2. Dell
  3. Chassis Management Controller Version 3.1
Chassis Management Controller Version 3.1

Dell Chassis Management Controller Version 3.1 ユーザーガイド

  • こんにちは！Dell シャーシ管理コントローラのユーザーガイドに関するご質問にお答えします。このガイドには、インストール、設定、Active Directoryとの統合、トラブルシューティングなど、CMCの様々な機能に関する情報が網羅されています。どのようなご質問でもお気軽にお尋ねください。
  • CMCをActive Directoryと連携させる方法は？
    CMCのファームウェアバージョンを確認するには？
    コマンドラインインターフェースでCMCを管理できますか？
    CMCのウェブインターフェースにアクセスするには？
    トラブルシューティングの情報はどこにありますか？
DellChassisManagementControllerファームウェアバージョン 3.1 ユーザーガイド
メモおよび注意
本書の 内容は予告なく変 更されることがあります。
©2010すべての著作権は Dell Inc. にあります。
Dell Inc. の書面による許可のない複製は、いかなる形態においても厳重に禁じられています。本書で使用されている商標：Dell™、DELL のロゴ、FlexAddress™、OpenManage™、PowerEdge™、 および PowerConnect™
は、Dell Inc. の商標です。Microsoft®、Active Directory®、Internet Explorer®、Windows®、Windows Server®、および Windows Vista® は、米国およびその他の国における Microsoft Corporation の商標
または登録商標です。Red Hat® および Red Hat Enterprise Linux® は、米国およびその他の国における Red Hat, Inc. の登録商標です。Novell® は、米国およびその他の国における Novell Inc. の登録商標です。
SUSE® は、米国およびその他の国における Novell Inc. の商標です。Intel®
は、Intel Corporation の登録商標です。UNIX® は、米国およびその他の国における The Open Group の登録商標です。Avocent® は、
Avocent Corporation の商標です。OSCAR® は、Avocent Corporation またはその関連会社の登録商標です。
Copyright 1998-2006 The OpenLDAP Foundation.All rights reserved.ソースおよびバイナリ形式での再配布と使用は、変更の有無を問わず、OpenLDAP の公開ライセンスで承認されている範囲内でのみ許可されま
す。このライセンスのコピーは、配布パッケージ内の最上位レベルのディレクトリに入っている LICENSE ファイル、または http://www.OpenLDAP.org/license.html でご覧いただけます。OpenLDAP は OpenLDAP
Foundation の登録商標です。個々のファイルや提供パッケージは、他社が著作権を所有している場合があり、その他の制約を受ける可能性があります。この製品はミシガン大学 LDAP v3.3 ディストリビューションから派生しています。
この製品には、公共ソースから派生した材料も含まれています。OpenLDAP に関する情報は http://www.openldap.org/ から入手できます。Portions Copyright 1998-2004 Kurt D.Zeilenga.Portions Copyright
1998-2004 Net Boolean Incorporated.Portions Copyright 2001-2004 IBM Corporation.All rights reserved.ソースおよびバイナリ形式での再配布と使用は、変更の有無を問わず、OpenLDAP の公開ライセ
ンスで承認されている範囲内でのみ許可されます。Portions Copyright 1999-2003 Howard Y.H.Chu.Portions Copyright 1999-2003 Symas Corporation.Portions Copyright 1998-2003 Hallvard
B.Furuseth.All rights reserved.ソースおよびバイナリ形式での再配布と使用は、変更の有無を問わず、この著作権表示を含めた形式でのみ許可されます。著作権所有者の名前を、書面による事前の許可なく、このソフトウェアの派
生製品を推薦または宣伝する目的で使用することはできません。このソフトウェアは、明示的または黙示的を問わず、保証なしに「現状有姿」で提供されます。Portions Copyright (c) 1992-1996 Regents of the University of
Michigan.All rights reserved.ソースおよびバイナリ形式での再配布と使用は、この著作権表示を含め、米国アン・アーバーのミシガン大学への謝辞を記載した場合にのみ許可されます。この大学名を、書面による事前の許可なく、こ
のソフトウェアの派生製品を推薦または宣伝する目的で使用することはできません。このソフトウェアは、明示的または黙示的を問わず、保証なしに「現状有姿」で提供されます。
本書では、上記記載以外の商標および会社名が使用されている場合があります。それらの商標や会社名は、一切 Dell Inc. に帰属するものではありません。
2010 年 12 月
概要
iDRAC6 ディレクトリサービスの使用
CMC のインストールと設定
電力管理
CMC にコマンドラインコンソールの使用を設定する方法
iKVM モジュールの使用
RACADM コマンドラインインタフェースの使用
I/O ファブリック管理
CMC ウェブインタフェースの使用
トラブルシューティングとリカバリ
FlexAddress の使用
診断
FlexAddress Plus の使用
メモ: コンピュータを使いやすくするための重要な情報を説明しています。
注意: 手順に従わないと、ハードウェアの損傷やデータの損失につながる可能性があることを示 しています
。
目次に戻る
iDRAC6 ディレクトリサービスの使用
DellChassisManagementControllerファームウェアバージョン 3.1 ユーザーガイド
CMC と Microsoft Active Directory との併用
標準スキーマの Active Directory の概要
拡張スキーマの概要
シングルサインオンの設定
スマートカードによる二要素認証の設定
汎用 LDAP と CMC の併用
ディレクトリサービスは、ネットワーク上のユーザー、コンピュータ、プリンタなどを制御するのに必要なすべての情報を格納する共通のデータベースを管理しています。Microsoft Active Directory ソ
フトウェアまたは LDAP ディレクトリサービスソフトウェアをお使いの場合、ディレクトリベースのユーザー認証を使用するように CMC を設定することができます。
CMC と Microsoft Active Directory との併用
Active Directory スキーマ拡張
