Configuration Manager の基本情報
適用対象: System Center 2012 Configuration Manager,System Center 2012 Configuration Manager SP1,System Center 2012 Configuration Manager SP2,System Center 2012 R2 Configuration Manager,System Center 2012 R2 Configuration Manager SP1
ここでは、Configuration Manager の基本的な概念について説明します。Microsoft System Center 2012 Configuration Manager を初めて使用する場合に最初にお読みください。Configuration Manager 2007 に慣れている場合は、「System Center 2012 Configuration Manager の新機能」を参照してください。
サポートされるオペレーティング システムと、サポートされる環境、ハードウェア要件、および容量の情報については、「Configuration Manager のサポートされている構成」を参照してください。
サイト
初めて System Center 2012 Configuration Manager をインストールする場合は、企業でデバイスおよびユーザーを管理するための基盤である Configuration Manager サイトを作成します。 このサイトは、中央管理サイトまたはプライマリ サイトのいずれかです。 中央管理サイトは、大規模な展開に適していて、グローバルなネットワーク インフラストラクチャ全体に配布されるデバイスをサポートするための柔軟性があり、管理の中心となります。 プライマリ サイトは、より小規模な展開に適しており、企業の将来の成長に対応するためのオプションは少なくなっています。
中央管理サイトをインストールする場合は、ユーザーおよびデバイスを管理するためのプライマリ サイトを少なくとも 1 つインストールする必要があります。 この設計では、追加のプライマリ サイトをインストールして、より多くのデバイスを管理したり、地理的に別な場所にデバイスがある場合にネットワーク帯域幅を制御したりできます。 セカンダリ サイトという別の種類のサイトをインストールすることもできます。 セカンダリ サイトは、プライマリ サイトを拡張し、プライマリ サイトに低速のネットワークで接続される少数のデバイスを管理します。
中央管理サイトをインストールしない場合、最初にインストールするサイトがスタンドアロンのプライマリ サイトになります。 既定では、相互に通信できる追加のプライマリ サイトをインストールできません。 ただし、プライマリ サイトに低速のネットワークで接続される少数のデバイスを管理する必要がある場合は、1 つまたは複数のセカンダリ サイトをインストールすると、プライマリ サイトを拡張できます。
Configuration Manager SP1 では、スタンドアロンのプライマリ サイトをインストールした後に、中央管理サイト設計に変更することができます。 サービス パックが適用されていない Configuration Manager では、この設計の変更をサポートしていません。Configuration Manager SP1 にアップグレードする必要があります。 この設計の変更はサイトの拡張と呼ばれます。
相互に通信する複数のサイトがある場合は、階層と呼ばれるサイトの構成を持っていることになります。 次の図に、サイト設計のいくつかの例を示します。
.jpeg "サイト デザイン")
詳細については、「System Center 2012 Configuration Manager のサイト管理」ガイドの次のトピックを参照してください。
Active Directory ドメイン サービスへのサイト情報の発行
System Center 2012 Configuration Manager の Active Directory スキーマを拡張した場合、Active Directory コンピューターが信頼されたソースから System Center 2012 Configuration Manager サイト情報を安全に取得できるように、System Center 2012 Configuration Manager サイトを Active Directory ドメイン サービスに発行できます。 基本的な Configuration Manager 機能では Active Directory ドメイン サービスにサイト情報を発行する必要はありませんが、この構成によって、System Center 2012 Configuration Manager 階層のセキュリティが向上し、管理のオーバーヘッドが減少します。
Active Directory スキーマは、System Center 2012 Configuration Manager のインストールの前または後に拡張できます。 また、サイト情報を発行する前に、System Management サイトが含まれている各ドメインに、System Center 2012 Configuration Manager という Active Directory コンテナーを作成する必要があります。 サイトがこの Active Directory コンテナーに情報を発行できるように、Active Directory のアクセス許可を構成する必要もあります。 すべてのスキーマ拡張と同様に、System Center 2012 Configuration Manager のスキーマは 1 つのフォレストで一度だけ拡張されます。
