Windows server3

【WindowsServer】#3 ＠秋葉原UDX
1
アジェンダ
0900～0930 GUI及びCUIを使ったOU及びユーザーの管理
0930～1000 GUI及びCUIを使ったグループの管理
1000～1015 GPOの適用
1015～1030 ドメイン参加
参加いただきありがとうございます!!!
メモ
持ち物:サーバー、Lanケーブル x4、PC x4
今日できるようになること
• 組織単位(OU)の追加・作成 ←部署
• ユーザーの作成 ←社員
• グループの作成
• GPOの作成・適用
自分の会社を１つ作ります
部署を４つ作成します
ユーザを９人作成します。
＃ユーザ作成をGUIとCUIの両方にて実施する方法
全社共通ポリシーを1つ
部署ポリシーを２つ
セキュリティグループにユーザを追加する
＃ユーザ追加をCLIでやる方法

【WindowsServer】#３ OUとGPOの概要図
ドメイン
会社
2
システム部
営業部人事部
OU
組織単位、認証に利用する
GPO
部署ごとの利用者に適用するポリシー
システム部のポリシー
営業部のポリシー
会社全体のポリシー
人事部のポリシー
２つのポリシーが適応
水谷隼
大野将平
新井千鶴阿部詩橋本大輝
大橋悠依
商品開発部
商品開発部
のポリシー
西谷椛
山本優
川畑瞳

3 【WindowsServer】#３物理構成図
Server1:192.168.210.111
Server2:192.168.210.112
Server3:192.168.210.113
Server4:192.168.210.114
PC１
192.168.210.11
PC3
192.168.210.13
PC2
192.168.210.12
PC4
192.168.210.14
物理仮想基盤
クライアント

4 【WindowsServer】#３アドレス表
ペアペア
1 2 3 4
PC 192.168.210.11 192.168.210.12 192.168.210.13 192.168.210.14
WindowsServer 192.168.210.111 192.168.210.112 192.168.210.113 192.168.210.114
Windows10 192.168.210.121 192.168.210.122 192.168.210.123 192.168.210.124
サーバー名 ume-adserver sake-adserver tarako-adserver ikura-adserver
ドメイン名 ume.udx.local sake.udx.local tarako.udx.local ikura.udx.local
NetBIOS
ドメイン名
UME SAKE TARAKO IKURA

5 【WindowsServer】#３クライアントPCの設定
手順１ PCのIPアドレスを設定する
・IPアドレス
PC１:192.168.210.11
PC２:192.168.210.12
PC３:192.168.210.13
PC４:192.168.210.14
・デフォルトゲートウェイ
なし
・優先DNSサーバー
なし
・代替DNSサーバー
なし
IPアドレスを変更する。
「スタートメニュー」→「設定」(歯車マーク)→「ネットワークとインターネット」
→「イーサネット」→「アダプターのオプションを変更する」→「イーサネット」→
「インターネットプロトコルバージョン 4 (TCP/IPv4)」→「プロパティ」→
「次の IPアドレスを使う」→「IPアドレス」を「192.168.210.1x」に設定
「サブネットマスク」を「255.255.255.0」に設定
「デフォルトゲートウェイ」にはなにも入力しない。

手順２構成図(p.3)を参考に結線し、
ブラウザからvmware(https://192.168.210.150)にアクセスする。
＞ユーザ名:root
＞パスワード:P@ssw0rd
①右上の検索欄で「ConpassIDの先頭4文字」を検索して、
自身の「ConpassID 【study】WindowsServer」選択する。
②仮想マシンの詳細画面が開いたら上にある「パワーオン」ボタンを
クリックし、仮想マシンを起動する。
6 【WindowsServer】#３ WindowsServerの起動
①
②
①

手順３
①上の「Ξ」→「ゲストOS」→「キーの送信」→「Ctrl＋Alt＋Del」
をクリックし、ログイン画面に進む。
※「ロックは解除するには～」という記述があるが、このキーを入力しても
Vmware上のWindowsServerのロックは解除されない。
7 【WindowsServer】#３ログイン
①
②
②「パスワード」に管理者パスワード「Me1onpan#」または、「Passw0rd」を
入力する。
①
① ①

