ドメインに属していないターゲットマシンをWMIセンサーで監視するにはどうすればよいですか
この資料では、ドメインに属していないターゲットマシンをWMIセンサーで監視するための設定について説明します。
情報源
この資料の情報源は以下のとおりです：
ナレッジベース： How can I monitor WMI sensors if the target machine is not part of a domain?
本資料はPaessler AG作成の資料/ナレッジベースをジュピターテクノロジー株式会社（以下当社と略記）が独自で翻訳したものです。ベストエフォートの翻訳であるため、最新情報ではない可能性があります。最新情報は情報源をご確認ください。
この記事はPRTG16以降に適用されます
ドメイン外のWMIセンサー監視
PRTGがインストールされているサーバーがドメインに属していて、いくつかのターゲットマシンがドメインに属していない場合、WMI監視は次のエラーで失敗することがよくあります。
接続を確立できませんでした （80070005: アクセスが拒否されました。）
この記事では、この問題を解決して、ドメイン外のターゲットマシンの監視を成功させるために考えられるいくつかの手順を紹介します。
基本的な手順
- まず、正しい資格情報が使用されているかどうかを確認してください。特に、PRTGのドメイン/コンピューター名の欄にホスト名が入力されている場合は注意が必要です。グループのすべてのデバイスがドメイン外の場合、親グループの設定でlocalhostを使用してみてください。このフィールドを空にしないでください。
- PRTGとターゲットマシンの間にファイアウォールがあり、ポート135での接続が妨げられていないか確認してください。
- ターゲットマシンへのアクセス権を確認してください。適切な権限を持ったローカルユーザーでアクセスするか、ドメイン管理者でアクセスしてみてください。
・ローカルユーザーを使用してターゲットマシンを監視する場合（ワークグループまたはドメイン内のマシンに関係なく）、このユーザーアカウントを次のように設定します。
注：この方法はドメインユーザーでは使えません。
- ターゲットマシンでコンピューターの管理を開きます。
- [システムツール]-[ローカルユーザーとグループ]-[グループ]を開きます。
- ローカルユーザーを「Distributed COM Users」と「Performance Monitor Users」に追加します。
- [コンピューターの管理]画面で[サービスとアプリケーション]に移動します。
- [WMIコントロール]を右クリックして、[プロパティ]を選択します。
- [セキュリティ]タブを選択します。
- 目的の名前空間（たとえば、Root\CIMV2）に移動します。
- [セキュリティ]ボタンをクリックします。
- ローカルユーザーを追加し、次の権限を付与します：メソッドの実行、アカウントの有効化、およびリモートの有効化。
- DCOMCNFG.exeを起動します
- [コンポーネントサービス]-[コンピューター]-[マイコンピューター]を選びます。
- [マイコンピューター]を右クリックして、[プロパティ]を選択します。
- [COMセキュリティ]タブを選択します。
- [起動とアクティブ化のアクセス許可]セクションで、[制限の編集…]をクリックします。
- ローカルユーザーを追加し、次の権限を許可します：ローカルからの起動、リモートからの起動、リモートからのアクティブ化。
- ローカルユーザーのユーザーアカウントでの監視が機能するようになりました。 それ以外の場合は、以下で説明しているようにドメイン管理者を使用してみてください。
・WMIセンサーを使用するPRTGプローブを実行しているすべてのコンピューター（ローカルプローブシステム、リモートプローブシステム、クラスター内のすべてのノード）のアクセス許可を確認します。
- PRTGプローブを実行している各システムでDCOMCNFG.exeを起動します。
- [コンポーネントサービス]-[コンピューター]-[マイコンピューター]を選びます。
- [マイコンピューター]を右クリックして、[プロパティ]を選択します。
- [COMセキュリティ]タブを選択します。
- [アクセス許可]セクションで、[制限の編集…]をクリックします。
- グループEveryoneを追加し、リモートアクセスを許可します。
- コンピューターを確認して再起動します。
・次に試すべきことは、PRTGプローブサービスがドメイン管理者アカウントで実行されるように設定することです。デフォルトでPRTGプローブを動作させるシステムアカウントのアクセス権が十分でない場合があります。ドメイン管理者アカウントを使用してドメイン外のマシンにクエリを実行するのは気が引けるかもしれませんが、このオプションで（この特定のターゲットの）WMIセンサーが機能するケースが実際にあったため、これを試してみてください。
- ターゲットサーバーでリモート管理が有効になっていることを確認します。 Microsoft TechNet: Configure Remote Management in Server Manager (Windows Server 2012)をご確認ください。
- WMI Testerでターゲットホストにアクセスできるにもかかわらず、PRTGが80070005エラーを表示する場合は、デバイスの設定のWindows システムの資格情報で、「ドメイン/コンピューター名」として「localhost」を使用してみてください。
次のオプションは、ターゲットマシンで実行されているWindowsのバージョンによって違います。
Windows 7
- コントロールパネルを開き、[システムとセキュリティ]に移動して、[Windowsファイアウォール]をクリックします。
- 「詳細設定」をクリックしてから、インバウンドルールとアウトバウンドルールの両方について、次の手順を実行します。