詳細については、「System Center 2012 Configuration Manager のサイト管理」ガイドの次のトピックを参照してください。
サイト システム サーバーとサイト システムの役割
Configuration Manager は、サイト システムの役割を使用して、各サイトでの管理操作をサポートします。Configuration Manager サイトをインストールすると、Configuration Manager セットアップが正常に実行されたサーバーに、いくつかのサイト システムの役割が自動的にインストールされて割り当てられます。 これらのサイト システムの役割の 1 つとしてサイト サーバーがあります。サイト サーバーは、別のサーバーに移動することはできず、削除する場合はサイトをアンインストールする必要があります。Configuration Manager サイト システム サーバーをインストールして構成すると、追加のサイト システムの役割の実行、またはサイト サーバーからのいくつかのサイト システムの役割の転送を行うために、別のサーバーを使用できます。
各サイト システムの役割は、異なる管理機能をサポートしています。 次の表は、基本的な管理機能を提供するサイト システムの役割を説明しています。
サイト システムの役割 |
説明 |
|---|---|
サイト サーバー |
Configuration Manager セットアップを実行したコンピューター。サイトのコア機能を提供します。 |
サイト データベース サーバー |
SQL Server データベースをホストするサーバー。Configuration Manager の資産およびサイト データに関する情報を格納します。 |
コンポーネント サーバー |
Configuration Manager サービスを実行するサーバー。 サイト システムの役割をインストールすると (配布ポイントの役割を除く)、Configuration Manager はコンポーネント サーバーを自動的にインストールします。 |
管理ポイント |
クライアントにポリシーとサービスの場所の情報を送信し、クライアントから構成データを受け取ります。 |
配布ポイント |
クライアントがダウンロードするソース ファイルを格納します。このソースファイルには、アプリケーションのコンテンツ、ソフトウェア パッケージ、ソフトウェア更新プログラム、オペレーティング システム イメージ、ブート イメージなどがあります。 |
レポート サービス ポイント |
SQL Server Reporting Services と連携し、Configuration Manager のレポートを作成して管理します。 |
企業で Configuration Manager を最初に実稼働環境に展開するときは、一般的に、サイト サーバーで複数のサイト システムの役割を実行し、配布ポイント用にサイト システム サーバーを追加します。 その後、ビジネスの要件およびネットワーク インフラストラクチャに応じて、追加のサイト システム サーバーをインストールし、新しいサイト システムの役割を追加します。
次の表に、特定の機能のために必要となることがある追加のサイト システムの役割を示します。
サイト システムの役割 |
説明 |
|---|---|
アプリケーション カタログ Web サービス ポイント |
ソフトウェア ライブラリから、アプリケーション カタログ Web サイトにソフトウェア情報を供給します。 |
アプリケーション カタログ Web サイト ポイント |
アプリケーション カタログにある使用可能なソフトウェアの一覧をユーザーに提供します。 |
資産インテリジェンス同期ポイント |
Microsoft に接続して、資産インテリジェンス カタログ情報をダウンロードし、カタログの追加対象となるカテゴリ化されていないタイトルをアップロードするサイト システムの役割。 |
証明書登録ポイント |
ネットワーク デバイス登録サービスを実行するサーバーと通信することで Simple Certificate Enrollment Protocol (SCEP) を使用するデバイス証明書要求を管理する、サイト システムの役割。 |
Endpoint Protection ポイント |
Configuration Manager で Endpoint Protection ライセンス条項に同意し、Microsoft Active Protection Service の既定のメンバーシップを構成するときに使用します。 |
登録ポイント |
PKI 証明書を使用してモバイル デバイスと Mac コンピューターを Configuration Manager に登録し、Intel AMT 搭載コンピューターをプロビジョニングするサイト システムの役割。 |
登録プロキシ ポイント |
モバイル デバイスと Mac コンピューターからの Configuration Manager 登録要求を管理します。 |
フォールバック ステータス ポイント |
クライアントのインストールを監視し、管理ポイントと通信できないため管理されていないクライアントを識別します。 |
帯域外サービス ポイント |
帯域外管理する Intel AMT 搭載コンピューターをプロビジョニングして構成します。 |
ソフトウェアの更新ポイント |
Windows Server Update Services (WSUS) と連携して、Configuration Manager クライアントがソフトウェア更新プログラムを利用できるようにします。 |