Active Directory で CMC へのユーザーアクセスを定義するには、次の 2 つの方法があります。
l 標準 Active Directory グループオブジェクトのみを使用する標準スキーマソリューション。
l デルによって定義された Active Directory オブジェクトを使用する拡張スキーマソリューション。
標準スキーマと拡張スキーマ
Active Directory を使用して CMC へのアクセスを設定する場合は、拡張スキーマソリューションまたは標準スキーマソリューションを選択する必要があります。
標準スキーマソリューションの場合
l 標準スキーマでは Active Directory オブジェクトのみが使用されるため、スキーマ拡張は不要です。
l Active Directory の設定はシンプルです。
拡張スキーマソリューションの場合
l アクセス制御オブジェクトのすべてを Active Directory で管理できます。
l さまざまな CMC で異なる特権レベルのユーザーアクセスを設定できるため、最大の柔軟性を実現します。
標準スキーマの Active Directory の概要
Active Directory の統合に標準スキーマを使用する場合は、Active Directory と CMC の両方で設定が必要になります。
Active Directory 側では、標準グループオブジェクトが役割グループとして使用されます。CMC のアクセス権を持つユーザーは、役割グループのメンバとなります。
このユーザーに特定の CMC カードへのアクセスを与えるには、役割グループ名とそのドメイン名を特定の CMC カードで設定する必要があります。拡張スキーマソリューションとは異なり、役割と特権
レベルは Active Directory ではなく、各 CMC カードで定義されます。各 CMC につき最大 5 つの役割グループを設定および定義できます。 表5-41 は役割グループの特権レベルを、表8-1 は
役割グループのデフォルト設定を示したものです。
図 8-1.ActiveDirectoryと標準スキーマによる CMC の設定
表 8-1.デフォルトの役割グループの権限
標準スキーマ Active Directory を有効にするには、次の 2 つの方法があります。
l CMC ウェブインタフェースの使用。標準スキーマ Active Directory と Web インタフェースを使用した CMC の設定 を参照してください。
l RACADM CLI ツールの使用。標準スキーマ Active Directory と RACADM を使用した CMC の設定 を参照してください。
CMC にアクセスするための標準スキーマ Active Directory の設定
Active Directory ユーザーが CMC にアクセスできるようになる前に、次の手順を実行して Active Directory を設定します。
1. Active Directory サーバー（ドメインコントローラ）で、Active Directory ユーザーとコンピュータスナップインを開きます。
2. グループを作成するか、既存のグループを選択します。グループの名前とこのドメインの名前は、Web インタフェースまたは RACADM を使って CMC 上で設定する必要があります。
詳細については、標準スキーマ Active Directory と Web インタフェースを使用した CMC の設定 および 標準スキーマ Active Directory と RACADM を使用した CMC の設定 を参照し
てください。
役割
グループ
デフォルトの権限
レベル
許可する権限
ビットマスク
1
None（なし）
l CMC ログインユーザー
l シャーシ設定システム管理者
l ユーザー設定システム管理者
l ログのクリアシステム管理者
l シャーシ制御システム管理者（電源コマンド）
l スーパーユーザー
l サーバー管理者
l テストアラートユーザー
l デバッグコマンドユーザー
l ファブリック A システム管理者
l ファブリック B システム管理者
l ファブリック C システム管理者
0x00000fff
2
None（なし）
l CMC ログインユーザー
l ログのクリアシステム管理者
l シャーシ制御システム管理者（電源コマンド）
l サーバー管理者
l テストアラートユーザー
l ファブリック A システム管理者
l ファブリック B システム管理者
l ファブリック C システム管理者
0x000000f9
3
None（なし）
CMC ログインユーザー
0x00000001
4
None（なし）
権限の割り当てなし
0x00000000
5
None（なし）
権限の割り当てなし
0x00000000
メモ：ビットマスク値は、RACADM で標準スキーマを設定する場合にのみ使用します。
メモ：ユーザー権限の詳細については、ユーザータイプを参照してください。
3. CMC にアクセスするには、Active Directory ユーザーを Active Directory グループのメンバーとして追加します。
標準スキーマ Active Directory と Web インタフェースを使用した CMC の設定
1. CMC ウェブインタフェースにログインします。
2. システムツリーで シャーシ を選択します。
3. ユーザー認証® ディレクトリサービス をクリックします。ディレクトリサービス ページが表示されます。
4. Microsoft Active Directory （標準スキーマ）の隣にあるラジオボタンを選択します。Active Directory の 設定と管理 ページが表示されます。
5. 共通設定 セクションで次の操作を行います。
a. Active Directory を有効にする チェックボックスをオンにします。
b. ルートドメイン名 を入力します。
c. タイムアウト の時間を秒単位で入力します。タイムアウト範囲は 15～ 300 秒です。デフォルトのタイムアウトは 90 秒です。
6. ドメインコントローラとグローバルカタログの検索を直接呼び出す場合は、 検索する AD サーバーの検索（オプション） チェックボックスをオンにし、次の操作を行います。
a. ドメインコントローラ テキストフィールドに、Active Directory サービスがインストールされているサーバーを入力します。
b. グローバルカタログ テキストフィールドに、Active Directory ドメインコントローラ上のグローバルカタログの場所を入力します。グローバルカタログは Active Directory フォレスト
を検索するためのリソースを提供します。
7. 適用 をクリックして設定を保存します。
8. 標準スキーマの設定 セクションで、役割グループ をクリックします。役割グループの設定 ページが表示されます。
9. グループ名 を入力します。グループ名は、CMC カードに関連付けられた Active Directory で役割グループを識別します。
10. グループドメイン を入力します。グループドメイン はフォレストのルートドメインの完全修飾名です。
11. 役割グループの特権 ページで、グループの特権を選択します。
特権を変更すると、既存の 役割グループの特権（システム管理者、パワーユーザー、ゲストユーザー）がカスタムグループまたは適切な役割グループの特権に変更されます。表5-41 を参
照してください。
12. 適用 をクリックして、役割グループの設定を保存します。
13. ユーザー設定ページに戻る をクリックします。