手順４
①サーバーマネージャーが起動したら、左メニューの「ローカルサーバー」を選択し、
「IPv4アドレス(DHCPにより割り当て)」をクリックする。(表示までに数秒かかる)
8 【WindowsServer】#３サーバーのIPアドレスの設定1
①
②ネットワーク接続というウィンドウが開いたら、「Ethernet 0」と
いう項目があるので右クリックし、「プロパティ」を開く。
①
②
②

手順４
③「Ethernet 0」のプロパティを開いた後、「インターネット
プロトコルバージョン4(TCP/IPv4)」を選択し、「プロパティ」を押す。
9 【WindowsServer】#３サーバーのIPアドレスの設定2
③
④
④プロパティが開いたら、
「IPアドレス」は「192.168.210.11x (xは座席番号)」
「サブネットマスク」は「255.255.255.0」
「優先DNSサーバー」は「127.0.0.1」と入力する。
入力を終えたら、「OK」をクリックする。
③
④
④

手順５
①IPアドレスの設定を終えたら、サーバーマネージャーに戻り、
「ツール」→「Active Directory ユーザーとコンピューター」をクリックする。
10 【WindowsServer】#３ GUIを使ったOUとユーザーの管理1
①
②
② 「Active Directory ユーザーとコンピューター」が起動したら、「xxx.udx.local」を
右クリックし、「新規作成」→「組織単位（OU）」を選択する。
① ②
②

手順５
③「新しいオブジェクトー組織単位（OU）」が開いたら、「名前」に「人事部」
と入力し、「OK」をクリックする。
③
②
④ 作成された「人事部」を右クリックし、「新規作成」→「ユーザー」を選択する。
③
②
②

手順５
⑤「新しいオブジェクトーユーザー」が開いたら、
「フルネーム」に「橋本大輝」
「ユーザーログオン名」に「Hashimoto」と入力し、「次へ」をクリックする。
⑤
⑥
⑥「パスワード」には「P@ssw0rd」を入力し、「パスワードを無期限にする」に
チェックを入れる。この際警告が出るが、「OK」をクリックして閉じる。
その後、次へをクリックする。
⑤
⑥
⑥
⑤

手順５
⑦以下の画像のとおりに作成できたことを確認したら、「完了」をクリックする。
⑧
⑧ ④～⑦と同様の手順で、「フルネーム」が「大橋悠依」、「ログオン名」が「Ohashi」
のユーザーを作成する。この際、パスワードは同様に「P@ssw0rd」で、「パスワード
を無期限にする」を有効にする。
⑦
⑧

手順５
⑨「Active Directory ユーザーとコンピューター」で「人事部」をクリックし、作成したユーザー二人が追加されていることを確認する。
⑨
⑨

手順６
先程はGUIを使用してOU及びユーザーを作成した。
次はCUIを使用してユーザーを作成する。
①左下の検索欄で「cmd」と入力し、「コマンドプロンプト」を起動する。
15 【WindowsServer】#３ CUIを使ったOUとユーザーの管理1
①
①
②まずはOUを作成する。そのために「コマンドプロンプト」で以下のコマンドを入力する。
ただし、「xxx」のところは自身のドメイン名である。
「dsadd ou」はOUを追加するコマンドで、「” ”」内にOUの情報が示されている。
例）「” OU=システム部,DC=ume,DC=udx,DC=local”」
→「ume.udx.localに所属しているシステム部」という意味である。
正しく実行された場合、以下の図の様になる。
dsadd ou “OU=システム部,DC=xxx,DC=udx,DC=local”
dsadd ou “OU=営業部,DC=xxx,DC=udx,DC=local”
dsadd ou “OU=商品開発部,DC=xxx,DC=udx,DC=local”
②

