Windows Server 2019 Workgroup環境でリモートデスクトップサーバを構築する

Windows Serverで2セッション以上リモートデスクトップ接続を行う場合、リモートデスクトップライセンスを購入し、Windows Serverに機能を追加、リモートデスクトップサーバにする必要があります。これは以前から変わらないですよね。

大規模なリモートデスクトップ環境であれば、機能を分けて、また複数のサーバに機能を分散させるため、ドメイン（Active Directory）環境に構築する必要があります。ただ、サーバ1台で済むような環境であれば、ワークグループ（Workgroup）で構築することも多いです。

ところが、Windows Server 2019からワークグループ環境でリモートデスクトップサービス（RDS）を構成すると、ライセンスのエラーメッセージが表示されます。 

リモートデスクトップ　ライセンスの問題

リモート デスクトップ ライセンスに問題があるため、このセッションは 60 分後に切断されます。システム管理者に問い合わせて、この問題を修正してください。

これ、本当に60分で切断されます。

これを解決するにはもうドメイン環境を構築するしか方法がないのか、と思っていたら、グループポリシーの変更でこの問題を回避することができました。

グループポリシーエディタを開き（ファイル名を指定して実行で「gpedit.msc」と入力すると開きます）、コンピューターの構成＞管理用テンプレート＞Windows コンポーネント＞リモート デスクトップ サービス＞リモート デスクトップ セッション ホスト＞ライセンスの順に展開し、「リモート デスクトップ ライセンス モードの設定」を開いて、設定を有効にし、モードを「接続デバイス数」に変更します。変更後、サーバを再起動すると、変更が反映されます。

実際にやってみましたが、これでエラーメッセージが表示されなくなりました。良かった。

こちらのサイトを参考にさせて頂きました。

ワークグループでRDS

----

本記事は結構アクセス数があるのでもう少し正確な情報を記載すると、ライセンスが「接続デバイス数」であればワークグループでもリモートデスクトップサーバを構築可能なのですが、ライセンスが「接続ユーザー数」の場合はダメなようです。

諦めてドメインコントローラーを準備し、サーバーをActive Directoryに参加させる必要があります。なお、接続元（クライアント側）は参加する必要は有りません。

ImagePathに絶対パス指定でないキーが入っていると、システムバックアップに失敗する

久しぶりの記事がすごいピンポイントな話で恐縮なのですが、最近CA arcserve Backup Disaster Recovery Optionにハマっていました。悪い意味で（笑）

最近Windowsのシステムバックアップというと、イメージバックアップソフト系を使うことが多いです。各製品ともちょっと癖があるものもありますが、基本的にシステムバックアップ、フルバックアップ、という点では昔ながらのDisaster Recovery Optionなどに比べると、かなり扱いやすいと思います。しかし、未だに要件などの諸事情でDisaster Recovery Optionを使うことがあるんですよね。昔から、あまり信用していない製品なんですけど。

今回ハマったのは、Windows Server 2008 R2環境でDisaster Recovery Optionを利用してシステム復元を行った際、OSが起動しない、という現象です。厄介なのが、バックアップ時もリストア時もエラーが一切発生しない、という点ですね。

この手の問題で有名昔私もハマったのが、レジストリのImagePathに/が入っているとエラーは発生しないが、システムファイルがバックアップできていない、という問題です。結局のところ、今回も原因はほぼ同じで、ImagePathに相対パスの指定が入っていることが原因で、一部のシステムファイルが取得できていませんでした。

マイクロソフトの技術文章にImagePathは絶対パスで指定すること、という記載があります。今回の場合、それに違反したため、System VSS Writerが一部のシステムファイルをバックアップ対象と認識せず、バックアップできていなかったようです。マイクロソフト社曰く、絶対パスで指定することが仕様なので、違反しないで下さい、ということらしいです。

この問題はCA arcserve Backupの問題というよりも、System VSS Writer関連の問題なので、System VSS Writerを利用するバックアップソフトであればどれでも発生します。なお、Windows Server Backupでも発生しました。そういった意味では、イメージバックアップソフト系の製品はシステムファイルを含めてブロック単位でバックアップしてしまうので、問題は発生しませんね。（実際発生しませんでした。）
やはり、システムバックアップはイメージバックアップソフトで取得すべきですね。そのほうが楽！