14. ドメインフォレストのルート認証局の署名付き証明書を CMC にアップロードします。 証明書のアップロード ページで、証明書のファイルパスを入力するか、証明書ファイルの場所を指定しま
す。ファイルを CMC に転送するには、アップロード ボタンをクリックします。
ドメインコントローラの SSL 証明書は、ルート認証局の署名付き証明書で署名されていなければなりません。CMC にアクセスする管理ステーションで、ルート認証局の署名付き証明書
が使用可能である必要があります。
15. 適用 をクリックします。適用 をクリックした後、CMC ウェブサーバーが自動的に再起動します。
16. CMC Active Directory 機能の設定を完了するには、ログアウトしてから CMC にログインします。
17. システムツリーで シャーシ を選択します。
18. ネットワーク タブをクリックします。
19. ネットワーク サブタブをクリックします。ネットワーク設定 ページが表示されます。
メモ：ルードメイン名 は x.y という命名規則に従った有効なドメイン名である必要があります。この x は文字間に空白文字が入っていない 1～256 文字 ASCII 文字列、y は com、
edu、gov、int、mil、net、org などの有効なドメインタイプで指定します。
メモ：次の手順に進む前に、設定を適用する必要があります。設定を適用しなければ、次のページへ移動したとき、入力した設定が失われます。
メモ：アップロードする証明書の相対ファイルパスが ファイルパス の値に表示されます。フルパスと正しいファイル名とファイル拡張子を含む絶対ファイルパスを入力する必要がありま
す。
20. ネットワーク設定 で DHCP を使用（CMC ネットワークインターフェース IP アドレス用）が選択されている場合、DHCP を使用して DNS サーバーアドレスを取得 を選択します。
DNS サーバーの IP アドレスを手動で入力するには、DHCP を使用して DNS サーバーアドレスを取得する チェックボックスをオフにし、プライマリおよび代替 DNS サーバーの IP アドレ
スを入力します。
21. 変更の適用 をクリックします。
これで、CMC 標準スキーマ Active Directory 機能の設定が完了します。
標準スキーマ Active Directory と RACADM を使用した CMC の設定
標準スキーマの CMC Active Directory 機能を RACADM CLI を使用して設定するには、次のコマンドを使用します。
1. CMC へのシリアル /Telnet/SSH テキストコンソールを開いて、次を入力します。
racadm config -g cfgActiveDirectory -o cfgADEnable 1
racadm config -g cfgActiveDirectory -o cfgADType 2
racadm config -g cfgActiveDirectory -o cfgADRootDomain <完全修飾ルートドメイン名>
racadm config -g cfgStandardSchema -i <インデックス> -o cfgSSADRoleGroupName <役割グループのコモンネーム>
racadm config -g cfgStandardSchema -i <インデックス> -o cfgSSADRoleGroupDomain <完全修飾ドメイン名>
racadm config -g cfgStandardSchema -i <インデックス> -o cfgSSADRoleGroupPrivilege <特定のユーザー権限のビットマスク番号>
racadm sslcertupload -t 0x2 -f <ADS ルート CA 証明書>
racadm sslcertdownload -t 0x1 -f <RAC SSL 証明書>
2. 次のいずれかのオプションを使用して DNS サーバーを指定します。
l CMC で DHCP が有効化されており、DHCP サーバーによって自動取得される DNS アドレスを使用したい場合は、次のコマンドを入力します。
racadm config -g cfgLanNetworking -o cfgDNSServersFromDHCP 1
l CMC で DHCP が無効になっている場合や、手動で DNS の IP アドレスを入力する場合は、次のコマンドを入力します。
racadm config -g cfgLanNetworking -o cfgDNSServersFromDHCP 0
racadm config -g cfgLanNetworking -o cfgDNSServer1 <プライマリ DNS IP アドレス>
racadm config -g cfgLanNetworking -o cfgDNSServer2 <セカンダリ DNS IP アドレス>
拡張スキーマの概要
Active Directory で拡張スキーマを有効にするには、次の 2 つの方法があります。
l CMC ウェブインタフェースを使用する。手順については、拡張スキーマ Active Directory と Web インタフェースを使用した CMC の設定 を参照してください。
l RACADM CLI ツールを使用する。手順については、拡張スキーマ Active Directory と RACADM を使用した CMC の設定 を参照してください。
Active Directory スキーマ拡張
Active Directory データは、属性とクラスの分散データベースです。Active Directory スキーマには、データベースに追加または挿入するデータタイプを決定する規則があります。
データベースに格納されるクラスの一例として、ユーザークラスがあります。ユーザークラスの属性には、ユーザーの姓、名、電話番号などが含まれます。
貴社の環境の固有なニーズを満たす独自の属性やクラスを追加して、データベースを拡張できます。デルでは、スキーマを拡張して、リモート管理の認証と許可をサポートするために必要な変更を組み
込みました。
既存の Active Directory スキーマに追加した属性やクラスは、それぞれ固有の ID で定義する必要があります。業界全体で一意の ID を維持できるよう、Microsoft は Active Directory オブジ
ェクト識別子（OID）のデータベースを管理しています。Microsoft の Active Directory でスキーマを拡張するために、デルは固有の OID、固有の名前拡張子、デル固有の属性とクラスに一意に関
連付けた属性 ID を確立しました。
デルの拡張子：dell
デルのベース OID：1.2.840.113556.1.8000.1280
RAC LinkID 範囲：12070-2079
メモ：ビットマスクの番号については、『Dell Chassis Management Controller 管理者リファレンスガイド』のデータベースプロパティの表 3-1 を参照してください。
RAC スキーマ拡張の概要
デルは管理者が設定できるプロパティのグループを提供しています。デルの拡張スキーマには、関連、デバイス、特権などのプロパティが含まれます。
関連プロパティは、特定の特権セットのあるユーザーまたはグループを 1 台または複数台の RAC デバイスに関連付けます。このモデルでは、ユーザー、RAC 特権、およびネットワーク上の RAC デ
バイスを組み合わせる際に最大限の柔軟性が得られる一方、複雑になり過ぎることはありません。
Active Directory オブジェクトの概要