状態移行ポイント |
コンピューターを新しいオペレーティング システムに移行するときに、ユーザー状態データを保管します。 |
システム正常性検証ツール ポイント |
Configuration Manager のネットワーク アクセス保護 (NAP) ポリシーを検証します。 NAP 正常性ポリシー サーバーにインストールする必要があります。 |
Microsoft Intune コネクタ |
Configuration Manager を使用して Microsoft Intune コンソールでモバイル デバイスを管理する Configuration Manager SP1 のサイト システムの役割。 |
次の図は、サイト サーバー コンピューターに追加したり、追加のサイト システム サーバーをインストールして配布したりできる基本および追加のサイト システムの役割を示します。
.jpeg "サイトの役割")
詳細については、「System Center 2012 Configuration Manager のサイト管理」ガイドの次のトピックを参照してください。
クライアント
System Center 2012 Configuration Manager クライアントは、デバイス (ワークステーション、ラップトップ、サーバー、モバイル デバイスなど) を管理できるように Configuration Manager クライアント ソフトウェアがインストールされているデバイスです。 管理には、ハードウェアとソフトウェアのインベントリ情報の報告、ソフトウェアのインストール、コンプライアンスのために必要な設定の構成などの操作が含まれます。 Configuration Manager には、ネットワーク上のデバイスを見つけるために使用できる探索方法があり、それらのデバイスにクライアント ソフトウェアをインストールするために役立ちます。
Configuration Manager では、デバイスにクライアント ソフトウェアをインストールするいくつかのオプションがあります。 これらのオプションには、クライアント プッシュ インストール、ソフトウェアの更新に基づいたインストール、グループ ポリシー、および手動のインストールが含まれます。 オペレーティング システム イメージを展開するときにクライアントを含めることもできます。
Configuration Manager では、コレクションを使用してデバイスをグループ化することにより、一連の共通の条件を共有する複数のデバイスに対して管理タスクを実行できます。 たとえば、Configuration Manager に登録されているすべてのモバイル デバイスに、モバイル デバイス アプリケーションをインストールすることができます。 この場合、[すべてのモバイル デバイス] コレクションを使用すると、コンピューターを自動的に除外することができます。 ビジネス ニーズに合わせて独自のコレクションを作成し、管理対象のデバイスを論理的にグループ化できます。
詳細については、「System Center 2012 Configuration Manager のクライアントの展開」ガイドと「System Center 2012 Configuration Manager の資産とコンプライアンス」ガイドの次のトピックを参照してください。
ユーザー中心の管理
デバイスのためのコレクションの他に、Active Directory ドメイン サービスのユーザーが含まれているユーザー コレクションもあります。 ユーザー コレクションでは、ユーザーがログインするすべてのコンピューターにソフトウェアをインストールしたり、ユーザーが使用するメインのデバイスのみにソフトウェアがインストールされるようにユーザーとデバイスのアフィニティを構成したりできます。 このようなメイン デバイスはプライマリ デバイスと呼ばれます。 ユーザーは 1 つまたは複数のプライマリ デバイスを持つことができます。
ユーザーがソフトウェア展開の操作を制御できる 1 つの方法は、新しいコンピューター クライアント インターフェイスであるソフトウェア センターを使用することです。 ソフトウェア センターは、クライアント コンピューターに自動的にインストールされ、ユーザーの [スタート] メニューからアクセスします。 ユーザーはクライアント インターフェイスを使用して自分のソフトウェアを管理できるだけでなく、次の機能を実行できます。
ソフトウェアのインストール
勤務時間外にソフトウェアが自動的にインストールされるようにスケジュールする
Configuration Manager がデバイスにソフトウェアをインストールできるタイミングの構成
リモート コントロールのアクセス設定の構成 (Configuration Manager でリモート コントロールが有効な場合)
電源管理のオプションの構成 (管理ユーザーがこれを有効にしている場合)
ソフトウェア センター内のリンクを使用すると、アプリケーション カタログに接続して、インストールおよび要求するソフトウェアを参照できます。 また、ユーザーはアプリケーション カタログを使用して、優先設定の構成およびモバイル デバイスのワイプを行うこともできます。 アプリケーション カタログは、IIS でホストされる Web サイトであるため、ブラウザー、イントラネット、またはインターネットから直接アクセスすることもできます。
アプリケーション カタログからプライマリ デバイスを指定することもできます (この構成を許可する場合)。 ユーザーとデバイスのアフィニティ情報を構成するその他の方法としては、ファイルからの情報のインポート、および使用状況データからの自動生成があります。