使用可能な通信ポート数を増やそう！WindowsOS

WinodwsOSをプロキシに利用すると、利用ユーザ数が増えたときに通信がうまくいかなくなる場合があります。ネットワークやサーバのハードスペック等々疑ってみるところはいくらでもありますが、Windowsは標準設定で利用できる一時接続用ポートの数が少ない（具体的には1025-5000番）ので、そこに原因があるかもしれません。

レジストリを変更することで、利用可能な一時接続用ポートを増やすことが可能です。
注）レジストリの変更に失敗するとシステムが正常に動作しなくなる可能性があります。自己責任でお願いします。

変更する値は「MaxUserPort」で、これは使用可能なポートの最大値を指定しています。以下の場所にいます。
HKEY_LOCAL_MACHINE¥SYSTEM¥CurrentControlSet
¥Services¥Tcpip¥Parameters

以下の場所にいますと書きましたが、標準だといないので、作りましょう！
初期値は「5000」で、最大値「65534」までで適切な値を設定します。

上記設定を行ったら、もう１つレジストリの設定を行うことをお薦めします。値は「TcpTimedWaitDelay」で、「TIME_WAIT」ステータスの継続時間を設定しています。以下の場所にいます。
HKEY_LOCAL_MACHINE¥System¥CurrectControlSet
¥services¥Tcpip¥Parameters

初期値は「240（秒）」で、トレンドマイクロのお薦めは「60（秒）」のようです。確かにプロキシとして利用しているならそのくらいが良いと思います。

そもそもプロキシにWindowsを使うのが悪いっていう話もあるのですが、そうも言っていられない場合が多いので、こんな設定があるって言うことを覚えておくと良いのではないでしょうか。

＜参考＞
Windows:OSが使用可能な通信ポート数の制限により、通信が困難になる問題　トレンドマイクロ
↑ InterScan VirusWallの話となっていますが、他のプロキシでも同様のことが言えると思います。

8秒で起動できるパソコン

台湾のASUSTeK Computer（ASUS）が８秒ほどでパソコンを起動し、ネットワーク接続やファイル・アクセスといった機能を利用できるようにする新技術を開発したそうです。
ASUS，8秒で起動できる独自OS搭載ノート・パソコンを発表　IT Pro　2008年6月2日

8秒でWindowsなどのOSが起動するわけではなくて、独自OSが8秒で起動することのようです。その裏でWindowsなんかが起動してるんでしょうかね？詳細は6月3-7日に開催される「Computex 2008」で発表とのことです。

マイクロソフト的には、Windows Vistaをスリープモードで普段から使えば、起動（正確には起動ではないが）は結構早いんですよ、ってことなんでしょうが、我々は純粋に起動が早いパソコンを求めているのですよ。

＜参考＞
【特別企画】SSD×2台のRAID 0レビュー　〜今手に入る未来？〜　AKIBA PC Hotline!　 2007年6月23日
↑SSD2台のRAID0構成でWindows XPを動かす話です。起動まで２０秒弱といったところでしょうか。

古いパソコンを再利用 Windows XPをセットアップ！

先日、知人から使っていないというノートパソコンを貰い受けました。最近普段使っているパソコン（Windows XP）の動作が重いので、Linuxに入れ直そうかと思いつつも、やっぱりWindows機がなくなると不便かな、と悩んでいた所だったので、この新しい（といっても古い）ノートパソコンにWindows XPを入れ、今使っているパソコンにCentOSを入れることにしました。ということで、古いパソコンにWindows XPをセットアップした時のメモです。

貰ったパソコンのスペックは以下のとおり。
・CPU：PentiumⅢ700MHz
・メモリ：256MB
・HDD：２０GB

Windows 98、2000 Pro用のマシンですが、メモリを増強してあるのでXPを入れても全く問題ありませんでした。なぜかOSがCPUの周波数を500MHｚと認識する（しかも時々700MHｚと認識する）なぞ現象が見られるのですが、それはまたの機会に調査することとしましょう。

ちなみに、今更ながらですがWindows XPの必要、推奨ハードスペックは以下のとおりです。

■Windows XP必要、推奨ハードスペック
・CPU：Pentium-233MHz以上、300MHｚ以上推奨
・メモリ：64MB以上、128MB以上推奨
・ハードディスク：1.5GB以上の空き
※メモリ96MB以下では一部機能制限

