PDF

Windows 監視設定

Windows 監視でよくある質問をまとめています。

NetCrunch は追加エージェントをインストールすることなく、Microsoft Windows を監視することができます。しかしながら、セキュリティルールが厳格なため、初期設定のみでリモート監視ができるかは、ユーザーのWindows 環境に依存します。

監視サーバー

NetCrunch サーバーはWindows Server 2016以降にインストールすることができます。ユーザーがActive Directory 環境でほとんどのサーバーを管理している場合、Active Directoryドメインに参加したマシンにNetCrunchをインストールすることを推奨します。この方法がより早く設定する方法となります。

監視対象システム

サーバー

サーバーでは一般的にファイアウォールが有効なため、リモート管理がブロックされています。まずこの項目を変更する必要があります。最も容易な方法は、Active Directory グループポリシーで管理する方法です。その他の方法を採用する場合、ユーザーはAdRem Software社が用意するスクリプトを使用して、個々のサーバーを設定する必要があります。

Webサイトからダウンロード: www.adremsoft.com/download/SetWinForNC.zip

ワークステーション

ユーザーが対象のワークステーションをActive Directoryで管理している場合、サーバーと同様に監視設定する必要があります（Active Directory グループポリシーの編集、もしくはスクリプトの実行）。

ワークグループに所属しているワークステーションを監視する場合、手動設定が必要となります。 ビルトインAdministratorアカウントを使用するか、新しいアカウントを作成して、この監視アカウントに必要な権限を手動で直接割り当てるかを選択できます。

設定方法の概要

  1. アクセス権限の設定
    NetCrunchはユーザーアカウントにDCOM、WMI (root\cimV2) と (Read Access) 、レジストリキー (HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Perflib)
    へのアクセス権限が必要となります。ユーザーはローカルAdministrators グループへ使用するユーザーを追加することでこの権現を割り当てることが可能です。
  2. ファイアウォールの設定
    ファイアウォールルールとして、RPC、パフォーマンスモニタ、名前付きパイプ、WMIのトラフィックを許可しなければなりません。
  3. PerfMon 監視の有効化
    Remote Registry サービスはスタートアップの種類を自動として、実行中でなければなりません。

Active Directory ドメインでの設定方法

この手順は管理ツールのグループポリシー管理とActive Directoryのユーザー、コンピュータの知識が必要となります。

もしユーザーがActive Directoryを用いて、ほとんどのサーバーを管理している場合、最も良い方法は、Active Directoryドメインに参加しているサーバー上に、NetCrunchをインストールして、監視専用のアカウントを作成することです。この場合、NetCrunchのインストールを中断して、まずActive Directoryの設定をしなければなりません。設定の変更が全てのサーバーに反映された後、NetCrunchをインストールしてください。設定の反映には約2時間程度、必要になります。

この方法で、NetCrunchはActive Directoryに参加している全てのサーバーの検出と監視設定が自動的に行われます。他のドメインやワークグループのサーバーについては、独立して設定が必要になります。(設定方法は、独立したWindows サーバーの設定の項を参照ください。)

アクセス権限の設定方法

STEP 1 - 監視専用ユーザーの作成

NetCrunch サーバーで使用する監視専用ユーザーをActive Directoryユーザーアカウント(例えば、nc-mon-user)として作成します。NetCrunchのインストール中、このユーザー認証情報を求められることがあります。

STEP 2 - ユーザーの権限を設定

NetCrunch サーバーがインストールされているサーバーを含む全ての監視対象Windows マシンで監視するためには、ユーザーアカウントは管理者権限が必要となります。設定方法としては、ユーザーが利用しているActive Directory 構成に依存して、2種類の方法があります:

監視対象の全てのマシンが単一のドメインに参加している場合

Active Directoryグループ (例: Monitoring Usersなど)を作成し、先ほど作成したアカウント (nc-mon-userなど) を追加します。次に、グループポリシーの「制限されたグループ」を使用して、そのグループを各監視対象のローカルAdministratorsグループに追加します。

監視対象のマシンが一部のサブセットであるか、複数のドメインがある場合

各監視対象のWindows マシン上でローカルAdministratorsグループを変更するために、グループポリシーを使用します。

a) Monitoring Users という名前のActive Directory グループを作成します。そこに作成したユーザーアカウント(nc-mon-user)を追加します。

グローバルグループはフォレストのいくつかのドメインのリソースへの許可を設定するために利用するため、ドメインフォレスト、デフォルトActive Directoryスコープ(グローバル)はこのグループに対して、十分な権限が必要です。

b) グループポリシーオブジェクト(GPO)を新しく作成して、名前を付けます。例えば、Windows services for monitoring by NetCrunchです。

c) Monitoring Users グループメンバーシップのルール作成

手順: コンピュータの構成 ポリシー Windows の設定 セキュリティの設定 制限されたグループ ローカルAdministratorsグループへMonitoring Usersを追加します。

d) Active Directory ドメイン上の組織ユニット(OU)へ適用するために、Windows services for monitoring by NetCrunch GPOにリンクします。