詳細については、「System Center 2012 Configuration Manager でのソフトウェアとオペレーティング システムの展開」ガイドの次のトピックを参照してください。
クライアント設定
System Center 2012 Configuration Manager を最初にインストールすると、階層内のすべてのクライアントは既定のクライアント設定で構成されます (これは変更可能です)。 これらのクライアント設定には、デバイスがサイトと通信する頻度、クライアントをソフトウェア更新プログラムおよびその他の管理操作の対象とするかどうか、モバイル デバイスを Configuration Manager が管理するように登録できるかどうかなどの構成オプションが含まれます。 ユーザーまたはデバイスのグループに別のクライアント設定が必要な場合は、カスタム クライアント設定を作成して、コレクションに割り当てることができます。 コレクション内のユーザーまたはデバイスは、カスタム設定で構成されるようになります。 複数のカスタム クライアント設定を作成して、指定した順序で適用できます。 複数のカスタム クライアント設定がある場合は、順序番号に従って適用されます。 競合がある場合は、順序番号が一番小さい設定によってその他の設定が上書きされます。
次の図は、カスタム クライアント設定を作成および適用する方法の例を示します。
.jpeg "クライアント設定")
詳細については、「System Center 2012 Configuration Manager のクライアントの展開」ガイドの次のトピックを参照してください。
クライアントを使用しない制限された管理
System Center 2012 Configuration Manager クライアント ソフトウェアは、ユーザーおよびデバイスに完全な管理機能を提供します。 ただし、クライアント ソフトウェアとは独立してデバイスを管理できるシナリオも 2 つあります。1 つは、Intel Active Management Technology (AMT) を使用する帯域外管理、もう 1 つは、社内の Exchange Server や Exchange Online (Office 365) などの Exchange サービスに接続されたモバイル デバイスを使用する対域外管理です。
Configuration Manager は、クライアント ソフトウェアを使用して、AMT のコンピューターをプロビジョニングおよび構成しますが、AMT 管理操作を実行する場合、クライアント ソフトウェアは使用されません。 代わりに、Configuration Manager は AMT 管理コントローラーに直接接続します。 これは、コンピューターが起動されていないか、オペレーティング システム レベルでは応答しない状態でも、ある程度の管理制御を行うことができることを意味します。 たとえば、これらのコンピューターの再起動または再イメージ化を行ったり、診断ユーティリティを実行してトラブルシューティングに役立てることができます。
モバイル デバイスに Configuration Manager クライアント ソフトウェアをインストールできない場合でも、Exchange Server コネクタを使用してそれらを管理できます。 コネクタを使用すると、既定の Exchange ActiveSync メールボックス ポリシーの設定を構成できます。 このポリシーに定義されている設定は、Configuration Manager で構成できます。また、このコネクタは、リモート ワイプ、およびブロックと検疫のための Exchange アクセス規則をサポートしています。 Exchange Server コネクタを使用して管理しているモバイル デバイスは、デバイスに System Center 2012 Configuration Manager クライアントがインストールされていなくても、[すべてのモバイル デバイス] コレクションに表示されます。 クライアントがインストールされていないため、これらのデバイスにはソフトウェアを展開できません。
詳細については、「System Center 2012 Configuration Manager の資産とコンプライアンス」ガイドと「System Center 2012 Configuration Manager のクライアントの展開」ガイドの次のトピックを参照してください。
クライアント管理タスク
Configuration Manager クライアントをインストールすると、次のタスクを含むさまざまなクライアント管理タスクを実行できます。
アプリケーション、ソフトウェア更新プログラム、メンテナンス スクリプト、およびオペレーティング システムの展開。 指定した日付と時刻までにこれらをインストールするように構成したり、ユーザーが要求したときにインストールできるようにしたり、アプリケーションをアンインストールするように構成したりできます。
マルウェアおよびセキュリティの脅威からコンピューターを保護し、問題が検出されたときに通知を出力する。
コンプライアンスに準拠しているかどうかを監視して修復するためのクライアントの構成設定の定義。
ハードウェアおよびソフトウェアのインベントリ情報の収集。これには、Microsoft のライセンス情報の監視および調整が含まれます。
リモート コントロール、または (応答しない AMT ベースのコンピューターの場合) AMT 操作を使用した、コンピューターのトラブルシューティング。
