検疫ネットワークの導入(2)

NPSサーバの設定変更

まず、NPSサーバの設定変更について解説する。この作業はいうまでもなく、NPSサーバとして使用するコンピュータに管理者権限を持つユーザーアカウントでログオンして実施する。

(1)[ネットワークポリシーとアクセスサービス]管理ツールを起動する。

(2)左側のツリー画面で[役割]-[ネットワークポリシーとアクセスサービス]-[NPS(ローカル)]を選択する。

(3)右クリックメニューで[Active Directoryにサーバーを登録]を選択する。この操作により、Active Directoryへの登録が行われる。

(4)左側のツリー画面で[NPS(ローカル)]を選択した状態では、画面中央にNPSの概要と[標準構成]を表示する画面が現れる。その画面で、[標準構成]以下にあるリストボックスで[ネットワークアクセス保護(NAP)]を選択する。

(5)その下にある[NAPを構成する]をクリックする。

(6)ここから先は、ウィザード形式で設定を行う。まず、[NAPで使用するネットワーク接続方法の選択]では、[ネットワーク接続の方法]を[動的ホスト構成プロトコル(DHCP)]とする。このとき、[ポリシー名]は自動的に「NAP DHCP」となるが、好みに応じて別のポリシー名に変更することもできる。

検疫ネットワークを実現する手段にはいろいろあるが、DHCPを使用する方法がもっとも簡便。この場合、[ネットワーク接続の方法]を[動的ホスト構成プロトコル(DHCP)]とする

(7)次の画面は[DHCPサーバーサービスを実行するNAP強制サーバーの指定]だが、NPSサーバとDHCPサーバを兼用する場合には、何も設定しなくてよい。ここで設定が必要になるのは、NPSサーバとDHCPサーバが別のコンピュータになっている場合である。

(8)次の画面は[DHCPスコープの指定]だが、ここではNPSポリシーを適用するDHCPスコープを指定する。本稿の設定例ではスコープはひとつだけで、それがNPSポリシーの適用対象になるため、空白のまま続行してよい。何も設定しない場合、すべてのスコープが適用対象になるが、複数のスコープがある場合、その中のどれを適用対象にするかを指定する必要があり、それを設定するのがこの画面である。

(9)次の画面は[ユーザーグループとコンピュータグループの構成]だが、ここではユーザー、あるいはコンピュータに対してグループ単位でアクセスの可否を指定する。何も指定しなければ、すべてのユーザーが対象になる。

(10)次の画面は[NAP修復サーバーグループおよびURLの指定]で、修復サーバのグループに関する設定を行う。修復サーバとは、検疫にひっかかったコンピュータに対してしかるべき措置をとるためのサーバで、セキュリティ修正プログラムやウィルス対策ソフトなどをダウンロードさせるために使用する。これを複数台設置してグループ化することができ(修復サーバグループ)、そのための設定を行うのがこの画面である。修復サーバグループの設定は、[新しいグループ]をクリックすると表示するダイアログで行う(グループの名前と、グループへのサーバの登録が可能)。修復サーバを設置しないときには、何も設定せずに続行する。なお、ここではヘルプURLの指定も行えるが、これはユーザーに対して修復を行う際の操作手順を説明する際に利用できる(必須ではないが、ある方が親切だ)。

(11)次の画面は[NAP正常性ポリシーの定義]で、ここでは[Windowsセキュリティ正常性検証ツール]のチェックがオンになっていることを確認する。ここで、[クライアントコンピュータの自動修復を有効にする]をオンにすると、設定に問題があった場合に自動修復する。オフにすると、修復はユーザーが手作業で行う必要がある。

(12)この画面では、NAPに適合しないクライアントに対するアクセスの可否も設定できる。せっかくNAPを稼動させるのだから、NAPに適合しないクライアントからの接続を拒否するべきだ。接続を許可したのでは、何のためのNAPかわからなくなってしまう!

(13)次の画面は[NAP強制ポリシーおよびRADIUSクライアント構成の完了]だ。ここで[完了]をクリックすると、作成した6種類のポリシー(正常性ポリシー×2、接続要求ポリシー×1、ネットワーク ポリシー×3)の名前を表示する。また、[構成の詳細]をクリックするとInternet Explorerが起動して、HTML文書化した設定内容を確認できる。