手順６
③次にCUIでユーザーを追加する。成功した場合、「(コマンド名) 成功:～」のようなメッセージが出る。
「dsadd user」はCUIでユーザーを追加するコマンドである。また、「-display」は表示名を示している。「-pwd」はパスワードを設定するオプションで、
「-pwdneverexpires」は「パスワードを無期限にする」と同様の効果がある。「-upn」ではユーザーのログオン名を指定できる。
③
dsadd user “CN=阿部詩,OU=システム部,DC=xxx,DC=udx,DC=local” -display “阿部詩” –pwd “P@ssw0rd” –pwdneverexpires yes –upn “Abe＠ume.udx.local”
dsadd user “CN=水谷隼,OU=営業部,DC=xxx,DC=udx,DC=local” -display “水谷隼” –pwd “P@ssw0rd” –pwdneverexpires yes –upn “Mizutani＠ume.udx.local”

手順６
④CUIでの操作が正常に行えていることを確認するために、Active Directory ユーザーとコンピューター」に戻る。
その後、「xxx.udx.local」を選択した後、上にある「最新の状態に更新」ボタンをクリックする。
⑤「xxx.udx.local」内に「システム部」「営業部」「商品開発部」があることを確認し、
「システム部」内に作成した「阿部詩」、「営業部」内に作成した「水谷隼」があることを確認する。
④
④
⑤
⑤
⑤

手順７
ADでは同じユーザーが複数のOUに参加することはできない。
しかし、グループという機能を使用することで、複数のOUに所属させることが
できる。
①「Active Directory ユーザーとコンピューター」で「システム部」を右クリック
し、「新規作成」→「グループ」を選択する。
18 【WindowsServer】#３ GUIを使ったグループの管理1
②
②「グループ名」に「兼部」
と入力し、「OK」をクリックする。
①
②
①
①
①
①
①

手順７
グループにメンバーを追加する。
③作成された「兼部」を右クリックし、「プロパティ」をクリックする。
④
④「兼部のプロパティ」が開いたら、「メンバー」→「追加」をクリックする。
③
④
③

手順７
⑤「選択するオブジェクト名を入力してください」に「橋本大輝」と
入力した後、「名前の確認」をクリックし、下画像のようになったら「OK」を
クリックする。
⑥
⑥「兼部のプロパティ」に戻ったら、「所属するメンバー」に「橋本大輝」がいることを
確認し、「適用」をクリックする。その後、「OK」をクリックする。
⑤
⑥
⑤
⑤
⑥

手順８
グループの管理をCUIで行う方法を説明する。
①「コマンドプロンプト」を起動し、以下のコマンドを入力する。
「dsmod group」は、既存のグループを編集するためのコマンドである。「-addmbr」オプションのあとにユーザーを指定することで、グループにメンバーを追加できる。
21 【WindowsServer】#３ CUIを使ったグループの管理1
①
dsmod group “CN=兼部,OU=システム部,DC=xxx,DC=udx,DC=local” –addmbr “CN=水谷隼,OU=営業部,DC=xxx,DC=udx,DC=local”

手順８
②CUI操作を確認するために、「Active Directory ユーザーとコンピューター」を
開き、「システム部」内の「兼部」を右クリックし、「プロパティ」を選択する。
22 【WindowsServer】#３ CUIを使ったグループの管理2
③
③「兼部のプロパティ」が開いたら、「所属するメンバー」に「水谷隼」がいることを
確認し、その後、「OK」をクリックする。
② ③
②
②
③

手順９
ユーザーを同時に100人追加したい場合、GUI操作はもちろんのこと、CUIでも逐一
コマンドを入力するのは大変である。
今回は「csv」ファイルをインポートする方法でユーザーを一括で追加する。
（CSVファイルを記述するのは時間がかかるので今回は事前に用意したものを使用する）
①「CSV」ファイルをダウンロードするため、「Internet Explore」を起動する。
23 【WindowsServer】#３ユーザーの一括管理1
②
②「Internet Explore」が起動したら、アドレスバーに「http://192.168.210.202」
と入力する。
①
http://192.168.210.202