ファイアウォールの設定方法

  1. 新しいグループポリシーオブジェクトを作成して、名前を付けます。例えば、Windows Firewall rules for monitoring by NetCrunch。 Windows Server 2016 以降の場合 手順: コンピュータの構成 ポリシー Windows の設定 セキュリティの設定 セキュリティが強化された Windows Defenderファイアウォール 受信の規則に事前定義された規則から以下の規則を追加:
    • ファイルとプリンターの共有
    • Windows Management Instrumentation (WMI受信)
    • リモートイベントログ管理
    • パフォーマンスログとアラート
  2. Active Directory ドメイン上の組織ユニット(OU)へ適用するために、Windows Firewall rules for monitoring by NetCrunch GPOにリンクします。
    セキュリティを強化する方法として、NetCrunchサーバーのアドレスのみ、リモート管理ルールの許可アドレスに指定することを推奨します。

パフォーマンスカウンタ監視の有効化

  1. 新しいグループポリシーオブジェクトを作成して、名前を付けます。例えば、Windows services for monitoring by NetCrunchです。
  2. Remote Registry サービスを設定します。
    手順: コンピュータの構成 ポリシー Windows の設定 セキュリティの設定 システム サービス Remote Registry サービスのスタートアップの種類を 自動 に設定します。
  3. Active Directory ドメイン上の組織ユニット(OU)へ適用するために、Windows services for monitoring by NetCrunch GPOにリンクします。
    ポリシーを更新した直後に、サービスは全てのコンピュータ上で即座に、スタートします。

デフォルトでは、Windows 標準のファイアウォールは送信トラフィックをブロックしません。もしデフォルトから変更を加えている場合、送信の規則 の事前定義済みリストから同名のルールを追加する必要があります。

独立したWindowsサーバーの設定

アクセス権限の設定

以下のコマンドをコマンドプロンプトで実行して、nc-mon-user アカウントを作成して、ローカルAdministratorsグループに追加します。

net user /add nc-mon-user <Password>
net localgroup Administrators /add nc-mon-user

ファイアウォールの設定

Windows Server 2016 以降の場合

NetCrunchサーバーのIPアドレスにのみ有効なルールを作成することができます。

コマンドプロンプトでコマンドを実行する場合、%IP%はNetCrunchサーバーのIPアドレスを入力します。

New-NetFirewallRule -DisplayName "NC-Mon-In" -Direction Inbound -RemoteAddress %IP% -Action Allow -Protocol TCP New-NetFirewallRule -DisplayName "NC-Mon-Out" -Direction Outbound -RemoteAddress %IP% -Action Allow -Protocol TCP

Perfmon 監視の有効化

Remote Registry サービスのスタートアップの種類を自動に設定して、サービスを起動します。

Set-Service -Name RemoteRegistry -StartupType Automatic Start-Service RemoteRegistry

UAC リモート制御を無効化

Windows Server 2008 R2 以降の場合 http://support.microsoft.com/kb/951016

この手順は最新のシステムでは必要なくなりました。

Webサイトから設定スクリプトのダウンロード:

www.adremsoft.com/download/SetWinForNC.zip

NetCrunchが使用しているテクノロジのサマリ

Windows テクノロジーは多層構造を持っています。例えば、RPCは名前付きパイプの上で動作しており、Remote RegistryはRPCを必要としていて、WMIもまた、通信のためにRPCを使用しているDCOMを使用しています。すべての機能が適切なファイアウォールとセキュリティ設定を必要とします。NetCrunchで使用されるテクノロジーと必要な設定のリストを以下に記載します。

  1. RPC と 名前付きパイプ - ファイル共有の有効化とファイアウォール設定が必要です。
  2. Remote Registry - ファイアウォール設定とRemote Registry サービスの実行が必要です。
  3. WMI と DCOM - ファイアウォール設定、DCOMとWMIのセキュリティ設定が必要です。

本項に記載した通り、監視で使用するユーザーがローカルAdministrators グループのメンバーである場合は、最も簡単な設定となります。

監視のために最も単純に設定する方法は、必ずしも安全ではありません。もしセキュリティの懸念点がある場合、アカウントを監視に必要な権限のみ割り当てることができます。サポートが必要な場合は、Microsoft サポートにお問い合わせください。

他のNetCrunchユーザーがWindows監視をどのように変更したかの例については、サポートにお問い合わせください。

access rightsactive directoryfirewallmonitoringperfmonsetupwindowsworkstations