認証と承認を Active Directory と統合したい CMC が 2 つネットワーク上にある場合は、各 CMC につき少なくとも 1 つの関連オブジェクトと 1 つの RAC デバイスオブジェクトを作成する必要があ
ります。関連オブジェクトは必要なだけいくつでも作成でき、各関連オブジェクトにリンクできるユーザー、ユーザーグループ、RAC デバイスオブジェクトの数にも制限はありません。ユーザーと RAC デ
バイスオブジェクトは、企業内のどのドメインのメンバでもかまいません。
ただし、各関連オブジェクトは 1 つの特権オブジェクトにしかリンクできず、ユーザー、ユーザーグループ、RAC デバイスオブジェクトを 1 つの特権オブジェクトにしかリンクできません。 この例では、シ
ステム管理者 は特定の CMC で各ユーザーの権限を制御できます。
RAC デバイスオブジェクトは、Active Directory に照会して認証と許可を実行するための RAC ファームウェアへのリンクです。RAC をネットワークに追加した場合、システム管理者は RAC とその
デバイスオブジェクトをその Active Directory 名で設定して、ユーザーが Active Directory で認証と認可を実行できるようにする必要があります。さらに、ユーザーが認証できるように、RAC を少
なくとも 1 つの関連オブジェクトに追加する必要があります。
図8-2 は、関連オブジェクトがすべての認証と認可に必要な関連付けを提供する仕組みを示しています。
作成する関連オブジェクトの数に制限はありません。ただし、関連オブジェクトを少なくとも 1 つ作成する必要があり、Active Directory と統合する各 RAC（CMC）につき 1 つの RAC デバイスオブジ
ェクトが必要です。
図 8-2.ActiveDirectoryオブジェクトの標準的なセットアップ
関連オブジェクトに含むことができるユーザー、グループ、RAC デバイスオブジェクトの数に制限はありません。ただし、関連オブジェクトに含むことができる特権オブジェクトは、関連オブジェクト 1 つ
に対し 1 つだけです。関連オブジェクトは、RAC（CMC）に「特権」を持つ「ユーザー」を接続します。
また、Active Directory オブジェクトは、単一ドメイン、複数のドメインのいずれに設定することも可能です。たとえば、CMC が 2 つ（RAC1、RAC2）と、既存の Active Directory ユーザーが 3 つ
（ユーザー 1、ユーザー 2、ユーザー 3）あるとし、 ユーザー 1 とユーザー 2 に 両方の CMC へのシステム管理者特権を与え、ユーザー 3 に RAC2 カードへのログイン特権を与えたいとします。
図8-3 に、このシナリオで Active Directory オブジェクトを設定する方法を示します。
別のドメインからユニバーサルグループを追加する場合、ユニバーサルスコープで関連オブジェクトを作成します。Dell Schema Extender ユーティリティで作成されたデフォルトの関連オブジェクト
は、ドメインローカルグループであり、他のドメインのユニバーサルグループとは連動しません。
図 8-3.単一ドメインでの Active Directory オブジェクトの設定
メモ：RAC 特権オブジェクトは DRAC 4、DRAC 5、および CMC に適用されます。
単一ドメインのシナリオでオブジェクトを設定するには
1. 関連オブジェクトを 2 つ作成します。
2. 2 つの CMC を表す 2 つの RAC デバイスオブジェクト、RAC1 と RAC2 を作成します。
3. 2 つの特権オブジェクト、特権 1 と特権 2 を作成します。特権 1 にはすべての特権（システム管理者）、特権 2 にはログイン特権を与えます。
4. ユーザー 1 とユーザー 2 をまとめてグループ 1 とします。
5. グループ 1 を関連オブジェクト 1（A01）のメンバ、特権 1 を A01 の特権オブジェクトとして、RAC1 と RAC2 を A01 の RAC デバイスとして追加します。
6. ユーザー 3 を関連オブジェクト 2（A02）のメンバ、特権 2 を A02 の特権オブジェクト、RAC2 を A02 の RAC デバイスとして追加します。
詳細な手順については、Active Directory への CMC ユーザーと特権の追加 を参照してください。
図8-4 に、複数ドメインの Active Directory オブジェクトの例を示します。このシナリオでは、CMC が 2 つ（RAC1 と RAC2）と、既存の Active Directory ユーザーが 3 つ（ユーザー 1、ユーザ
ー 2、ユーザー 3）あるとします。ユーザー 1 はドメイン 1 に存在し、ユーザー 2 とユーザー 3 はドメイン 2 に存在しています。このシナリオでは、ユーザー 1 とユーザー 2 に両方の CMC へのシ
ステム管理者特権を持つように設定し、ユーザー 3 に RAC2 カードへのログイン特権を持つようにします。
図 8-4.複数ドメインでの Active Directory オブジェクトの設定
複数ドメインのシナリオでオブジェクトを設定するには、
1. ドメインのフォレスト機能がネイティブまたは Windows 2003 モードになっていることを確認します。
2. 2 つの関連オブジェクト A01（ユニバーサルスコープの）と A02 を任意のドメインに作成します。
図8-4 に、ドメイン 2 のオブジェクトを示します。
3. 2 つの CMC を表す 2 つの RAC デバイスオブジェクト、RAC1 と RAC2 を作成します。
4. 2 つの特権オブジェクト、特権 1 と特権 2 を作成します。特権 1 にはすべての特権（システム管理者）、特権 2 にはログイン特権を与えます。
5. ユーザー 1 とユーザー 2 をまとめてグループ 1 とします。グループ 1 のグループスコープはユニバーサルである必要があります。
6. グループ 1 を関連オブジェクト 1（A01）のメンバ、特権 1 を A01 の特権オブジェクトとして、RAC1 と RAC2 を A01 の RAC デバイスとして追加します。
7. ユーザー 3 を関連オブジェクト 2（A02）のメンバ、特権 2 を A02 の特権オブジェクト、RAC2 を A02 の RAC デバイスとして追加します。
CMC にアクセスするための拡張スキーマ Active Directory の設定
Active Directory を使用して CMC にアクセスする前に、Active Directory ソフトウェアと CMC を設定します。
1. Active Directory スキーマを拡張します（Active Directory スキーマの拡張 を参照）。
2. Active Directory ユーザーおよびコンピュータスナップイン を拡張します（Active Directory ユーザーとコンピュータスナップインへの Dell 拡張のインストール を参照）。
3. CMC ユーザーとその権限を Active Directory に追加します（Active Directory への CMC ユーザーと特権の追加 を参照）。
4. 各ドメインコントローラ上で SSL を有効にします。
5. CMC ウェブインタフェースまたは RACADM を使用して、CMC Active Directory プロパティを設定します（ 拡張スキーマ Active Directory と Web インタフェースを使用した CMC の設