コンピューターの電力消費を管理および監視するための電源管理設定の実装。
Configuration Manager コンソールで、アラートおよびステータス情報を使用すると、これらの操作をほぼリアルタイムで監視できます。 データおよび過去の傾向を取得する場合は、SQL Reporting Services の統合レポート機能を使用できます。
System Center 2012 Configuration Manager クライアントを管理できていることを確認するには、クライアントおよびクライアントのアクティビティの正常性に関するデータを示すクライアント ステータス情報を使用します。 このデータを使用すると、応答していないコンピューターを識別できます。また、問題が自動的に修復されることもあります。
詳細については、「System Center 2012 Configuration Manager のクライアントの展開」ガイドと「System Center 2012 Configuration Manager のサイト管理」ガイドの次のトピックを参照してください。
Configuration Manager (Windows コントロール パネル)
Configuration Manager クライアントをインストールすると、コントロール パネルに [Configuration Manager] クライアント アプリケーションがインストールされます。 ソフトウェア センターとは異なりエンドユーザーではなく、ヘルプ デスクのこのアプリケーションが設計されています。 一部の構成オプションにはローカルの管理者アクセス許可が必要であり、ほとんどのオプションには Configuration Manager の機能についての技術的な知識が必要です。 このアプリケーションを使用すると、クライアントで次のタスクを実行できます。
クライアントに関するプロパティ (ビルド番号、割り当てられているサイト、接続する管理ポイント、PKI 証明書または自己署名入り証明書のいずれを使用するかなど) の表示。
最初にインストールされた後に、クライアントがクライアント ポリシーを正常にダウンロードしたこと、および Configuration Manager コンソールで構成したクライアント設定に従って、クライアント設定が想定したとおりに有効または無効になっていることの確認。
クライアントのアクション (Configuration Manager コンソールで最近構成の変更が行われ、次のスケジュール時間まで待機せずに、クライアント ポリシーをダウンロードする場合など) の開始。
Configuration Manager サイトへのクライアントの手動での割り当て、またはサイトを見つけることができるように DNS に発行する管理ポイントの DNS サフィックスの指定。
一時的にファイルを格納するクライアント キャッシュの構成、およびソフトウェアをインストールするためにディスク容量が必要な場合のキャッシュ内のファイルの削除。
インターネット ベースのクライアント管理のための設定の構成
クライアントに展開されている構成基準の表示、コンプライアンスの評価の開始、およびコンプライアンス レポートの表示。
セキュリティ
System Center 2012 Configuration Manager のセキュリティは、いくつかの層で構成されています。 まず、Windows には、オペレーティング システムとネットワークの両方に対する次のような多くのセキュリティ機能があります。
System Center 2012 Configuration Manager コンポーネント間でファイルを転送するためのファイル共有
ファイルとレジストリ キーを保護するためのアクセス制御リスト (ACL)
通信を保護するための IPsec
セキュリティ ポリシーを設定するためのグループ ポリシー
Configuration Manager コンソールなどの配布されたアプリケーションの DCOM アクセス許可
セキュリティ プリンシパルを保存するための Active Directory ドメイン サービス
System Center 2012 Configuration Manager セットアップ中に作成された一部のグループを含む、Windows アカウント セキュリティ
さらにファイアウォールや侵入検知などのセキュリティ コンポーネントを使用することで、環境全体を徹底的に防御することができます。 業界標準の PKI 実装によって発行される証明書により、認証、署名および暗号化が提供されます。
System Center 2012 Configuration Manager では、いくつかの方法で Configuration Manager コンソールへのアクセスを制御します。 既定では、Configuration Manager コンソールがインストールされているコンピューター上でコンソールを実行するために必要なファイルおよびレジストリ キーへのアクセス権は、ローカル管理者のみにあります。
次のセキュリティ階層は、Windows Management Instrumentation (WMI) によるアクセスに基づいています。これは SMS プロバイダーに特有のものです。 SMS プロバイダーは、既定でローカルの SMS 管理グループに限定されています。 このグループには最初のうち、System Center 2012 Configuration Manager をインストールしたユーザーのみが含まれています。 他のアカウントに Common Information Model (CIM) リポジトリおよび SMS プロバイダーへのアクセス許可を与えるには、SMS 管理グループに他のアカウントを追加します。
