Configuration Manager の通信の計画

Configuration Manager のファイルベースのレプリケーションは、ファイルに入っているデータを階層内のサイト間で転送する方法です。 このデータには、子サイトの配布ポイントに展開するアプリケーションやパッケージのコンテンツや、親サイトで処理するために転送する未処理の探索データ レコードなどがあります。

サイト間のファイルベースの通信では、TCP/IP ポート 445 経由で Server Message Block (SMB) プロトコルを使用します。 ネットワークで転送されるデータの量を制御する帯域幅調整とパルス モード、およびネットワークにデータを送信するスケジュールを構成することができます。

Configuration Manager SP1 以降、データベース レプリケーションと一貫性を持たせるために、アドレスはファイル レプリケーション ルートという名称に変更されました。 SP1 より前の Configuration Manager では、ファイルベースのデータを転送する場合、アドレスを使用して、送信先サイト サーバーの SMS_SITE 共有に接続します。 ファイル レプリケーション ルートとアドレスは同じように動作し、同じ構成をサポートします。

以下のセクションは、サービス パック 1 で導入された変更向けに記述され、アドレスではなく、ファイル レプリケーション ルートを参照しています。 サービス パックが適用されていない Configuration Manager を使用する場合、次の表の情報を使用して、ファイル レプリケーション ルートの用語を、関連するアドレスの用語に変換してください。

Configuration Manager のデータベースのレプリケーションとは、サイトのデータベースに加えられた変更を階層の他のサイトのデータベースに保存されている情報に結合するために、SQL サーバーを使ってデータを転送するプロセスのことです。 レプリケーションによって、すべてのサイトで同じ情報を共有できるようになります。 データベースのレプリケーションは、すべての Configuration Manager サイトによって自動的に構成されます。 階層にサイトをインストールすると、新しいサイトとその指定された親サイト間で、データベース レプリケーションが自動的に構成されます。 サイトのインストールが終了すると、データベースのレプリケーションが自動的に開始されます。

新しいサイトを階層にインストールすると、Configuration Manager では新しいサイトで汎用データベースが作成されます。 次に、親サイトがデータベース内の関連するデータのスナップショットを作成し、ファイルベースのレプリケーションを使用して、新しいサイトにそのスナップショットを転送します。 次に、新しいサイトが SQL Server の一括コピー プログラム (BCP) を使用して、情報を Configuration Manager データベースのローカル コピーに読み込みます。 スナップショットが読み込まれると、各サイトが他のサイトとのデータべース レプリケーションを開始します。

サイト間でデータをレプリケートするために、Configuration Manager は、データベース レプリケーション サービスを使用します。 データベース レプリケーション サービスは、SQL Server の変更履歴を使用してローカル サイト データベースの変更を監視し、SQL Server Service Broker を使用してこれらの変更を他のサイトにレプリケートします。 既定では、このプロセスで TCP/IP ポート 4022 を使用します。

Configuration Manager は、データベース レプリケーションによってレプリケートするデータを、複数のレプリケーション グループにグループ化します。 各レプリケーション グループには、個別の、固定されたレプリケーションのスケジュールがあり、このスケジュールによって、グループ内のデータに対する変更を別のサイトにレプリケートする頻度が決定されます。 たとえば、役割に基づいた管理権限の構成が変わった場合は、その変更が迅速に反映されるように、他のサイトにすばやくレプリケートされます。 これに対して、構成を緊急に変更する必要がない場合 (新しいセカンダリ サイトのインストールを要求した場合など) は、直ちにレプリケートされず、新しいサイトの要求が目的のプライマリ サイトに達するまでに数分かかります。

Configuration Manager は、データベースのレプリケーションによってレプリケートするデータを、グローバル データとサイト データに分類します。 データベース レプリケーションが行われると、グローバル データとサイト データへの変更は、データベース レプリケーション リンク全体に転送されます。 グローバル データは親サイトまたは子サイトの両方にレプリケートでき、サイト データは親サイトにのみレプリケートされます。 一方、他のサイトにレプリケートしないデータのことをローカル データといいます。 ローカル データには、他のサイトで必要としない情報が含まれています。

• グローバル データ: グローバル データとは、階層のすべてのサイトにレプリケートされる、管理者が作成したオブジェクトのことです。ただし、セカンダリ サイトは、グローバル プロキシ データという、グローバル データのサブセットだけを受信します。 グローバル データの例としては、ソフトウェアの展開、ソフトウェア更新プログラム、コレクション定義、役割に基づいた管理のセキュリティ スコープがあります。 管理者は、中央管理サイトとプライマリ サイトでグローバル データを作成できます。