定 または拡張スキーマ Active Directory と RACADM を使用した CMC の設定 を参照）。
Active Directory スキーマの拡張
Active Directory スキーマを拡張すると、デルの組織単位、スキーマのクラスと属性、サンプル特権、および関連オブジェクトが Active Directory スキーマに追加されます。スキーマを拡張する前
に、ドメインフォレストのスキーママスター Flexible Single Master Operation（FSMO）Role Owner にスキーマ管理者特権を持っていることを確認してください。
次のいずれかの方法を使用してスキーマを拡張できます。
l Dell Schema Extender ユーティリティ
l LDIF スクリプトファイル
LDIF スクリプトファイルを使用すると、Dell の組織単位はスキーマに追加されません。
LDIF ファイルと Dell Schema Extender はそれぞれ『Dell Systems Management Tools and Documentation DVD』の次のディレクトリに入っています。
l <DVD ドライブ>:\SYSMGMT\ManagementStation\support\OMActiveDirectory_Tools\<installation type>\LDIF Files
l <DVD ドライブ>:\SYSMGMT\ManagementStation\support\OMActiveDirectory_ Tools\<installation type>\Schema Extender
LDIF ファイルを使用するには、LDIF_Files ディレクトリにある readme の説明を参照してください。Active Directory スキーマを拡張するために Dell Schema Extender を利用する手順につ
いては、Dell Schema Extender の使用 を参照してください。
Schema Extender または LDIF ファイルのコピーと実行はどの場所からでもできます。
Dell Schema Extender の使用
1. ようこそ 画面で、次へ をクリックします。
2. 警告を読んでから、もう一度 次へ をクリックします。
3. 資格情報で 現在のログの使用 を選択するか、スキーマ管理者権限でユーザー名とパスワードを入力します。
4. Dell Schema Extender を実行するには、次へ をクリックします。
5. 完了 をクリックします。
スキーマが拡張されます。スキーマ拡張子を確認するには、Microsoft 管理コンソール（MMC）と Active Directory スキーマスナップインを使用して、次のものがあることを確認します。
l クラス- 表8-2～表8-7 を参照
l 属性 - 表8-8 を参照
注意：： Dell Schema Extender は、 SchemaExtenderOem.ini ファイルを使用します。Dell Schema Extender ユーティリティが正しく機能するように、このファイルの
名前は変更しないでください。
MMC で Active Directory スキーマスナップインを有効にして使用する方法については、Microsoft のマニュアルを参照してください。
表 8-2.ActiveDirectoryスキーマに追加されたクラスのクラス定義
表 8-3.dellRacDeviceクラス
表 8-4.dellAssociationObjectクラス
表 8-5.dellRAC4Privilegesクラス
表 8-6.dellPrivilegesクラス
クラス名
割り当てられたオブジェクト識別番号（OID
）
dellRacDevice
1.2.840.113556.1.8000.1280.1.1.1.1
dellAssociationObject
1.2.840.113556.1.8000.1280.1.1.1.2
dellRACPrivileges
1.2.840.113556.1.8000.1280.1.1.1.3
dellPrivileges
1.2.840.113556.1.8000.1280.1.1.1.4
dellProduct
1.2.840.113556.1.8000.1280.1.1.1.5
OID
1.2.840.113556.1.8000.1280.1.1.1.1
説明
Dell RAC デバイスを表します。RAC デバイスは Active Directory では dellRacDevice として設定する必要があります。この設定により、CMC から Active Directory に
Lightweight Directory Access Protocol（LDAP）クエリを送信できるようになります。
クラスの種類
構造体クラス
SuperClasses
dellProduct（Dell 製品）
属性
dellSchemaVersion
dellRacType
OID
1.2.840.113556.1.8000.1280.1.1.1.2
説明
Dell 関連オブジェクトを表します。この関連オブジェクトはユーザーとデバイスの間の接続を提供します。
クラスの種類
構造体クラス
SuperClasses
Group（グループ）
属性
dellProductMembers
dellPrivilegeMember
OID
1.2.840.113556.1.8000.1280.1.1.1.3
説明
CMC デバイスの承認権限（特権）を定義します。
クラスの種類
補助クラス
SuperClasses
None（なし）
属性
dellIsLoginUser
dellIsCardConfigAdmin
dellIsUserConfigAdmin
dellIsLogClearAdmin
dellIsServerResetUser
dellIsTestAlertUser
dellIsDebugCommandAdmin
dellPermissionMask1
dellPermissionMask2
OID
1.2.840.113556.1.8000.1280.1.1.1.4
説明
Dell の特権（承認権限）のコンテナクラス。
表 8-7.dellProductクラス
表 8-8.ActiveDirectoryスキーマに追加された属性のリスト
クラスの種類
構造体クラス
SuperClasses
User（ユーザー）
属性
dellRAC4Privileges
OID
1.2.840.113556.1.8000.1280.1.1.1.5
説明
すべてのデル製品が派生するメインクラス。
クラスの種類
構造体クラス
SuperClasses
Computer（コンピュータ）
属性
dellAssociationMembers
割り当てられた OID/ 構文オブジェクト識別子
単一値
属性：dellPrivilegeMember
説明：この属性に属する dellPrivilege オブジェクトのリスト。
OID: 1.2.840.113556.1.8000.1280.1.1.2.1
識別名：（LDAPTYPE_DN 1.3.6.1.4.1.1466.115.121.1.12）
FALSE
属性：dellProductMembers
説明：この役割に属する dellRacDevices オブジェクトのリスト。この属性は dellAssociationMembers バックワードリンクへのフォワードリンクです。
リンク ID： 12070
OID：1.2.840.113556.1.8000.1280.1.1.2.2
識別名：（LDAPTYPE_DN 1.3.6.1.4.1.1466.115.121.1.12）