最後のセキュリティ階層は、サイト データベース内のオブジェクトに対するアクセス許可に基づいています。 既定では、System Center 2012 Configuration Manager をインストールする際に使用したローカル システム アカウントおよびユーザーアカウントは、サイト データベース内のすべてのオブジェクトを管理できます。Configuration Manager コンソールで、役割に基づいた管理を使用すると、追加の管理ユーザーにアクセス許可を付与したり、制限したりすることができます。
詳細については、「System Center 2012 Configuration Manager のセキュリティとプライバシー」ガイドをご覧ください。
役割に基づいた管理
System Center 2012 Configuration Manager は、役割に基づいた管理を使用して、オブジェクト (コレクション、展開、サイトなど) を保護できます。 この管理モデルは、階層内のすべてのサイトのセキュリティのアクセス権の設定およびサイトの設定を一元的に定義および管理します。 セキュリティ ロールによって、管理ユーザーおよびグループに、各種の Configuration Manager オブジェクトへのアクセス許可 (クライアント設定を作成または変更するためのアクセス許可など) が割り当てられます。 セキュリティ スコープは、管理ユーザーが管理を担当する特定のオブジェクトのインスタンス (Microsoft Office 2010 をインストールするアプリケーションなど) をグループ化します。 セキュリティ ロール、セキュリティ スコープ、およびコレクションの組み合わせによって、管理ユーザーが表示および管理できるオブジェクトが定義されます。System Center 2012 Configuration Manager は、一般的な管理タスクのためにいくつかの既定のセキュリティ ロールをインストールします。 ただし、独自のセキュリティ ロールを作成して、特定のビジネスの要件をサポートすることができます。
詳細については、「System Center 2012 Configuration Manager のサイト管理」ガイドの次のトピックを参照してください。
クライアント エンドポイントの保護
サイト システムの役割へのクライアント通信は、自己署名入り証明書または公開キー基盤 (PKI) 証明書を使用して保護されます。Configuration Manager がインターネットで検出したコンピューター クライアントおよびモバイル デバイス クライアントは、HTTPS を使用してクライアント エンドポイントを保護できるように、PKI 証明書を使用する必要があります。 クライアントが接続するサイト システムの役割は、HTTPS または HTTP を使用してクライアント通信を行うように構成できます。 クライアント コンピューターは、利用可能な最も安全な方法を常に使用して通信し、HTTP 通信を許可するサイト システムの役割がある場合にのみ、安全性が劣るイントラネットでの HTTP による通信方法を代替で使用します。
詳細については、「System Center 2012 Configuration Manager のサイト管理」ガイドの次のトピックを参照してください。
Configuration Manager のアカウントとグループ
System Center 2012 Configuration Manager では、ほとんどのサイト操作にローカル システム アカウントを使用します。 ただし、いくつかの管理タスクでは、追加のアカウントを作成して管理する必要がある場合があります。 いくつかの既定のグループと SQL Server の役割がセットアップ時に作成されます。 必要に応じて、これらの既定のグループと役割にコンピューターまたはユーザー アカウントを手動で追加することもできます。
詳細については、「Configuration Manager で使用されるアカウントのテクニカル リファレンス」ガイドの「System Center 2012 Configuration Manager のサイト管理」を参照してください。
プライバシー
多くのクライアントを効果的に管理できるため、エンタープライズ管理製品には多くの利点がありますが、このソフトウェアが組織のユーザーのプライバシーに影響を与える可能性について注意する必要があります。System Center 2012 Configuration Manager にはデータを収集してデバイスを監視するための多くのツールが備わっています。これらのいくつかではプライバシーの問題が生じる可能性があります。
たとえば、System Center 2012 Configuration Manager クライアントをインストールすると、既定で多数の管理設定が有効になります。 その結果、クライアント ソフトウェアから情報が Configuration Manager サイトに送信されます。 クライアント情報は Configuration Manager データベースに格納されます。Microsoft に送信されることはありません。System Center 2012 Configuration Manager を実装する前に、プライバシーの要件を考慮してください。
詳細については、「System Center 2012 Configuration Manager のセキュリティとプライバシー」ガイドをご覧ください。