Configuration Manager のサイト コンポーネントの構成

クエリ間隔 (分)

システム正常性検証ツール ポイントが、Active Directory ドメイン サービスから Configuration Manager の稼働状態の基準を取得してキャッシュする間隔を分単位で指定します。 グローバル カタログ サーバーに対する LDAP (Lightweight Directory Access Protocol) 呼び出しを使用して、情報を取得します。

この値が小さいほど、システム正常性検証ツールは Configuration Manager NAP ポリシーの変更をより頻繁に検出します。ただし、Configuration Manager NAP ポリシーで指定された必要なソフトウェアの更新がすべてインストールされているクライアントでも、非対応として検出される可能性が高くなります。 この場合は、ネットワーク ポリシー サーバーのポリシーが非対応クライアントのネットワーク アクセスを制限するように構成されていると、クライアントは、Configuration Manager NAP ポリシーをダウンロードしてコンプライアンス対応を再評価し、新しい正常性ステートメントをシステム正常性検証ツール ポイントに送信するまでネットワーク アクセスが制限されます。 この処理には数分かかることがあります。

この値が大きいほど、Configuration Manager NAP ポリシーで指定された必要なソフトウェア更新プログラムがすべてインストールされているクライアントが、非対応として検出される可能性が低くなります。 この場合は、クライアントが Configuration Manager NAP ポリシーをダウンロードしてコンプライアンス対応を再評価するためのネットワーク アクセスが制限されることはありません。 ただし、この値が大きいと、クライアントは、最新の Configuration Manager NAP ポリシーを使用して対応を評価していないときに対応していると判断される可能性があります。

選択されたソフトウェアの更新がインストールされているクライアントがネットワーク アクセスを制限される可能性を減らす一方で、対応結果が最新の Configuration Manager NAP ポリシーに基づくようにするためには、このオプションがクライアント設定 [クライアント ポリシーのポーリング間隔 (分)] で指定した値 (クライアント ポリシーの既定のポーリング間隔は 1 時間に 1 回です) の 2 倍になるように構成してください。

この設定は、1 ～ 10080 分の間で指定できます。既定値は 120 分です。

次の作成日時以降に限定する (UTC)

指定した日時 (世界協定時刻) 以降にクライアントの正常性ステートメントが作成されるようにするかどうかを指定します。 このオプションを選択した後に、日時を選択します。 この日時は、現在または以前の日時にする必要があり、将来の値に設定することはできません。

新しい Configuration Manager ネットワーク アクセス保護 (NAP) ポリシーを構成したばかりで、有効期間に関係なく、ポリシーで選択したソフトウェアの更新を評価に含める必要がある場合は、このオプションを設定するのが妥当です。

既定では、このオプションは無効になっています。

稼働状態の基準の公開アカウント

次のいずれかが当てはまる場合は、指定した Active Directory フォレスト内の Microsoft Windows ユーザー アカウントを指定します。

• 指定したフォレストが、サイト サーバーのフォレストではない。

• サイト サーバーのドメインと指定したドメイン サフィックスの間に信頼関係が存在しない。

• サイト サーバーのドメインと指定したドメイン サフィックスの間に信頼関係が存在するが、サイト サーバーのコンピューター アカウントが含まれる Active Directory の System Management コンテナーにフル コントロール アクセス許可が付与されていない。

ネットワーク アクセス アカウント

ワークグループまたは信頼関係のないドメインのクライアント コンピューターからネットワーク リソースへのアクセスが必要な場合は、ネットワーク アクセス アカウント用の Windows ユーザー アカウントを指定します。

重要
ネットワーク アクセス アカウントは、プログラムの実行、ソフトウェア更新プログラムのインストール、タスク シーケンスの実行のためのセキュリティ コンテキストとして使用されることはありません。 ネットワーク上のリソースへのアクセス専用に使用されます。

Configuration Manager クライアント コンピューターは、コンピューター上のほとんどの Configuration Manager クライアントの操作の実行に、ローカル システム アカウントを使用しますが、ローカル システム アカウントはネットワーク リソースにアクセスすることはできません。 たとえば、コンピューターが接続を確立してソフトウェアをダウンロードできるように、ローカル システム アカウントは配布ポイントに対しコンピューターを認証します。 これらのシナリオでは、信頼済みドメインのクライアントは <computername>$ アカウントを使用してネットワーク リソースにアクセスします。 コンピューターの認証に <computername>$ アカウントを使用できないコンピューターでは、ネットワーク アクセス アカウント用に指定した Windows ユーザー アカウントを使用できます。

オペレーティング システムを展開する場合にも、ネットワーク アクセス アカウント用に Windows ユーザー アカウントの指定が必要になることがあります。 その理由は、オペレーティング システムを受信するコンピューターには、ネットワーク上のコンテンツへのアクセスに使用できるセキュリティ コンテキストがないためです。

System Center 2012 R2 Configuration Manager 以降: 1 つのサイトに複数のネットワーク アクセス アカウントを指定できるようになりました。 クライアントがコンテンツにアクセスしようとしたときに、ローカル コンピューター アカウントを使用できない場合、最初に、前回正常に接続したネットワーク アクセス アカウントを使用します。Configuration Manager では、最大 10 個のネットワーク アクセス アカウントを追加できます。

管理ポイント

Active Directory ドメイン サービスに発行する Configuration Manager サイト内の管理ポイントを指定します。

Configuration Manager クライアントは、境界グループのメンバーシップや PKI 証明書の選択オプションなどのサイト情報を検索したり、ソフトウェアをダウンロードできるサイト内のその他の管理ポイントや配布ポイントを見つけるための、サービスの場所用に管理ポイントを使用します。 また、クライアントは管理ポイントを使用して、サイト割り当ての実行、クライアント ポリシーのダウンロード、クライアント情報のアップロードを行ないます。

クライアントが管理ポイントを見つけるには、Active Directory ドメイン サービスに発行するのが最も安全な方法であるため、通常は、機能している管理ポイントをすべて選択して Active Directory ドメイン サービスに発行します。 ただし、サービスの場所として使用する場合、Configuration Manager 用にスキーマを拡張すること、System Management コンテナーと、サイト サーバーがこのコンテナーに発行するために必要なセキュリティのアクセス許可があること、Active Directory ドメイン サービスに発行するように Configuration Manager サイトを構成すること、および、クライアントがサイト サーバーのフォレストと同じ Active Directory フォレストに属していることが必要になります。

イントラネット上のクライアントが管理ポイントの検索に Active Directory ドメイン サービスを使用できない場合は、DNS 発行を使用します。