Azure Monitor SCOM マネージド インスタンスのコンピューター グループとグループ管理されたサービス アカウントを作成する

この記事では、オンプレミスの Active Directory でグループ管理されたサービス アカウント (gMSA) アカウント、コンピューター グループ、ドメイン ユーザー アカウントを作成する方法について説明します。

Active Directory の前提条件

Active Directory 操作を実行するには、 RSAT: Active Directory Domain Services と Lightweight Directory Tools 機能をインストールします。 次に、Active Directory ユーザーとコンピューター ツールをインストールします。 このツールは、ドメイン接続のあるマシンにインストールできます。 すべての Active Directory 操作を実行するには、管理者アクセス許可を使用してこのツールにログインする必要があります。

Active Directory でドメイン アカウントを構成する

Active Directory インスタンスにドメイン アカウントを作成します。 ドメイン アカウントは、一般的な Active Directory アカウントです。 (管理者以外のアカウントを指定できます)。このアカウントを使用して、System Center Operations Manager Management サーバーを既存のドメインに追加します。

このアカウントに、他のサーバーをドメインに参加させるアクセス許可があることを確認します。 既存のドメイン アカウントにこれらのアクセス許可がある場合は、それを使用できます。

後の手順で構成されたドメイン アカウントを使用して、SCOM マネージド インスタンスのインスタンスとその後の手順を作成します。

コンピューター グループを作成して構成する

Active Directory インスタンスにコンピューター グループを作成します。 詳細については、「Create a Group in Active Directory (Active Directory でのグループの作成)」をご覧ください。 グループのすべてのメンバーが gMSA 資格情報を取得できるように、作成するすべての Management サーバーがこのグループの一部になります。 (これらの資格情報は、後の手順で作成します)。グループ名にはスペースを含めることはできません。また、アルファベットのみを使用する必要があります。

このコンピューター グループを管理するには、作成したドメイン アカウントにアクセス許可を付与します。

1. グループのプロパティを選択し、[管理基準 (Managed By)] を選択します。

2. [名前] には、ドメイン アカウントの名前を入力します。

3. [マネージャーがメンバーシップ リストを更新できる] チェックボックスをオンにします。

   

gMSA アカウントを作成して構成する

管理サーバー サービスを実行し、サービスを認証するための gMSA を作成します。 PowerShell コマンドを使用して、gMSA サービス アカウントを作成します。 DNS ホスト名を使用して静的 IP を構成し、手順 8 と同じ DNS 名静的 IP に関連付けることもできます。

New-ADServiceAccount ContosogMSA -DNSHostName "ContosoLB.aquiladom.com" -PrincipalsAllowedToRetrieveManagedPassword "ContosoServerGroup" -KerberosEncryptionType AES128, AES256 -ServicePrincipalNames MSOMHSvc/ContosoLB.aquiladom.com, MSOMHSvc/ContosoLB, MSOMSdkSvc/ContosoLB.aquiladom.com, MSOMSdkSvc/ContosoLB 

そのコマンドについて説明します。

• ContosogMSA は gMSA 名です。
• ContosoLB.aquiladom.com は、ロード バランサーの DNS 名です。 同じ DNS 名を使用して静的 IP を作成し、手順 8 と同じ DNS 名静的 IP に関連付けます。
• ContosoServerGroup は、Active Directory で作成された (前に指定された) コンピューター グループです。
• MSOMHSvc/ContosoLB.aquiladom.com、SMSOMHSvc/ContosoLB、MSOMSdkSvc/ContosoLB.aquiladom.com、MSOMSdkSvc/ContosoLB はサービス プリンシパル名です。

ルート キーが有効でない場合は、次のコマンドを使用します:

Add-KdsRootKey -EffectiveTime ((get-date).addhours(-10)) 

作成した gMSA アカウントがローカル管理者アカウントであることを確認します。 Active Directory レベルのローカル管理者にグループ ポリシー オブジェクト ポリシーがある場合は、ローカル管理者として gMSA アカウントを持っていることを確認します。

次のステップ

Azure Key Vault にドメイン資格情報を格納する