FALSE
属性：dellIsCardConfigAdmin
説明：ユーザーがデバイスの設定権限がある場合には TRUE。
OID： 1.2.840.113556.1.8000.1280.1.1.2.4
ブール（LDAPTYPE_BOOLEAN 1.3.6.1.4.1.1466.115.121.1.7）
TRUE
属性：dellIsLoginUser
説明：ユーザーがデバイスでログイン権限がある場合には TRUE。
OID：1.2.840.113556.1.8000.1280.1.1.2.3
ブール（LDAPTYPE_BOOLEAN 1.3.6.1.4.1.1466.115.121.1.7）
TRUE
属性：dellIsCardConfigAdmin
説明：ユーザーがデバイスの設定権限がある場合には TRUE。
OID： 1.2.840.113556.1.8000.1280.1.1.2.4
ブール（LDAPTYPE_BOOLEAN 1.3.6.1.4.1.1466.115.121.1.7）
TRUE
属性：dellIsUserConfigAdmin
説明：ユーザーがデバイスのユーザー設定システム管理者権限がある場合には TRUE。
OID：1.2.840.113556.1.8000.1280.1.1.2.5
ブール（LDAPTYPE_BOOLEAN 1.3.6.1.4.1.1466.115.121.1.7）
TRUE
属性：delIsLogClearAdmin
説明：ユーザーがデバイスのログのクリアシステム管理者権限がある場合には TRUE。
OID：1.2.840.113556.1.8000.1280.1.1.2.6
ブール（LDAPTYPE_BOOLEAN 1.3.6.1.4.1.1466.115.121.1.7）
TRUE
属性：dellIsServerResetUser
説明：ユーザーがデバイスのサーバーリセット権限がある場合には TRUE。
OID：1.2.840.113556.1.8000.1280.1.1.2.7
ブール（LDAPTYPE_BOOLEAN 1.3.6.1.4.1.1466.115.121.1.7）
TRUE
Active Directory ユーザーとコンピュータスナップインへの Dell 拡張のインストール
Active Directory でスキーマを拡張する場合は、RAC（CMC）デバイス、ユーザーとユーザーグループ、RAC 関連、RAC 特権などを管理できるように、Active Directory ユーザーとコンピュータス
ナップインも拡張する必要があります。
『Dell Systems Management Tools and Documentation DVD』を使ってシステム管理ソフトウェアをインストールする場合、インストール手順中に Active Directory ユーザーとコンピュ
ータスナップインのデル拡張 を選択するとスナップインを拡張できます。システム管理ソフトウェアのインストールに関する追加手順については、『Dell OpenManage Server Administrator
Installation Guide』および『Dell OpenManage Management Station Software Installation Guide』を参照してください。
Active Directory ユーザーとコンピュータスナップインの詳細については、Microsoft のマニュアルを参照してください。
Administrator Pack のインストール
Active Directory CMC オブジェクトを管理している各システムに、Administrator Pack をインストールする必要があります。Administrator Pack をインストールしないと、コンテナ内の Dell
RAC オブジェクトを表示できません。
Active Directory ユーザーとコンピュータスナップインの開始
Active Directory ユーザーとコンピュータスナップインを開くには
1. ドメインコントローラにログインしている場合は、スタート管理ツール® Active Directory ユーザーとコンピュータ の順にクリックします。
ドメインコントローラにログインしていない場合は、適切な Microsoft Administrator Pack がローカルシステムにインストールされている必要があります。この Administrator Pack をイン
ストールするには、スタート® ファイル名を指定して実行 の順にクリックし、MMC と入力して <Enter> を押します。
Microsoft Management Console（MMC）が表示されます。
2. コンソール 1 ウィンドウで、ファイル （または Windows 2000 が稼動するシステムでは コンソール） をクリックします。
3. スナップインの追加と削除 をクリックします。
属性：dellIsTestAlertUser
説明：ユーザーがデバイスのテスト警告ユーザー権限がある場合には TRUE。
OID：1.2.840.113556.1.8000.1280.1.1.2.10
ブール（LDAPTYPE_BOOLEAN 1.3.6.1.4.1.1466.115.121.1.7）
TRUE
属性：dellIsDebugCommandAdmin
説明：ユーザーがデバイスのデバッグコマンドシステム管理者権限がある場合には TRUE。
OID：1.2.840.113556.1.8000.1280.1.1.2.11
ブール（LDAPTYPE_BOOLEAN 1.3.6.1.4.1.1466.115.121.1.7）
TRUE
属性：dellSchemaVersion
説明：現在のスキーマバージョンを使用してスキーマをアップデートします。
OID：1.2.840.113556.1.8000.1280.1.1.2.12
Case Ignore String(LDAPTYPE_CASEIGNORESTRING 1.2.840.113556.1.4.905）
TRUE
属性：dellRacType
説明：この属性は dellRacDevice オブジェクトの現在の RAC タイプで、dellAssociationObjectMembers フォワードリンクへのバックワードリンクです。
OID：1.2.840.113556.1.8000.1280.1.1.2.13
Case Ignore String(LDAPTYPE_CASEIGNORESTRING 1.2.840.113556.1.4.905）
TRUE
属性：dellAssociationMembers
説明：この製品に属する dellAssociationObjectMembers のリスト。この属性は dellProductMembers リンク属性へのバックワードリンクです。
リンク ID： 12071
OID：1.2.840.113556.1.8000.1280.1.1.2.14
識別名（LDAPTYPE_DN 1.3.6.1.4.1.1466.115.121.1.12）
FALSE
属性：dellPermissionsMask1
OID：1.2.840.113556.1.8000.1280.1.6.2.1 整数（LDAPTYPE_INTEGER）
属性：dellPermissionsMask2
OID：1.2.840.113556.1.8000.1280.1.6.2.2 整数（LDAPTYPE_INTEGER）
4. Active Directory ユーザーとコンピュータ スナップインを選択し、追加 をクリックします。