手順９
③「セキュリティの警告」が表示されるが、OK」をクリックする。
その後、「Internet Explorer」というタブが表示されるので、「追加」を
クリックする
④
④「信頼済みサイト」が開いたら、「追加」ボタンを押した後、「閉じる」を
③
③
④

手順９
⑤サイトにアクセスできたら、「CSV」をクリックする。
④
⑥また「Internet Explorer」が起動するので、「追加」をクリックする。
⑤

手順９
⑦「信頼済みサイト」が開いたら、「追加」ボタンを押した後、「閉じる」を
⑧
⑧サイトに戻ったら再度「CSV」をクリックし、下の保存ボタンをクリックする。
⑦
⑦
⑧

手順９
このCSVファイルの中身は以下のようになっている。
「DN」には追加したい人の情報、「objectclass」には追加したいオブジェクトのクラス、「sAMAccountName」にはログオン名を、「displayName」には表示名を
入力している。
⑦

手順９
⑨「コマンドプロンプト」を起動し、以下のコマンドを入力する。
「csvde」コマンドはファイルをインポートしてユーザーを追加したり、逆にOU内のユーザーをエクスポートできる。
「-i」はインポートを指定し、「-f」はファイルを取り扱うことを示している。
⑨
csvde –i –f C:¥Users¥Administrator¥Downloads¥test.csv

手順９
⑩このCSVファイルをインポートした状態では、パスワードなどの設定がされていないので設定する。
以下のコマンドを入力する。
［コマンドの説明]
「dsquery user」はOU内のユーザーの情報を取得するコマンドであり、そこに「dsmod user」をパイプラインでつなぐことで、OU内のすべてのユーザーのデータを書き
換えることができる。
今回のコマンドの場合は、営業部内すべてのユーザーのパスワードを「P@ssw0rd」にし、パスワードを無期限にしている。
また、「csvde」コマンドでユーザーを追加した場合、デフォルトではユーザーが無効な状態で追加されるので、「-disabled no」でユーザーを有効化している。
⑩
dsquery user OU=営業部,DC=xxx,DC=udx,DC=local | dsmod user –pwd P@ssw0rd –pwdneverexpires yes –disabled no
dsquery user OU=商品開発部,DC=xxx,DC=udx,DC=local | dsmod user –pwd P@ssw0rd –pwdneverexpires yes –disabled no

手順９
⑪CSVでのアカウント追加を確認するために、
「Active Directory ユーザーとコンピューター」を開き、「xxx.udx.local」を
選択している状態で、「最新の状態に更新」をクリックする。
⑫「営業部」内及び「商品開発部」内にユーザーが追加されていることを確認する。
⑪
⑪ ⑫
⑫

手順10
まずは、会社全体にパスワードポリシーを設定する。
①「サーバーマネージャー」に戻り、「ツール」→「グループポリシーの管理」
を開く。
31 【WindowsServer】#３全体のグループポリシーの管理1
②「グループポリシーの管理」が起動したら、「フォレスト:xxx.udx.local」
→「ドメイン」→「xxx.udx.local」と進み、「Default Domain Policy」を
右クリックし、「編集」をクリックする。
①
①
②
②

手順10
③「グループポリシー管理エディター」が起動したら、「コンピュータの構成」
→「ポリシー」→「Windowsの設定」→「セキュリティ設定」
→「アカウントポリシー」と進み、「アカウントロックアウトのポリシー」
をクリックする。
④右側のポリシー欄にある「アカウントのロックのしきい値」を右クリックし、
「プロパティ」をクリックする。
③
④

手順10
⑤「アカウントのロックアウト」に「３」と入力し、「適用」をクリックする。
その時、「提案された値の変更」が出てくるので「OK」をクリックする。
その後、「OK」をクリックし、ウィンドウを閉じる。
⑥次に、「ロックアウトカウンターのリセット」を右クリックし、「プロパティ」
⑤
⑤
⑥
⑤
⑤