128MBのメモリでは、今は厳しいですよね。まあ、こんな記事もありますが↓。
Windows XPは8MHzのCPUと20MBのメモリで動作可能　GIGAZIN　2007年2月26日

実際のところ、OSを入れただけ100MB弱、ウイルス対策ソフトなどを入れたら、何もアプリを起動しなくても200MB近く使うようになってしまいました。しかし、Windows Vistaが出た今になって考えてみると、Windows XPの必要スペックって低いです。ご参考までにWindows Vistaの必要ハードスペックも書いておきます。

■Windows Vista必要、推奨ハードスペック

・CPU：クロック800MHz以上の32bit／64bitプロセッサ、1GHZ以上推奨
・メモリ：512MB以上、1GB以上推奨
・グラフィックメモリ：128MB
・ハードディスク：15GB以上の空き
※推奨以上のハードスペックがないと機能制限がかかる

今時のパソコンはこのぐらいのスペックを持っているものが多いですが、XPの時と比べると随分必要スペックが高くなったなあ、と思います。

確かに、XPでもOfficeソフトなどを快適に利用したいのであれば最低でも512MB以上のメモリが必要ですし、ゲームや画像、映像の編集などのそれ以上のことをするのであれば更にスペックが必要になります。しかし、ただ純粋にWebブラウザだけ使えれば良いやということであれば、メモリ256MBのWindows XP機で十分でしょう。（ただし、動画サイトなどは結構動作が厳しくなりますが。）

私の周りには結構Windows 2000 Proのファンが多いのですが、個人的にはWindows XPはかなり良いOSではないかと思います。もちろん、初期出荷からかなり時間がたち、今やSP3まで出てかなり安定しているからだとは思うのですけどね。

Windows XPはProfessional Edition、Home Editionとも2014年4月8日まで延長サポートされます。まだまだ現役で頑張ってもらいましょう！

＜参考＞
Windows XPとは何か？　@IT　2001年11月16日
Vistaの地平線　第1回　Windows Vistaとは何か？　@IT　2006年9月15日
Windows XP Home Edition のサポート期間の延長　マイクロソフト

Windows XP SP3が遂に公開

先日Windows XP SP3の公開と、公開が延期になった旨の記事を書きましたが、5月6日より遂にSP3が公開されています。
Windows XP SP3正式版がついに公開、Windows Updateから入手可能　IT Pro　2008年5月7日

自動更新はまだのようですが、Windows Updateから入手可能ですし、スタンドアロン用インストーラも公開されています。
Windows XP Service Pack 3 (SP3)　Microsoft TechNet

ちなみに、公開延期の理由となった「Microsoft Dynamics Retail Management System（RMS）」との互換性の問題については、5月中に修正パッチをリリースするとのことです。
Windows XP SP3の一般向け提供が開始――ただし互換性修正パッチは後日公開へ　COMPUTERWORLD.jp　2008年5月7日
Microsoft，「Windows XP SP3」のWeb公開を復活　IT Pro　2008年5月8日

さてこのSP3ですが、すでにIE7をインストールしていた場合、SP3を適用することによってIE7をアンインストールし、IE6に戻すことができなくなるそうです。さらに厄介なことに、IE8ベータ版に関しても同様の現象が発生するそうで、もうこれって、バグじゃないですか？どちらもアンインストールするためには一度SP3をアンインストールする必要があるそうです。ご注意を！ちなみに、IE6のままのユーザには影響はありません。
「IE7を削除できなくなる」――Windows XP SP3適用上の注意点　IT Pro　2008年5月8日

＜参考＞
Windows XP Service Pack 3のFAQ 【更新版】　IT Pro　2008年5月7日

もうすぐWindows XP SP3が公開 Vista SP1の自動更新開始ももうすぐ

ニュースになってから記事を書こうかとも思ったのですが、忘れないうちに。

先日、マイクロソフトはWindows XPのService Pack 3（SP3）の開発完了を発表し、4月29日（米国時間）からがダウンロード・サイトおよびWindows UpdateからSP3がダウンロード可能になると公表しました。
Windows XP SP3，4月29日からダウンロード可能に　IT Pro　2008年4月22日