- WMIトラフィックがファイアウォールを通過できるようにするには、「Windows Management Instrumentation」のチェックボックスをすべて選択します。ウィンドウを閉じて確認してください。
- 管理者権限でコマンドプロンプトを開き、以下の行を入力して、別のファイアウォールグループルールを設定します。
| netsh advfirewall firewall set rule group=”windows management instrumentation (wmi)” new enable=yes |
- 最終的にはターゲットマシンを再起動してください。これでWMIによる監視が可能になるはずです。
- 監視ユーザーを「Performance Monitor Users」グループに追加します。
- UACが一部の（すべてではない）WMIカウンターをブロックし、エラー80041003: The current user does not have permission to perform the action.（80041003：現在のユーザーにはアクションを実行する権限がありません。）が発生します。以下のレジストリキーを追加することで、UACのこの機能を無効にすることができます。
Path:
| HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System |
新しいDWORD値を追加します。
名前：LocalAccountTokenFilterPolicy
値：1
注：これにより、UACによる保護機能の一部が無効になります。具体的には、管理者セキュリティトークンを使用したサーバーへのリモートアクセスは、ルートフォルダへのアクセスを含む完全な管理者権限で自動的に昇格されます。詳細については、http://support.microsoft.com/kb/951016を参照してください。また、WMIモニタリングを実行するために、UACを完全に無効にする必要があるケースも見受けられました。
Windows XP（サポート外）/2003（サポート外）
- ［スタート］→［ファイル名を指定して実行］に移動し、レジストリエディタを起動します（regedit）
- 次のキーを操作してください。
| HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA\ |
- 「ForceGuest」が「0」に設定されていることを確認してください。
- 最終的にはターゲットマシンを再起動してください。これでWMIによる監視が可能になるはずです。
- 詳細は http://support.microsoft.com/default.aspx?scid=kb;en-us;290403 を参照してください。
Windows Vista（サポート外）/2008 (R2
- コントロールパネルから、[Windowsファイアウォール]をクリックします。
- [設定の変更]をクリックし、[例外]タブを選択してください。
- WMIトラフィックがファイアウォールを通過できるようにするには、「Windows Management Instrumentation」のチェックボックスをオンにします。 これを[OK]で確認します。
- 管理者権限でコマンドプロンプトを開き、以下の行を入力して、別のファイアウォールグループルールを設定します。
| netsh advfirewall firewall set rule group=”windows management instrumentation (wmi)” new enable=yes |
注：グループの名前は言語に依存しており、英語以外のWindowsバージョンでは翻訳する必要があります。そのため、ドイツ語版のWindowsでこのコマンドを実行する場合は、windows management instrumentation (wmi)をWindows-Verwaltungsinstrumentation (WMI)に置き換える必要があります。
- 最終的にはターゲットマシンを再起動してください。これでWMIによる監視が可能になるはずです。
- 詳細は http://msdn.microsoft.com/en-us/library/aa822854(VS.85).aspxを参照してください。
- 監視ユーザーを「Performance Monitor Users」グループに追加します。
免責事項・使用限定事項
ジュピターテクノロジー株式会社（以下当社と略記します）が作成した本ドキュメントに関する免責事項および本ドキュメント使用に関する限定事項は以下の通りです。
本ドキュメントに関する免責事項
本ドキュメントは作成時点においてメーカーより提供された情報および当社での検証結果により作成されたものですが、当社は本ドキュメントの内容に関していかなる保証をするものではありません。万一、内容についての誤りおよび内容に基づいて被った損害が発生した場合でも一切責任を負いかねます。本ドキュメントの内容によりなされた判断による行為で発生したいかなる損害に対しても当社は責任を負いません。
本ドキュメント使用に関する限定事項
別に定める場合を除いて、本ドキュメントの取り扱いは当社より提供を受けたお客様による私的かつ非営利目的での使用に限定されます。お客様は、本ドキュメントについて、変更、コピー、頒布、送信、展示、上映、複製、公開、再許諾、二次的著作物作成、譲渡、販売のいずれも行うことができません。
お問い合わせ
PRTG Network Monitorについて、ご不明な点などございましたらお問い合わせください：
ジュピターテクノロジー株式会社（Jupiter Technology Corp.）
住所： 〒183-0023 東京都府中市宮町2-15-13 第15三ツ木ビル8Ｆ
電話番号： 042-358-1250
購入前のお問い合わせ先： https://www.jtc-i.co.jp/contact/scontact.php
購入後のお問い合わせ先： https://www.jtc-i.co.jp/support/customerportal/
この記事へのコメントはありません。