手順10
⑦「ロックアウトカウンターのリセット」に「1」と入力し、
「適用」→「OK」をクリックする。
⑧次に、「ロックアウト期間」を右クリックし、「プロパティ」
⑦
⑦
⑧
⑦

手順10
⑨「ロックアウト期間」に「1」と入力し、「適用」→「OK」をクリックする。
⑨
⑩
⑨
⑩「グループポリシーの管理」に戻り、「Default Domain Policy」をクリックする。
右の「セキュリティフィルター処理」の下にある「追加」をクリックする。

手順10
⑪「選択するオブジェクト名を入力してください」に「Domain Users」と入力した後、
「名前の確認」をクリックし、下画像のようになったら「OK」をクリックする。
⑪
⑪ ⑫
⑪
⑫「グループポリシーの管理」に戻ったら、「セキュリティフィルター管理」に
「Domain Users」が追加されていることを確認する。

手順11
次に部署ごとのポリシーを設定する。
システム部に、アプリケーションの使用制限ポリシーを適用する。
①「グループポリシーの管理」に戻り、「システム部」を右クリックし、
「このドメインにGPOを作成し、このコンテナーにリンクする」を選択する。
37 【WindowsServer】#３部署ごとのグループポリシーの管理1-1
②新しいGPOが起動したら、「名前」に「Policy-IT」と入力し、
「OK」をクリックする。
①
②
②

手順11
③画面右の「リンクされたグループポリシーオブジェクト」に作成した「Policy-IT」
があるので、右クリックし「編集」を選択する。
④「ユーザーの構成」→「ポリシー」→「管理者用テンプレート」→「システム」
を選択する。
③
④

手順11
⑤右側に「設定」という欄があり、その中にある
「指定されたWindowsアプリケーションを実行しない」を探し、
右クリックし、「編集」を選択する。
⑥「有効」にチェックを入れ、「実行を許可しないアプリケーションの一覧」の隣に
ある「表示」をクリックする。
⑤
⑥
⑥

手順11
⑦「表示するコンテンツ」が起動したら、「値」に
奇数の人は「notepad.exe」、偶数の人は「calc.exe」と入力する。
その後、「OK」をクリックする。
⑧右下の「適用」をクリックし、「OK」をクリックする。
⑦
⑧ ⑧
⑦
⑦
⑦
奇数の人
偶数の人

手順12
次は人事部にポリシーを設定する。
人事部はMicrosoft Edgeの初期ページのポリシーを適用する。
①まず、Edgeのポリシーを作成するために、テンプレートをダウンロードする
必要がある。
「Internet Explorer」で「http://192.168.210.202」にアクセスし、
「EdgeTemplate」をクリックする。
②ファイルの操作の選択を要求されたら、「保存」をクリックする。
①
②

手順12
③このファイルを解凍し、適切な位置に配置する必要がある。GUIでの操作も可能だが今回はCUIで操作する。
「コマンドプロンプト」を開き、以下のコマンドを入力する。
cd C:¥Users¥Administrator¥Downloads¥
call powershell -command “Expand-Archive msedge.zip”
copy msedge¥*admx %systemroot%¥PolicyDefinitions¥
copy msedge¥*adml %systemroot%PolicyDefinitions¥ja-JP¥
③
←2行目のコマンドはダウンロードしたファイルを解凍するコマンドである。
←3，4行目のコマンドはそれぞれ、「admx」、「adml」という拡張子がついたファイ
ルを指定の場所にコピーするコマンドである。

手順12
④「グループポリシーの管理」に戻り、「人事部」を右クリックし、
「このドメインにGPOを作成し、このコンテナーにリンクする」を選択する。
⑤新しいGPOが起動したら、「名前」に「Policy-HR」と入力し、
④
⑤
⑤