もうすぐですね。SP1が2002年8月30日に、SP2が2004年9月17日にそれぞれ公開されていることを考えると、SP3が出るのって結構時間がかかりましたよね。

そして気になるSP3の中身ですが、SP2の時とは異なり大幅な変更はなく、更新プログラムをまとめたもの＋αとなっているようです。＋αの部分でチェックしておくべき部分は以下の4つぐらいでしょうか。

1. ブラック・ホール・ルータの検出機能
2. ネットワーク・アクセス保護(NAP)機能
3. Microsoftカーネルモード暗号化モジュール
4. ライセンス認証方法の変更

それぞれの内容に付いては、参考リンクをご参照ください。ちなみに、これらの機能は全てWindows Vistaが持っているものです。まあ、大きな追加機能ではないと思います。

ちなみにWindows Vista SP1は米国時間3月18日にリリースされ、英語版、フランス語版、ドイツ語版、スペイン語版は4月24日に自動更新による配布が開始されています。日本語版は5月9日からだそうです。
Windows Vista SP1の自動更新による配布、日本国内では5月9日から　INTERNET Watch　2008年4月24日

Windows XP SP3日本語版の自動更新による配布開始が何時から始まるかは分かりませんが、5月中とかでしょうか。Vista　SP1もありますし、システム管理者にとってはGW明けに気の重くなる日々が待っているようです。

頑張れ！

＜参考＞
Windows XP SP3の一般向け提供は4月29日、米MSが製造工程向けリリース開始　INTERNET Watch　2008年4月22日
サポート対象サービス パック #Windows　マイクロソフト
SP3でWindows XPは何が変わる？　ASCII　2008年4月29日
Windows XP Service Pack 3のFAQ　IT Pro　2007年11月13日

【追記】
やっぱりと言っては何ですが、マイクロソフトよりWindows XP SP3の公開延期が発表されました。
米マイクロソフト、Windows XP SP3の公開を延期　IT Pro　2008年4月30日

原因はマイクロソフトが販売しているソフトウエア「Dynamics Retail Management System（RMS）」の互換性に問題が見つかったからだそうです。こういうニュースを聞くと、SP3を当てることによる影響って結構あるのではないかと心配になりますよね。

2008年5月1日

2月のセキュリティリリース（マイクロソフト）

マイクロソフトから2月分のセキュリティアップデートがリリースされました。
2008年2月のセキュリティリリース　日本のセキュリティチームの Blog　2008年2月13日

12 件 (緊急7件、重要5件) の予定でしたが、1 件をキャンセルし、計 11 件 (緊急6件、重要5件)となっています。今回キャンセルされたセキュリティアップデートはExcelの脆弱性で、原因はテスト中に品質の問題が発見されたからだそうです。しかし、この脆弱性を突くコードが既に出回っているようなので、早めに対応して欲しいですね。

今回のセキュリティアップデートに関する情報は、以下のサイトをご参照ください。
2008 年 2 月のセキュリティ情報　Microsoft TechNet
TechNet Webcast: 今月のワンポイント セキュリティ情報　Microsoft TechNet

また、MS08-008はVisual Basic 6.0のランタイムの再配布モジュール (oleaut32.dll)を修正しているそうなので、Visual Basic 6.0で開発されたアプリを利用している方は注意が必要になるかもしれません。

そして、IE7の自動配布が始まりました。IE7が標準（IEの中で）の時代が遂にやってきましたね。

＜参考＞
Microsoftの2月定例アップデートは「緊急」6件など，Vista SP1導入前に必要な修正もWUで　IT Pro　2008年2月13日
MS月例パッチ、Excelの脆弱性には未対処　ITmediaエンタープライズ　2008年2がう13日
2008年2月のセキュリティリリース予定（マイクロソフト）　このブログ
もうすぐＩＥ７の自動更新開始、自動更新防止方法を再確認しよう！ このブログ

2008年2月のセキュリティリリース予定 （マイクロソフト）

2008年2月のセキュリティリリース予定が公開されています。
2008年2月のセキュリティリリース予定　日本のセキュリティチームの Blog　2008年2月8日

今回は緊急7件、重要5件の計12件だそうです。また、セキュリティ以外の更新が7件、さらにIE7の自動配布も行われます。多いですね。ちなみに、今回のリリース日は2月13日です。今回も更新後に再起動が必要そうですね。

