Active Directoryはそのまま使えるか？

Windows Vistaの互換性問題、その現状と対策

Windows Vistaは大部分、既存のActive Directoryネットワークに統合できる設計になっているが、IT管理者が知っておくべき問題が幾つかある。

[Laura E. Hunter，TechTarget]

　Windows Vistaの導入を検討しているIT管理者にとって、恐らく最も重要なのは互換性の問題だろう。Windows Vistaは社内環境でどの程度互換性があるのか。既存のインフラにVistaをシームレスに導入できるのか、それともVistaクライアントを会社のネットワークに加えるには、Active Directoryなどのネットワークコンポーネントを大幅に修正する必要があるのか。

　幸いなことに、Windows Vistaは大部分、既存のActive Directoryネットワークに統合できる設計になっている。Windows Server 2008のリリースまで待たなくても、Vistaを導入することは全般的には可能だ。しかし、IT管理者が知っておくべき問題が幾つかある。

Windows Server 2003用の管理ツール

　現時点で、MSIインストーラ「adminpak.msi」のVista対応版は存在しない。adminpak.msiではActive Directoryユーザーとコンピュータ、ADドメインとトラスト、ADサイトとサービスといったMMCスナップインをインストールできる。しかしこれらのツールはデフォルトではWindows Vistaで機能しない。スタートメニューにショートカットが表示されず、スナップインを手動でロードしようとするとエラーが出る。新バージョンが出るまでの間、2003 Active DirectoryネットワークをVistaクライアントから管理するには、adminpakツールに関連したDLLを手動で登録するしか方法がない。このプロセスは手間が掛かるが、「Windows Vista-basedコンピュータにWindows Server 2003管理ツールをインストールすると、インストールエラーと互換性問題が発生します。」というMicrosoftのサポート技術情報で詳しく解説されている。

Microsoft Exchange用の管理ツール

　さらに悪いことに、Exchange Server 2003およびExchange Server 2007用の管理ツールでさえも、今のところMicrosoftのVistaクライアントではサポートされていない。例えばExchange環境を管理している場合、2003と2007向けのVista対応バージョンが登場するまでは、Exchangeの管理ツールを実行するためにWindows XPワークステーションを維持する必要がある。

管理者がドライブを割り当てられない？

　ユーザーのネットワークドライブを割り当てるログインスクリプトを使っている場合、Windows XPクライアントは普通に機能しているのに、Vistaクライアントが適切なドライブ割り当てを受け入れない状況に陥るかもしれない。この現象は、エンドユーザーが管理者としてローカルのワークステーションを実行している場合に起きる。

　ユーザーの管理者権限を削除すれば、ログインスクリプトはうまく機能するようになる。この現象が起きるのは、Windows Vistaに新しく実装された最低権限モデルが原因だ。この権限モデルは、ユーザーアカウント制御（UAC）にも使われている。解決策として、MicrosoftのWebサイトから「launchapp.wsf」を入手して利用すれば、自分のログインスクリプトを立ち上げることができる。

　幸いなことに、実際には自分の既存のスクリプトを変更する必要はない。「login.vbs」という既存のスクリプトを持っている場合、「wrapper script」を作成し、WMIを使ってターゲットのワークステーションがVistaを実行しているかどうかをチェックし、その後「cscript launchapp.wsf login.vbs」を実行すればいい（解決策としては、ワークステーションをローカル管理者権限で実行しているユーザーの数を絞る方がいい。その方がユーザーベース全体ではるかにセキュアな環境を作り出すことができる）。

Vistaネットワークセキュリティ

　Vistaのセキュリティ強化の一環として、802.1x接続をグループポリシー経由で管理できるようになった。しかしこうしたセキュリティ設定を有効にするためには、Active Directoryを変更する必要がある。これを済ませたら、自分の領域に加わったWindows Vistaコンピュータから必要なグループポリシーオブジェクトの作成と変更を行う。正しいLDIFDEファイルの作り方は、TechNetのWebサイトで参照できる。

デバイス／アプリケーションの互換性

　デスクトップPCの大量導入を計画する場合、常にこの問題が付きまとう。Windows VistaはデスクトップOSの大幅なアップグレードであり、既存のハードウェアとデスクトップアプリケーションが引き続き機能するかどうかを確認する必要がある。特に、Microsoft Officeやウイルス対策／セキュリティソフトを含め、市販のソフトパッケージの古いバージョンは、最新版にアップグレードしないとVistaでは機能しない可能性がある。同様に、プリンタ、スキャナ、USBデバイスといった周辺機器は正確な一覧を作成し、Vista対応ドライバが提供されていることを確認しよう。

　Windows Vistaは、Microsoftが数年ぶりにリリースした新しいクライアント用OSであり、大規模なアップグレード計画は手間が掛かるかもしれない。幸い、大部分で Vistaは既存のActive Directory環境に統合することが可能だ。インテグレーションのプロセスは、特にIT管理者の立場からは目には見えないものではないが、慎重に計画することで、ユーザー全体に及ぼす目に見える効果を最低限に抑えることができる。

本稿筆者のローラ・E・ハンター氏（CISSP、セキュリティ部門MCSE、MCDBA、Microsoft MVP）は、大手技術人材派遣会社のActive Directoryアーキテクトとして、エンタープライズネットワーク全体を通じて事業部向けにActive Directoryプランニング、実装、トラブルシューティングサービスを提供している。Windowsサーバネットワーキングの分野でMicrosoft MVPを4回にわたって受賞した経歴を持つ。著書に「Active Directory Field Guide」（Apress Publishing）、共著書に「Active Directory Cookbook, Second Edition」（O'Reilly）がある。