• サイト データ: サイト データとは、Configuration Manager のプライマリ サイトと、プライマリ サイトに接続するクライアントが生成する運用情報を指します。 サイト データは、中央管理サイトにレプリケートされますが、他のプライマリ サイトにはレプリケートされません。 サイト データの例としては、ハードウェア インベントリ データ、ステータス メッセージ、アラート、クエリによって生成されるコレクションがあります。 サイト データは、中央管理サイトと、データの作成元のプライマリ サイトだけで見ることができます。 サイト データは、その作成元のプライマリ サイトでのみ変更できます。

  すべてのサイト データが中央管理サイトにレプリケートされます。したがって、中央管理サイトが、階層全体の管理とレポート作成を行える場所になります。

Configuration Manager SP1 以降で利用可能な制御を使用して、サイト間のデータベース レプリケーション リンクを構成し、各サイト データベースの制御を構成する詳細については、以下のセクションの情報をご覧ください。 これらの制御は、データベース レプリケーションで生成されるネットワーク トラフィックの制御と監視に役立ちます。

クライアントはサイト システムの役割、Active Directory ドメイン サービス、およびオンライン サービスへの通信を開始します。 これらの通信を有効にするには、ファイアウォールがクライアントと通信のエンドポイント間のネットワーク トラフィックを許可する必要があります。 エンドポイントは次のとおりです。

• 管理ポイント。クライアントはここからクライアント ポリシーをダウンロードします

• 配布ポイント。クライアントはここからコンテンツをダウンロードします。

• ソフトウェアの更新ポイント

• 次の追加のサイト システムの役割 (機能に固有のタスクごと):

  • アプリケーション カタログ Web サイト ポイント

  • Configuration Manager ポリシー モジュール (NDES)

  • フォールバック ステータス ポイント

  • 状態移行ポイント

  • システム正常性検証ツール ポイント

• さまざまなドメイン サービス。Active Directory ドメイン サービスおよび DNS (サービスの場所として) など。

• Microsoft Update。マルウェア対策保護を維持します。

• クラウドベースのリソース。Microsoft Update、または Microsoft Azure および Microsoft Intune など (Configuration Manager でこれらのクラウドベース サービスを使用する場合)。

これらのエンドポイントへの通信時に、クライアントで使用されるポートとプロトコルの詳細については、「Configuration Manager で使用されるポートのテクニカル リファレンス」をご覧ください。

クライアントは、サイト システムの役割と通信する前に、サービスの場所を使用して、クライアントのプロトコル (HTTP または HTTPS) をサポートするサイト システムの役割を検索します。 既定では、クライアントは次のように使用可能な最も安全な方法を使用します。

• HTTPS を使用するには、公開キー基盤 (PKI) を導入し、クライアントとサーバーに PKI 証明書をインストールする必要があります。 証明書の使用方法については、「Configuration Manager での PKI 証明書の要件」をご覧ください。

• インターネット インフォメーション サービス (IIS) を使用し、クライアントからの通信をサポートするサイト システムの役割を展開する場合は、そのサイト システムにクライアントが接続するときに HTTP と HTTPS のどちらを使用するかを指定する必要があります HTTP を使用する場合は、署名と暗号化のオプションについても検討してください。 詳細については、「署名と暗号化の計画」をご覧ください。

次のサイト システムの役割とサービスではクライアントからの HTTPS 通信をサポートします。

• アプリケーション カタログ Web サイト ポイント

• Configuration Manager ポリシー モジュール

• 配布ポイント (クラウドベースの配布ポイントでは HTTPS が必要)

• 管理ポイント

• ソフトウェアの更新ポイント

• 状態移行ポイント

上記の情報に加え、信頼されていない場所でクライアントを計画する場合は、インターネットや信頼されていないフォレストからのクライアント通信に関する考慮事項をご覧ください。

クライアントは、最初にインストールされ、サイトに割り当てられたときに割り当てられたサイトの既定の管理ポイントを特定します。 クライアントがそのサイトの既定の管理ポイントを見つけると、その管理ポイントがクライアントの割り当てられた管理ポイントになります。 この割り当てはクライアントによって特定されます。