＜参考＞
「IE7の自動更新日」には修正パッチが12件、IE7の緊急パッチも公開　IT Pro　2008年2月8日
もうすぐＩＥ７の自動更新開始、自動更新防止方法を再確認しよう！　このブログ

Windows Server 2008完成！

Windows Server 2008 日本語版が完成したそうです。
ついに、 Windows Server 2008完成！　マイクロソフト日本のセキュリティチームの Blog　2008年2月5日

ボリュームライセンスの販売開始は3月1日からのようなので、もうすぐ市場にWindows Server 2008が登場します。出てしばらくは、また「アプリが2008に対応してない～」等々の問題で頭を悩ますことになるでしょうね。

Windows Server 2008はセキュリティ関係も含めて色々な新しい機能がありそうなので、時間があればまとめたいなぁ、と思います。

＜参考＞
Windows Server 2008　ホーム

もうすぐＩＥ７の自動更新開始、自動更新防止方法を再確認しよう！

2月13日からＩＥ７の自動更新が始まります。それに合わせてマイクロソフトがＩＥ７自動更新のＷｅｂサイトを開設しました。
Internet Explorer 7の自動更新インストールのお知らせ

ここで、IE7の自動配布についてのおさらいですが、対象OSはWindows XP SP2、Windows XP Professional X64 Edition、および Windows Server 2003 SP1 となっています。Windows 2000 Proは対象外ですし、Windows Vistaは最初からVista用のIE7です。

もちろん、IE7になってしまうと利用しているアプリなどの関係で困るというユーザもいるでしょうから、IE7をインストールさせないことも出来ます。方法としては、ユーザがインストールをキャンセルする方法と、「自動配布の無効化ツールキット」を利用して一括でインストールしないようにする方法があります。

1.ユーザがインストールをキャンセル
Windowsの自動更新機能はIE7を自動的にダウンロードするので、IE7のダウンロードはバックグラウンドで行われます。そして、ダウンロードが終了すると、お約束の「更新の準備ができました」メッセージが現れます。そして、いつもの画面です。

ここで「キャンセル」を選択すると保留となり、しばらくするとまた「更新の準備ができました」と言い出します。「インストール」を選択すると、ウィザードが開始されます。













ここで「後で確認する」を選択すると保留と言うことになり、しばらくするとまた出てきます。ここで「インストールをしない」を選択すると、2度と出てこないようです。

また、2月13日以降は、「Windows Update」や「Microsoft Update」サイトにアクセスすれば、「優先度の高い更新プログラム」としてIE7が表示されるようですが、「インストールしない」を選ぶと、 Windows Updateなどでも表示されなくなるようです。

2.「自動配布の無効化ツールキット」を利用
「自動配布の無効化ツールキット（IE7 Blocker Toolkit）」を利用すると、IE7のインストールを一括して停止できます。このツールは以下のサイトからダウンロードできます。
自動配布の無効化ツールキット (Blocker Toolkit)

英語版しかないのですが、日本語環境でも問題なく動作するそうです。このツール、一見便利そうなのですが、Active Directoryのグループ ポリシーを使って配信するとあったので、Active Directoryを利用していない企業はどうしろと言うのか！と思ったのですが、実はこのツール、以下のレジストリを設定するだけのようです。
レジストリ キー: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Setup\7.0
キー値の名前: DoNotAllowIE70
キー値の名前が 1 に設定されている場合、自動配布はブロックされるそうです。

また、コマンドラインでも利用できるようです。（コンピュータ名を指定しないとローカルが対象）
------------------------------------------------------------
使用方法:
IE70Blocker.cmd [<コンピュータ名>] [/B] [/U] [/H]
B = Internet Explorer 7 展開のブロック
U = Internet Explorer 7 展開の許可
H = ヘルプ

例:
IE70Blocker.cmd mymachine /B (コンピュータ "mymachine" への配布がブロックされる)
IE70Blocker.cmd /U (ローカル コンピュータへの配布ブロックが解除される)
------------------------------------------------------------