手順12
⑥画面右の「リンクされたグループポリシーオブジェクト」に作成した「Policy-HR」
があるので、右クリックし、「編集」を選択する。
⑦「ユーザーの構成」→「ポリシー」→「管理者用テンプレート」
→「Microsoft Edge – 既定の設定」→「スタートアップ、ホームページ、新しいタ
ブページ」を選択する。
⑥
⑦

手順12
⑧右側に「設定」という欄があり、その中にある
「ブラウザーの起動時に開くサイト」を探し、右クリックし、「編集」を選択する。
⑨「有効」にチェックを入れ、「ブラウザーの起動時に開くサイト」の隣にある
「表示」をクリックする。
⑧
⑨
⑨

手順12
⑩「表示するコンテンツ」が起動したら「値」に
奇数の人は「https://forse.tokyo」、
偶数の人は「https://forse.connpass.com」
と入力する。その後、「OK」をクリックする。
⑪「ブラウザーの起動時に開くサイト」に戻ったら、右下の「適用」をクリックし、
⑩
⑪ ⑪
⑩
⑩
⑩
奇数の人
偶数の人

手順12
⑫「スタートアップ、ホームページ、新しいタブページ」に戻り、
「スタートアップ時に実行するアクション」を探し、右クリックし、
「編集」を選択する。
⑬「有効」にチェックを入れ、「ブラウザーの起動時に開くサイト」の隣にある
「表示」をクリックする。その後、「適用」、「OK」をクリックする。
⑫
⑬
⑬
⑬ ⑬

手順13
先ほど設定したポリシーの適用を確認するためにドメインに参加する。
①クライアントPCで、Vmware(192.168.210.150)に戻り、右上の検索欄で
「Windows10」と検索する。そこで、1～5番の仮想マシンが見つかるので
自分の座席番号のWindows10をクリックする。
48 【WindowsServer】#３ポリシー適用の確認1
②自身の座席番号のWindows10を開いたら、「パワーオン」をクリックして、
Windows10を起動する。
②
①

手順13
③仮想のWindows10が起動したら、左下の検索欄で「ncpa.cpl」と検索し、
開く。
49 【WindowsServer】#３ポリシー適用の確認
④「ネットワーク接続」が開いたら、「Ethernet0」を右クリックし、「プロパティ」
をクリック。その後、「インターネットプロトコルバージョン4(TCP/IPv4)」を
開く。そこで、P.4を参考に「IPアドレス」に「192.168.210.12x」、
「優先DNSサーバー」に「192.168.210.11x」(xは座席番号)を設定する。
④
③

手順13
⑤左下の検索欄で「sysdm.cpl」と検索し、開く。
⑥「システムのプロパティ」が開いたら、「変更」をクリックする。
⑥
⑤

手順13
⑦「コンピューター名/ドメイン名の変更」が開いたら、「所属するグループ」
の「ドメイン」を選択し、「xxx.udx.local」と入力する。ただし、入力する
ドメインはペアのドメインである。
1番の方:sake.udx.local 2番の方:ume.udx.local
3番の方:ikura.udx.local 4番の方:tarako.udx.local
⑧「Windowsセキュリティ」が開いたら、「ユーザー名」に「Mizutani」
「パスワード」に「P@ssw0rd」と入力し、「OK」をクリックする。
その後、「コンピューター名/ドメイン名の変更」がポップアップしてくるので
⑧
⑦
⑧

手順13
⑨再起動を促されるので、「OK」をクリックする。
⑩「システムのプロパティ」に戻ったら「閉じる」をクリックする。
その後再起動を要求されるので、「今すぐ再起動」をクリックする。
⑩
⑨
⑩

手順1４
①再起動が終わったら、左下の「他のユーザー」を選択し、「ユーザー名」に
「Abe」と入力。
⑩「システムのプロパティ」に戻ったら「閉じる」をクリックする。
その後再起動を要求されるので、「今すぐ再起動」をクリックする。
⑩
⑨
⑩

54 【WindowsServer】#３おわり
以上でおわりです。
お疲れさまでした。

Windows server3

Recommended

Recommended

More Related Content

Featured

Featured (20)

Windows server3