• System Center 2012 R2 Configuration Manager の累積更新プログラム 3 以降では、管理ポイントのアフィニティを使用して、1 つ以上の特定の管理ポイントを使用するようにクライアントを構成できます。

• System Center 2012 Configuration Manager SP2 以降、優先管理ポイントを使用できます。 優先管理ポイントは、配布ポイントや状態移行ポイントを境界グループに関連付けるのと同じような方法で、境界グループにサイト システム サーバーとして関連付けられた管理ポイントです。 階層の優先管理ポイントを有効にすると、クライアントは、割り当て済みサイトの管理ポイントを使用するときに、割り当て済みサイトの他の管理ポイントを使用する前に優先管理ポイントを使用しようとします。

クライアントに管理ポイントが割り当てられた後、クライアントは、サイトの既定の管理ポイントの変更に備えて、定期的にサイトの既定の管理ポイントのサービスの場所の要求を行います。

クライアントは、使用する管理ポイントの識別が必要になるたびに、WMI にローカルに格納する既知の管理ポイントのリスト (管理パック リストともいう) を確認します。 クライアントはインストール時に最初の管理パック リストを作成してから、階層内の各管理ポイントの詳細で定期的にリストを更新します。

クライアントはその管理パック リストで有効な管理ポイントを見つけられない場合、使用できる管理ポイントが見つかるまで、次のサービスの場所のソースを順に検索します。

1. 管理ポイント

2. Active Directory ドメイン サービス

3. DNS

4. WINS

クライアントは、正常に管理ポイントが見つかり、それに接続した後で、階層で使用可能な管理ポイントの現在のリストをダウンロードして、そのローカル リストを更新します。 これは、ドメインに参加しているクライアントと参加していないクライアントに平等に適用されます。

たとえば、インターネット上にある Configuration Manager クライアントがインターネットベースの管理ポイントに接続した場合、管理ポイントで、サイト内の使用可能なインターネットベースの管理ポイントのリストがそのクライアントに送信されます。 同様に、ドメインに参加しているクライアントまたはワークグループ内のクライアントは、使用できる管理ポイントのリストも受信します。

• インターネット用に構成されていないクライアントには、インターネットのみに接続する管理ポイントが提供されません。

• インターネット用に構成されたワークグループ クライアントのみが、インターネットに接続する管理ポイントと通信します。

各サービスの場所のソース関する情報を次に示します。

Configuration Manager では、必要なソフトウェア (ソフトウェア更新プログラムやアプリケーションなど) をインストールするときにコンピューターをスリープ モードから復帰させるために、従来のウェイクアップ パケットと AMT 電源オン コマンドの 2 つの Wake On LAN テクノロジがサポートされます。

Configuration Manager SP1 以降、ウェイクアップ プロキシ クライアント設定を使用して、従来のウェイクアップ パケット方式を補うことができます。 ウェイクアップ プロキシは、ピアツーピア プロトコルと選択されたコンピューターを使用して、サブネットの他のコンピューターが起動状態かどうかを確認し、必要に応じて起動できます。 サイトで Wake On LAN が構成され、クライアントでウェイクアップ プロキシが構成されている場合、処理は次のようになります。

1. Configuration Manager SP1 クライアントがインストールされていて、スリープ中ではないサブネットのコンピューターが、サブネットのその他のコンピューターが起動状態かどうかを確認します。 確認は、互いに TCP/IP ping コマンドを 5 秒ごとに送信して行います。

2. その他のコンピューターから応答がない場合、スリープ中と判断します。 起動状態のコンピューターは、サブネットの管理コンピューターになります。

   スリープ以外の理由 (たとえば、電源オフ、ネットワークからの削除、プロキシ ウェイクアップ クライアント設定が適用されていない、など) でコンピューターが応答しない可能性もあるため、毎日ローカル時刻の午後 2 時に、コンピューターにウェイクアップ パケットが送信されます。 応答しないコンピューターは、以降、スリープ状態ではないと判断され、ウェイクアップ プロキシで起動されなくなります。

   ウェイクアップ プロキシをサポートするには、サブネットごとに少なくとも 3 台のコンピューターが起動状態である必要があります。 この目的のため、3 台のコンピューターがサブネットのガーディアンのコンピューターとして、無作為に選択されます。 対象のコンピューターは、一定の非アクティブ期間が経過した後でスリープまたはハイバネーションに移行する電源ポリシーが構成されているかどうかに関係なく、起動状態が継続されます。 ガーディアンのコンピューターでは、メンテナンス作業などで発生するシャットダウンまたは再起動のコマンドは実行されます。 シャットダウンまたは再起動が実行された場合、残りのガーディアンのコンピューターは、サブネットに 3 台のガーディアンのコンピューターが存在する状態を維持するため、サブネットの別のコンピューターをウェイク・アップします。