これだけ分かっていれば、資産管理ソフトを利用するなり、バッチを作ってユーザに実行してもらうなり出来そうですね。

ここまで色々と書いてきましたが、WSUSなどを導入しているのであれば、そちらで管理する方がもちろん簡単です。

まあ、うっかりIE7をインストールしてしまっても、「プログラムの追加と削除」からIE7を消せばIE6に戻るようですから、何とかなりますよ、管理台数が多いと大変かもしれませんけど。うーん、頑張りましょう！

＜参考＞
「強制的にはインストールされない」――徹底解説「IE7の自動更新」　IT Pro　2008年2月4日
マイクロソフトがIE7自動更新開始へ，更新防止ツールの利用には注意点　IT Pro　2008年2月4日
Internet Explorer 7 の自動更新による配布　マイクロソフト
IE7の自動配布は2008年2月13日から　このブログ

【追記】
以下のサイトにIE7の自動アップデートに関する注意事項がまとめられています。ご参考まで。
IE7自動アップデートに関する注意事項　まっちゃ１３９Hiki

2008年2月6日

リモートデスクトップ接続のポート番号を変更する

リモートデスクトップ接続が利用するデフォルトのポート番号は3389番ですが、レジストリを変更することによってポート番号を変えることができます。変更するキーは以下の通り。（ちなみに、Windows Server 2003 R2でテストしました。）

HKEY_LOCAL_MACHINE 中の \SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp キー
名前：PortNumber
種類：DWORD
データ：3389（10進数）

サーバ側のポート番号を変更した場合は、クライアントも変更後のポート番号を指定して接続する必要があります。リモートデスクトップ接続での接続先コンピュータの指定が変更前は「192.168.0.100」だった場合、変更後は「192.168.0.100:4000」と指定します（ポート番号を4000に変更した場合）。ブラウザと一緒ですね！

さて、ここからが本題で、リモートデスクトップWeb接続の場合、以下のように設定を変えます。

default.htm（%systemroot%\Web\Tswebにいます）を開き、MsRdpClient.AdvancedSettings2で始まるエントリの後に、以下のエントリを追加する。

MsRdpClient.AdvancedSettings2.RDPPort = ポート番号

【Point】
リモートデスクトップWeb接続では、画面はHTTP（80番など）で開くことができます。ただし、実際の通信は3389番（デフォルト）で行います。リモートデスクトップ接続の利用ポート番号を変更したい場合は、サーバのレジストリと、Web接続の設定両方を変更する必要があります。

あまりポート番号を変更して利用するものではないとは思いますが、ご参考までに。

＜参考＞
ターミナル・サービス／リモート・デスクトップ接続のポート番号を変更する　@IT　2003年9月27日
リモートデスクトップWeb接続の注意点　へっぽこエンジニアの外部記憶装置　2006年2月8日

MSセキュリティのこの10年

CNETの記事ですが、ここ10年の情報セキュリティに対する開発者たちの考え方の変化が分かります。マイクロソフト製品は脆弱性について未だに色々と言われますが、かなり良くやっていると思います。ただ、ここまでシェアを持っていて、社会基盤の一角を担っている製品のベンダーとしては良くやっているで満足されては困りますが・・・。

MSセキュリティのこの10年：手痛い教訓をバネに　CNET Japan 2007年12月12日

IE7の自動配布は2008年2月13日から

日本語向けのIE7の自動配布は2008年2月13日からに決定したようです。ブロックすることもできるようですが、ツールを入れる必要があるので、面倒ですね。しかし、IE7に対応していないWebアプリなどを利用している場合は、対応が必要でしょう。

参考URLを見るとわかるのですが、日本語向けの自動配布開始が一番最後で、英語の2006年11月1日開始から1年以上、韓国語、簡体字中国語、繁体字中国語、ヘブライ語の2007年11月14日からも3ヶ月遅くなっています。これはマイクロソフトが日本の企業の意見を尊重したと喜ぶべきなのか、それとも日本のSIer、ベンダーの新プラットフォームへの対応が世界で一番遅いと恥じるべきなのか・・・、まあ両方でしょうか。

IE7対応もひと段落ついたと思っていましたが、早くもIE8 の話題がニュースになっています。サイクルが早いですね。

＜参考＞
Internet Explorer 7 の自動更新による配布　マイクロソフト
IE8のベータ版は2008年前半に登場、標準準拠と互換性確保に注力　ITPro 2007年12月20日