5. 閉じる をクリックして OK をクリックします。
Active Directory への CMC ユーザーと特権の追加
Dell の拡張 Active Directory ユーザーとコンピュータスナップインを使用して、RAC、関連、および特権オブジェクトを作成すると、CMC のユーザーと特権を追加できます。各オブジェクトタイプを追
加するには、次の手順を実行します。
1. RAC デバイスオブジェクトの作成
2. 特権オブジェクトの作成
3. 関連オブジェクトの作成
4. 関連オブジェクトへのオブジェクトの追加
RAC デバイスオブジェクトの作成
1. MMC コンソールルート ウィンドウでコンテナを右クリックします。
2. 新規® Dell RAC オブジェクト の順に選択します。
新規オブジェクト ウィンドウが表示されます。
3. 新しいオブジェクトの名前を入力します。この名前は、拡張スキーマ Active Directory と Web インタフェースを使用した CMC の設定 の手順 8a で入力する CMC 名と同一である必要が
あります。
4. RAC デバイスオブジェクト を選択します。
5. OK をクリックします。
特権オブジェクトの作成
1. コンソールのルート（MMC）ウィンドウでコンテナを右クリックします。
2. 新規® Dell RAC オブジェクト の順に選択します。
新規オブジェクト ウィンドウが表示されます。
3. 新しいオブジェクトの名前を入力します。
4. 特権オブジェクト を選択します。
5. OK をクリックします。
6. 作成した特権オブジェクトを右クリックして プロパティ を選択します。
7. RAC 特権 タブをクリックし、ユーザーに与える権限を選択します。CMC のユーザー権限の詳細については、ユーザータイプ を参照してください。
関連オブジェクトの作成
関連オブジェクトはグループから派生し、グループタイプが含まれている必要があります。 関連スコープは関連オブジェクトのセキュリティグループの種類を指定します。関連オブジェクトを作成する場
合は、追加するオブジェクトの種類に適用される関連スコープを選択します。
たとえば、ユニバーサル を選択すると、関連オブジェクトは Active Directory ドメインがネイティブモード以上で機能している場合にのみ使用可能になります。
1. コンソールのルート（MMC）ウィンドウでコンテナを右クリックします。
メモ：特権オブジェクトは、関係する関連オブジェクトと同じドメインに作成する必要があります。
2. 新規® Dell RAC オブジェクト の順に選択します。
新規オブジェクト ウィンドウが開きます。
3. 新しいオブジェクトの名前を入力します。
4. 関連オブジェクト を選択します。
5. 関連オブジェクト のスコープを選択します。
6. OK をクリックします。
関連オブジェクトへのオブジェクトの追加
関連オブジェクトプロパティ ウィンドウを使用すると、ユーザーまたはユーザーグループ、特権オブジェクト、RAC デバイスまたは RAC デバイスグループ間の関連付けができます。Windows
2000 モード以降のシステムを使用している場合は、ユニバーサルグループを使ってユーザーまたは RAC オブジェクトでドメインを拡張する必要があります。
ユーザーおよび RAC デバイスのグループを追加できます。デル関連グループとデルに関連しないグループを作成する手順は同じです。
ユーザーまたはユーザーグループの追加
1. 関連オブジェクト を右クリックし、プロパティ を選択します。
2. ユーザー タブを選択して、追加 を選択します。
3. ユーザーまたはユーザーグループの名前を入力し、OK をクリックします。
特権オブジェクト タブをクリックして、RAC デバイスに認証するときにユーザーまたはユーザーグループの特権を定義する関連に、特権オブジェクトを追加します。関連オブジェクトに追加できる特権
オブジェクトは 1 つだけです。
特権の追加
1. 特権オブジェクト タブを選択し、追加 をクリックします。
2. 特権オブジェクト名を入力し、OK をクリックします。
製品 タブをクリックして、1 台または複数台の RAC デバイスを関連に追加します。関連デバイスは、ネットワークに接続している RAC デバイスのうち、定義したユーザーまたはユーザーグループが
使用できるものを指定します。関連オブジェクトには複数の RAC デバイスを追加できます。
RAC デバイスまたは RAC デバイスグループの追加
RAC デバイスまたは RAC デバイスグループを追加するには、次の手順に従います。
1. 製品 タブを選択して 追加 をクリックします。
2. RAC デバイスまたは RAC デバイスグループの名前を入力し、OK をクリックします。
3. プロパティ ウィンドウで、適用、OK の順にクリックします。
拡張スキーマ Active Directory と Web インタフェースを使用した CMC の設定
1. CMC ウェブインタフェースにログインします。
2. システムツリーで シャーシ を選択します。
3. ユーザー認証®ディレクトリサービス をクリックします。
ディレクトリサービスページが表示されます。
4. Microsoft Active Directory （拡張スキーマ）を選択します。
5. 共通設定 セクションで以下の操作を行います。：
a. Active Directory を有効にする チェックボックスが選択されていることを確認します。
b. ルートドメイン名 を入力します。
c. タイムアウト の時間を秒単位で入力します。設定範囲：15～300秒 デフォルト： 90 秒
6. オプション：ドメインコントローラとグローバルカタログの検索を直接呼び出す場合は、検索する AD サーバーの検索（オプション） チェックボックスをオンにし、以下の操作を行います。
a. ドメインコントローラ テキストフィールドに、Active Directory サービスがインストールされているサーバーを入力します。
b. グローバルカタログ テキストフィールドに、Active Directory ドメインコントローラ上のグローバルカタログの場所を入力します。グローバルカタログは Active Directory フォレスト
を検索するためのリソースを提供します。
7. 拡張スキーマの設定 セクションで、以下の操作を行います。
a. CMC 名 を入力します。CMC 名 は Active Directory で CMC カードを一意に識別します。CMC 名 は、ドメインコントローラで作成した新しい CMC オブジェクトのコモンネーム
（CN）と同じである必要があります。CMC 名 は 1～256 文字の ASCII 文字列で、文字間にスペースは挿入できません。
b. CMC ドメイン名 を入力します（例：cmc.com）。CMC ドメイン名 は、Active Directory CMC オブジェクトがあるドメインの DNS 名（文字列）です。名前は x.y から成る有効なドメ
イン名にします。x は文字間に空白文字のない 1～256 の ASCII 文字列で、y は com、 edu、gov、int、mil、net、org などの有効なドメインタイプです。
8. 適用 をクリックして設定を保存します。
9. 証明書を管理 セクションで、テキストフィールドに証明書のファイルパスを入力するか、または 参照 をクリックして証明書ファイルを選択します。ファイルを CMC に転送するには、アップロー
ド ボタンをクリックします。
デフォルトでは、SSL 証明書の検証が必要です。cfgActiveDirectory RACADM と GUI 内では、証明書の検証を無効にする新しい設定があります。