3. 管理コンピューターは、スリープ中のコンピューターへのトラフィックを管理コンピューターにリダイレクトするように、ネットワーク スイッチに通知します。

   このリダイレクトは、スリープ状態のコンピューターの MAC アドレスをソース アドレスとして使用するイーサネット フレームをブロードキャストする、マネージャー コンピューターが行います。 これにより、ネットワーク スイッチは、マネージャー コンピューターが配置されているのと同じポートにスリープ状態のコンピューターが移動したかのように動作します。 また、マネージャー コンピューターは、スリープ状態のコンピューターで ARP キャッシュ内のエントリが常に最新の状態になるように、ARP パケットを送信します。 さらに、マネージャー コンピューターは、スリープ状態のコンピューターに代わって ARP 要求に応答し、スリープ状態のコンピューターの MAC アドレスで応答します。

   警告
   この処理の間、スリープ状態のコンピューターの IP と MAC 間のマッピングは変更されません。 ウェイクアップ プロキシは、別のネットワーク アダプターで登録されたポートが異なるネットワーク アダプターで使用されていることをネットワーク スイッチに通知することで機能します。 ただし、この動作は MAC フラップと呼ばれ、標準のネットワーク運用では異常となります。 ネットワーク監視ツールには、この動作を検出して、問題が発生したと見なすものもあります。 そのため、ウェイクアップ プロキシを使用すると、これらの監視ツールがアラートを生成したりポートをシャットダウンする可能性があります。 使用するネットワーク監視ツールとサービスで MAC フラップを許可していない場合は、ウェイクアップ プロキシを使用しないでください。

4. マネージャー コンピューターがスリープ状態のコンピューターの新しい TCP 接続要求を検出し、その要求が、スリープ状態のコンピューターがスリープ状態になる前にリッスンしていたポートに対するものである場合、マネージャー コンピューターはスリープ状態のコンピューターにウェイクアップ パケットを送信してから、このコンピューターへのトラフィックのリダイレクトを停止します。

5. スリープ状態のコンピューターが、ウェイクアップ パケットを受信して起動します。 送信元コンピューターは接続を自動的に再試行し、コンピューターが起動して応答できるようになります。

ウェイクアップ プロキシには、次の要件と制限があります。

重要
別のチームがネットワーク インフラストラクチャとネットワーク サービスを担当している場合は、このチームに通知して、評価期間とテスト期間はこのチームを含めるようにします。 たとえば、802.1X ネットワーク アクセス制御を使用しているネットワークでは、ウェイクアップ プロキシは動作しないため、ネットワーク サービスの中断が生じる可能性があります。 また、ウェイクアップ プロキシのために、一部のネットワーク監視ツールでは、他のコンピューターを起動するトラフィックを検出すると、アラートを生成する可能性があります。

• サポートされるクライアントは、Windows 7、Windows 8、Windows Server 2008 R2、Windows Server 2012 です。

• バーチャル マシンで実行されるゲスト オペレーティング システムはサポートされません。

• クライアントで Configuration Manager SP1 を実行しており、クライアント設定を使ってクライアントでウェイクアップ プロキシが有効になっている必要があります。 ウェイクアップ プロキシ処理はハードウェア インベントリに依存しませんが、クライアントでハードウェア インベントリが有効になっており、少なくとも 1 つのハードウェア インベントリが送信されていない限り、クライアントはウェイクアップ プロキシ サービスのインストールをレポートしません。

• ネットワーク アダプター (および、場合によっては BIOS) が有効になっており、ネットワーク アダプターにウェイクアップ パケットが構成されている必要があります。 ネットワーク アダプターにウェイクアップ パケットが構成されていない場合や、この設定が無効になっている場合は、Configuration Manager がウェイクアップ プロキシを有効にするクライアント設定を受信すると、この設定が自動的にコンピューターに構成されて有効になります。

• コンピューターに複数のネットワーク アダプターがある場合、どのアダプターをウェイクアップ プロキシに使用するのか構成することはできません。アダプターは無作為に選択されます。 ただし、選択されたアダプターは SleepAgent_<ドメイン>@SYSTEM_0.log ファイルに記録されます。

