003以上

構築のざっくりとした流れとしては

(1) ドメイン内に2008のDCがいるか確認。
　　いなければ作成。
(2) フォレスト・ドメインの機能レベルを2003以上で
　　あることを確認。でなければ機能レベルをあげる。
(3) ADPREP /RODCprepをインフラストラクチャマスタ
　　と通信できるDCで実行
　　※Enterprise Adminsのユーザで

(4) RODC用のコンピュータにWindows Server 2008を
　　インストール
(5) サーバマネージャもしくはdcpromoからRODCとして
　　(4)のサーバを追加。

試験問題集の設問として以下のようなものがある。

(1)ブランチオフィスなどのリモートサイトのサーバを、
　　管理者ユーザ以外のユーザに代行してもらう場合。

→ RODC のインストールを委任する方法がある。　
・書き込み可能DCの管理者側にて、 　
　- 「ユーザとコンピュータ」の「Domain Controllers」
コンテナを右クリックし、
[読み取り専用ドメイン コントローラ アカウントの事前作成]
にて実行。　
　- [代替の資格情報] の項目にてインストールを
現地で行うユーザを設定。　
　- [コンピュータ名の指定] で追加するコンピュータ名
　- [サイトの選択] で設置するサイト名　
　- [パスワード レプリケーション ポリシーの指定] を行う

・RODCを追加するユーザは
　- RODCとなるサーバにローカル管理者権限でログイン
　- dcpromo /UseExistingAccount:Attach を実行
　- [詳細モード インストール]にて、[代替の資格情報]
　に指定のユーザ資格情報を入れる。

(2)以下、作成中。