Windows Server 2008 R2 での AD DS ベストプラクティスアナライザーのルールの更新

AD DS ベストプラクティスアナライザー

AD DS ベストプラクティスアナライザーを使用すると、ドメインの構成に関するベストプラクティスを実装することができます。 Windows Server 2008 R2 を実行しているドメインコントローラーに AD DS ベストプラクティスアナライザーをインストールすると、ベストプラクティスアナライザーによって AD DS サーバーの役割がスキャンされ、ベストプラクティスの違反が報告されます。 必要のない AD DS ベストプラクティスアナライザーレポートの結果をフィルター処理したり、除外したりすることができます。 また、サーバーマネージャーのグラフィカルユーザーインターフェイス (GUI) を使用するか、Windows PowerShell コマンドラインインターフェイスのコマンドレットを使用して、AD DS ベストプラクティスアナライザーのタスクを実行することもできます。

この更新プログラムによって変更されるルール

この更新プログラムでは、AD DS ベストプラクティスアナライザーの次のルールが追加または更新されます。

1. ユーザーアカウントと信頼は、"DES のみ" の暗号化用に構成しないでください。

2. [ネットワークからこのコンピューターへのアクセス] ユーザー権利の割り当ては、すべてのドメインコントローラー上の次のセキュリティグループに付与する必要があります。

   • 認証済みユーザー

   • 組み込みの管理者

   • エンタープライズドメインコントローラー

   [ネットワークからこのコンピューターへのアクセスを拒否する] ユーザー権利の割り当ては、すべてのドメインコントローラー上の次のセキュリティグループに付与することはできません。

   • すべて

   • 認証済みユーザー

   • 組み込みの管理者

   • エンタープライズドメインコントローラー

3. 一部のコンピューターオブジェクトが、ビルトインドメインコントローラーの組織単位に含まれていない場合でも、既定のドメインコントローラーのポリシーグループポリシーオブジェクト (GPO) がすべてのドメインコントローラーのコンピューターオブジェクトにリンクされていることを確認します。

4. インフラストラクチャマスターの役割とグローバルカタログ (GC) の役割は、同じサーバー上では有効にしないようにしてください。 ただし、次のいずれかの条件に該当する場合は、これらの役割を同じサーバーで有効にすることができます。

   • フォレストには1つのドメインコントローラーしか存在しません。

   • フォレスト内のすべてのドメインコントローラーはグローバルカタログサーバーです。

5. ドメイン内のすべての外部信頼オブジェクトには、SID フィルタリング機能が有効になっている必要があります。SID のフィルター処理の詳細については、次の Microsoft Web サイトを参照してください。

   SID のフィルター処理に関する一般的な情報

既存のルールで修正された問題

次のルールが間違って MaxPosPhaseCorrection エントリに適用されています。

• ドメインコントローラーのMaxNegPhaseCorrectionエントリの値は、48時間に等しくなければなりません。

この更新プログラムを適用する前に、レジストリパスが誤って次の場所に設定されています。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\MaxPosPhaseCorrectionこの更新プログラムを適用すると、レジストリパスが次の場所に修正されます。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\MaxNegPhaseCorrection

更新プログラムの情報