• ネットワークで ICMP エコー要求を許可 (少なくともサブネット内) する必要があります。 ICMP Ping コマンドの送信に使用する、5 秒間隔を構成することはできません。

• 通信は暗号化されず、認証されません。また、IPsec はサポートされません。

• 次のネットワーク構成はサポートされません。

  • ポート認証を使用する 802.1X

  • ワイヤレス ネットワーク

  • MAC アドレスを特定のポートとバインドするネットワーク スイッチ

  • IPv6 のみのネットワーク

  • 24 時間未満の DHCP リース期間

セキュリティのベスト プラクティスとして、可能な限り、ウェイクアップ パケットではなく AMT 電源オン コマンドを使用することをお勧めします。 AMT 電源オン コマンドは PKI 証明書を使って通信をセキュリティで保護するため、ウェイクアップ パケットを送信するよりも安全性が高くなるためです。 ただし、AMT 電源オン コマンドを使用するには、Intel AMT 搭載コンピューターをプロビジョニングする必要があります。Configuration Manager で AMT 搭載コンピューターを管理する方法の詳細については、「Configuration Manager の帯域外管理の概要」をご覧ください。

スケジュールに従ってソフトウェアをインストールするときにコンピューターをウェイクアップしたい場合は、各プライマリ サイトで次の 3 つのオプションのいずれかを構成する必要があります。

• コンピューターが AMT 電源オン コマンドをサポートしている場合はこのコマンドを使用し、サポートしていない場合はウェイクアップ パケットを使用する

• AMT 電源オン コマンドのみを使用する

• ウェイクアップ パケットのみを使用する

Configuration Manager SP1 でウェイクアップ プロキシを使用するには、[ウェイクアップ パケットのみを使用する] オプションを選択する必要があるのに加えて、電源管理のウェイクアップ プロキシ クライアント設定も展開する必要があります。

2 つの Wake-on-LAN (WOL) テクノロジ、従来のウェイクアップ パケットと電源オン コマンドの相違点の詳細については、次の表をご覧ください。

コンピューターをウェイクアップする方法は、AMT 電源オン コマンドを使用できるかどうかと、サイトに割り当てられているコンピューターが Wake ON LAN に対応しているかどうかに基づいて選択してください。 また、上の表にある 2 つのテクノロジの長所と短所も考慮してください。 たとえば、ウェイクアップ パケットは信頼性と安全性に劣ります。一方、電源オン コマンドは、帯域外サービス ポイントのあるサイト システム サーバーとの接続確立に時間がかかり、サーバーによるデータの処理量も多くなります。

重要
AMT 搭載コンピューターとの帯域外管理セッションの確立と維持、終了によって、余分なオーバーヘッドが発生します。そのため、電源オン コマンドの使用をテストして、実際の環境で複数のコンピューターをウェイクアップするのにどの程度の時間がかかるか (たとえば、セカンダリ サイトのコンピューターが低速の WAN リンクにある場合など) を見積もってください。 このようなテストを実施することで、スケジュールされた操作の実行時に、AMT 電源オン コマンドで多数のコンピューターを短時間でウェイクアップさせるのが実用的かどうかを判断しやすくなります。

従来のウェイクアップ パケットを採用する場合は、サブネット向けのブロードキャスト パケットとユニキャスト パケットのどちらを使用するか、さらにどの UDP ポート番号を使用するかも決める必要があります。 既定では、従来のウェイクアップ パケットは UDP 9 番ポートを使用して送信されます。ただし、介在するルーターとファイアウォールが別のポートをサポートしている場合は、そのポートを選択してセキュリティを強化することができます。

クライアント管理機能の中には、インターネットでの使用に適していないものがあります。クライアントをインターネット上で管理する場合は、そのような機能はサポートされません。 サポートされない機能は、主に Active Directory ドメイン サービスに依存する機能や、ネットワーク探索や Wake On LAN (WOL) など、公衆ネットワークに適していない機能です。

クライアントをインターネット上で管理する場合は、次の機能がサポートされません。

• クライアントのプッシュ インストールやソフトウェア更新プログラムに基づいたクライアントの展開など、インターネット上でのクライアントの展開。 代わりに、クライアントを手動でインストールしてください。

• サイトの自動割り当て

• ネットワーク アクセス保護 (NAP)

• Wake On LAN

• オペレーティング システムの展開。 ただし、オペレーティング システムを展開しないタスク シーケンスは展開することができます。たとえば、クライアントでスクリプトやメンテナンス タスクを実行するタスク シーケンスがあります。

• リモート コントロール

• 帯域外管理

• ユーザーへのソフトウェアの展開。ただし、インターネット ベースの管理ポイントで Windows 認証 (Kerberos または NTLM) 方式で Active Directory ドメイン サービスのユーザーを認証できる場合は除きます。 これには、インターネット ベースの管理ポイントが、ユーザー アカウントのあるフォレストを信頼している場合が当てはまります。

また、インターネット ベースのクライアント管理では、ローミングをサポートしません。 ローミングによって、クライアントが常に一番近い配布ポイントを見つけて、コンテンツをダウンロードできるようになります。 しかし、インターネット上で管理されるクライアントは、割り当てられているサイトのサイト システムがインターネット FQDN を使用するように構成され、サイト システムの役割がインターネットからのクライアント接続を受け入れる場合に、そのサイト システムと通信します。 クライアントは、帯域幅や物理的な場所に関係なく、インターネット ベースのサイト システムのいずれかを無作為に選択します。

プライマリ サイトにインストールされた次のサイト システムの役割では、インターネットや信頼されていないフォレストなどの信頼されていない場所にあるクライアントからの接続がサポートされます (セカンダリ サイトでは信頼されていない場所からのクライアント接続はサポートされません)。

• アプリケーション カタログ Web サイト ポイント

• Configuration Manager ポリシー モジュール

• 配布ポイント (クラウドベースの配布ポイントでは HTTPS が必要)

• 登録プロキシ ポイント

• フォールバック ステータス ポイント

• 管理ポイント

• ソフトウェアの更新ポイント

インターネットに接続するサイト システムについて:
クライアントのフォレストと、サイト システム サーバーのフォレスト間の信頼を確立する必要はありませんが、インターネットに接続するサイト システムを含むフォレストがユーザー アカウントを含むフォレストを信頼している状態で、[クライアント ポリシー] のクライアント設定 [インターネット クライアントからのユーザー ポリシー要求を有効にする] を有効にした場合は、この構成でインターネット上のデバイスのユーザーベース ポリシーがサポートされます。

たとえば、次のような場合に、インターネット ベースのクライアント管理がインターネット上のデバイス用のユーザー ポリシーを使用します。

• インターネット ベースの管理ポイントが、ユーザーを認証する読み取り専用ドメイン コントローラーが存在する境界ネットワークにあり、介在するファイアウォールで Active Directory パケットを許可する。

• ユーザー アカウントがフォレスト A (イントラネット) にあり、インターネット ベースの管理ポイントがフォレスト B (境界ネットワーク) にある。 フォレスト B がフォレスト A を信頼しており、介在するファイアウォールが認証パケットを許可する。

• ユーザー アカウントとインターネット ベースの管理ポイントがフォレスト A (イントラネット) にある。 管理ポイントは、Web プロキシ サーバー (Forefront Threat Management Gateway など) を使用してインターネットに発行される。

上の例に示すように、インターネット ベースのサイト システムを Web プロキシ サーバー (ISA Server や Forefront Threat Management Gateway など) を使用してインターネットに発行する場合は、それらのサイト システムをイントラネットに配置することができます。 これらのサイト システムは、インターネットからのクライアント接続のみ、またはインターネットとイントラネットの両方を受け付けるように構成できます。 Web プロキシ サーバーを使用する場合は、SSL (Secure Sockets Layer) から SSL へのブリッジングまたは SSL トンネリングを構成できます。ブリッジングの方が安全です。

• SSL から SSL へのブリッジング:
  インターネット ベースのクライアント管理でプロキシ Web サーバーを使用する場合は、認証による SSL 終了を使用する SSL から SSL へのブリッジングを構成することをお勧めします。 クライアント コンピューターは、コンピューター認証によって、モバイル デバイス レガシ クライアントは、ユーザー認証によって認証されなければなりません。Configuration Manager によって登録されるモバイル デバイスは、SSL ブリッジングをサポートしていません。

  プロキシ Web サーバーで SSL 終了を使用する利点は、インターネットからのパケットが内部ネットワークに転送される前に検査されることです。 プロキシ Web サーバーはクライアントからの接続を認証してから終了します。次に、インターネット ベースのサイト システムに認証済みの新しい接続を開きます。Configuration Manager クライアントがプロキシ Web サーバーを使用するときは、クライアント ID (クライアント GUID) がパケットのペイロード内に安全に格納されるので、管理ポイントはプロキシ Web サーバーをクライアントと見なしません。 HTTP から HTTPS、または HTTPS から HTTP へのブリッジングは Configuration Manager ではサポートされていません。

• トンネリング:
  プロキシ Web サーバーが SSL ブリッジングの要件をサポートできない場合や、Configuration Manager によって登録されたモバイル デバイスに対してインターネット サポートを構成する場合は、SSL トンネリングもサポートされます。 ただし、この方法は、安全性が低くなります。これは、インターネットからの SSL パケットが SSL 終了なしにサイト システムに転送されるので、悪意のあるコンテンツがないかどうかを検査できないためです。 SSL トンネリングを使用する場合は、プロキシ Web サーバーに証明書は必要ありません。

インターネット上で管理することになるクライアント コンピューターを、イントラネットとインターネットの両方で管理できるようにするか、それともインターネット専用として構成するかを決める必要があります。 このクライアントの管理オプションは、クライアントをインストールするときしか構成できません。 選択したオプションを変更したい場合は、クライアントを再インストールする必要があります。

ヒント
インターネット専用クライアント管理の構成をインターネットだけに制限する必要はありません。その構成をイントラネットでも使用できます。

インターネット専用クライアントとして構成されたクライアントは、インターネットからのクライアント接続を受け入れるサイト システムだけと通信します。 この構成は、遠隔地の売場専用コンピューターなど、企業のイントラネットに接続することのないコンピューターに適しています。 また、クライアント接続を HTTPS のみに制限したい場合 (ファイアウォールとセキュリティ ポリシーを採用する場合など) や、インターネット ベースのサイト システムを境界ネットワークにインストールし、Configuration Manager クライアントを使用してこれらのサーバーを管理したい場合にも適しています。

インターネット上のワークグループ クライアントを管理する場合は、これらのクライアントをインターネット専用としてインストールする必要があります。

その他のクライアント コンピューターは、インターネットとイントラネットの両用に構成することができます。 このように構成すると、クライアントが接続されるネットワークが変わると、インターネット ベースのクライアント管理とイントラネット クライアント管理が自動的に切り替わります。 イントラネットのクライアント接続用に構成された管理ポイントに接続できた場合は、Configuration Manager のすべての管理機能に対応しているイントラネット クライアントとして管理されます。 イントラネットのクライアント接続用に構成されている管理ポイントに接続できなかった場合は、インターネット ベースの管理ポイントに接続しようとします。この管理ポイントに接続できると、クライアントに割り当てられているサイトのインターネット ベースのサイト システムによって管理されるようになります。

インターネット ベースのクライアント管理とイントラネット クライアント管理が自動的に切り替わることの長所は、クライアント コンピューターがイントラネットに接続しているときは常に Configuration Manager のすべての機能を使用することができ、インターネットに接続したときも、主要な管理機能によって引き続き管理されているという点です。 また、インターネット上で開始したダウンロードをイントラネットに接続したときに再開したり、その逆も行えます。

Configuration Manager でインターネット ベースのクライアント管理を行うには、次の条件を満たしている必要があります。

Configuration Manager は、ファイルベースのレプリケーションとデータベースのレプリケーションの両方を使ってサイト間でデータを転送します。Configuration Manager SP1 以前では、転送時のネットワーク帯域幅の使用を制御するようにファイルベースのレプリケーションを構成できますが、データベース レプリケーションについては、ネットワーク帯域幅の使用を構成することはできません。Configuration Manager SP1 から、選択したサイト データのデータベース レプリケーションで使用するネットワーク帯域幅を構成できるようになっています。

ネットワーク帯域幅の制御を構成する場合は、データの遅延について注意する必要があります。 サイト間の通信を制限している場合や、営業時間後にのみデータを転送するように構成している場合は、サイト間の通信が開始されるまで、親サイトまたは子サイトの管理者が特定のデータを表示できないことがあります。 たとえば、重要なソフトウェア更新プログラのパッケージが、子サイトにある配布ポイントに送信される場合は、保留中のサイト間通信がすべて完了しないと、これらのサイトでパッケージを利用できません。 このような場合に、非常に大きなパッケージの配布が保留中になっている可能性もあります。

• ファイル ベースのレプリケーションの制御: ファイル ベースのデータ転送では、Configuration Manager によって、使用可能なすべてのネットワーク帯域幅がサイト間のデータ送信に使用されます。 サイト間の送信スレッドを増減するようにサイトの送信者を構成すると、このプロセスを制御できます。 送信スレッド 1 本でファイルが 1 つ転送されます。 スレッドを増やすと、同時に転送されるファイルが増えて、使用される帯域幅も大きくなります。 サイト間転送で使用するスレッド数を構成するには、サイトのプロパティの [センダー] タブで [最大同時送信数] を構成します。

  サイト間のファイルベースのデータ転送を制御するために、特定のサイトへのファイル レプリケーション ルートを Configuration Manager が使用できる日時をスケジュールすることができます。 使用するネットワーク帯域幅の量、データ ブロックのサイズ、データ ブロックを送信する頻度を制御できます。 さらに、データの種類に基づいて優先度を決め、データの転送を制限するオプションもあります。 各送信先サイトのファイル レプリケーション ルートのプロパティを構成すると、階層内のサイトごとに、データの転送時にそのサイトが使用するスケジュールと転送率を設定できます。 ファイル レプリケーション ルートの構成は、そのファイル レプリケーション ルートに指定されている送信先サイトへのデータ転送にのみ適用されます。

  ファイル レプリケーション ルートの詳細については、このトピックの「Configuration Manager のサイト間の通信の計画」セクションの「File Replication Routes (ファイル レプリケーション ルート)」をご覧ください。

  重要
  特定のファイル レプリケーション ルートで使用する帯域幅を制限するように転送率を構成すると、その送信先サイトへのデータ転送に Configuration Manager で使用できるスレッドが 1 本だけになります。 このファイル レプリケーション ルートの転送率の設定によって、各サイトの [最大同時送信数] で構成されているサイトあたりのスレッド数が上書きされます。

• データベース レプリケーションの制御: Configuration Manager SP1 以降、サイト間の選択したサイト データの転送で、ネットワーク帯域幅の使用を制御するように、データベース レプリケーション リンクを構成できます。 一部の制御はファイルベースのレプリケーションの制御と同様ですが、ハードウェア インベントリ、ソフトウェア インベントリ、ソフトウェア使用状況の測定、およびステータス メッセージをリンク全体で親サイトにレプリケートする日時をスケジュールできるようになっています。

  詳細については、このトピックの「データベースのレプリケーション」セクションをご覧ください。

サイト内のサイト システム間の通信では、サーバー メッセージ ブロック (SMB) を使用します。サイト システム同士がいつ通信するかは決まっておらず、ネットワーク帯域幅も制御できません。 ただし、サイト サーバーの転送率を制限し、ネットワークを介して配布ポイントにデータ転送するスケジュールを構成することにより、ファイルベースのサイト間転送を制御するのとよく似た方法で、サイト サーバーから配布ポイントへのコンテンツの転送を管理できます。

クライアントは、さまざまなサイト システム サーバーと定期的に通信します。 たとえば、クライアント ポリシーをチェックする必要がある場合は、管理ポイントを実行しているサイト システム サーバーと通信します。アプリケーションやソフトウェア更新プログラムをインストールするために、コンテンツをダウンロードしなければならないときは、配布ポイントを実行しているサイト システム サーバーと通信します。 このような通信の頻度と、クライアントがネットワークを介して送受信するデータの量は、クライアント設定で指定したスケジュールと構成によって異なります。

通常、クライアント ポリシーの要求では、ネットワーク帯域幅を少ししか使用しません。 しかし、展開用のコンテンツにアクセスしたり、ハードウェア インベントリなどのデータをサイトに送信したりする場合は、大量のネットワーク帯域幅が使用される可能性があります。

クライアントが開始するネットワーク接続の頻度を制御するクライアント設定を指定することができます。 また、クライアントが展開用のコンテンツにアクセスする方法、たとえば、バックグラウンド インテリジェント転送サービス (BITS) を構成することもできます。 BITS でコンテンツをダウンロードするには、クライアントで BITS を使用するように構成する必要があります。 クライアントで BITS を使用できない場合、クライアントは、SMB を使用してコンテンツを転送します。

Configuration Manager のクライアント設定については、「Configuration Manager のクライアント設定の計画」をご覧ください。