SSL 証明書検証を有効にするには（デフォルト）：
racadm config -g cfgActiveDirectory -o cfgADCertValidationEnable 1
SSL 証明書検証を無効にするには：
racadm config -g cfgActiveDirectory -o cfgADCertValidationEnable 0
ドメインコントローラの SSL 証明書には、ルート認証局による署名が必要です。CMC にアクセスする管理ステーションで、ルート認証局の署名付き証明書が使用可能である必要があります。
10. 適用 をクリックします。適用 をクリックした後、CMC ウェブサーバーが自動的に再起動します。
11. CMC ウェブインタフェースに再びログインします。
12. システムツリーで シャーシ を選択し、ネットワーク タブをクリックしてから ネットワーク サブタブをクリックします。ネットワーク設定 ページが表示されます。
13. DHCP を使用（CMCネットワークインターフェース IP アドレス用）が有効（チェックボックスがオン）の場合は、以下のいずれかを行います。
l DHCP を使用して DNS サーバーアドレスを取得する を選択して、DHCP サーバーが DNS サーバーアドレスを自動的に取得できるようにするか、
l DHCP を使用して DNS サーバーアドレスを取得する チェックボックスをオフにしたままで、フィールドにプライマリおよび代替 DNS サーバーの IP アドレスを入力して DNS サー
バーの IP アドレスを手動で設定します。
14. 変更の適用 をクリックします。
CMC 拡張スキーマ Active Directory 機能の設定が完了します。
拡張スキーマ Active Directory と RACADM を使用した CMC の設定
メモ：ルートドメイン名 は x.y の命名規則に従う有効なドメイン名でなければなりません。x は 1～256 文字の ASCII 文字列で文字間にスペースは挿入できません。y は com、
edu、gov、int、mil、net、org などの有効なドメイン名の種類です。
メモ：IP アドレスを 0.0.0.0 に設定すると、CMC のサーバー検索が無効になります。
メモ：コンマ区切りのドメインコントローラまたはグローバルカタログサーバーのリストを指定できます。CMC では、最大 3 個の IP アドレスまたはホスト名を指定できます。
メモ：ドメインコントローラまたはグローバルカタログサーバーが、すべてのドメインとアプリケーションに対して正しく設定されていない場合は、既存のアプリケーション / ドメインの動作中
に予期しない結果が生成される可能性があります。
メモ：次のステップに進んで別のページへ移動する前に、設定を適用する必要があります。設定を適用しない場合、次のページへ移動したときに入力した設定が失われます。
メモ：アップロードする証明書の相対ファイルパスが ファイルパス の値に表示されます。フルパスと正しいファイル名とファイル拡張子を含む絶対ファイルパスを入力する必要がありま
す。
注意：： この証明書を無効にするには危険が伴います
。
ウェブインタフェースでなく、RACADM CLI ツールを使用した拡張スキーマで CMC Active Directory 機能を設定するには、次のコマンドを使用します。
1. シリアル /Telnet/SSH テキストコンソールを開いて CMC に進み、ログインした後、次を入力します。
racadm config -g cfgActiveDirectory -o cfgADEnable 1
racadm config -g cfgActiveDirectory -o cfgADType 1
racadm config -g cfgActiveDirectory -o cfgADRacDomain <CMC の完全修飾ドメイン名>
racadm config -g cfgActiveDirectory -o cfgADRootDomain <完全修飾ルートドメイン名>
racadm config -g cfgActiveDirectory -o cfgADRacName <CMC のコモンネーム>
racadm sslcertupload -t 0x2 -f <ADS ルート CA 証明書> -r
racadm sslcertdownload -t 0x1 -f <CMC の SSL 証明書>
オプション：DNS サーバーから返されたサーバーを使用せずに、LDAP またはグローバルカタログサーバーを指定してユーザー名を検索する場合は、次の サーバーの指定 オプションを有
効にします。
racadm config -g cfgActiveDirectory -o cfgADSpecifyServerEnable 1
サーバーの指定 オプションを有効にした後、サーバーの IP アドレスまたは完全修飾ドメイン名（FQDN）で LDAP サーバーとグローバルカタログを指定できます。FQDN はサーバーのホスト
名とドメイン名で構成されます。
LDAP サーバーを指定するには以下のように入力します。
racadm config -g cfgActiveDirectory -o cfgADDomainController <AD ドメインコントローラの IP アドレス>
グローバルカタログサーバーを指定するには以下のように入力します。
racadm config -g cfgActiveDirectory -o cfgADGlobalCatalog <AD グローバルカタログの IP アドレス>
2. 次のいずれかのオプションを使用して DNS サーバーを指定します。
l CMC で DHCP が有効化されており、DHCP サーバーによって自動取得される DNS アドレスを使用したい場合は、次のコマンドを入力します。
racadm config -g cfgLanNetworking -o cfgDNSServersFromDHCP 1
l CMC で DHCP が無効になっている場合や、DHCP が有効でも DNS の IP アドレスを手動で指定したい場合は、次のコマンドを入力します。
racadm config -g cfgLanNetworking -o cfgDNSServersFromDHCP 0
racadm config -g cfgLanNetworking -o cfgDNSServer1 <プライマリ DNS IP アドレス>
racadm config -g cfgLanNetworking -o cfgDNSServer2 <セカンダリ DNS IP アドレス>
これで、拡張スキーマ機能の設定は完了しました。
よくあるお問い合わせ（FAQ）
表 8-9.CMCと Active Directory の併用：よくあるお問い合わせ （FAQ)
メモ：このコマンドはリモート RACADM を介してのみ使用できます。リモート RACADM の情報については、RACADM へのリモートアクセスを参照してください。
メモ：サーバーの指定 オプションを使用すると、認証局の署名付き証明書が、指定したサーバーの名前と照合されません。IP アドレスだけでなくホスト名も入力できるため、CMC シス
テム管理者にとっては特に便利です。
メモ：IP アドレスを 0.0.0.0 に設定すると、CMC のサーバー検索が無効になります。
メモ：コンマ区切りの LDAP またはグローバルカタログサーバーのリストを 指定できます。CMC では、最大 3 個の IP アドレスまたはホスト名を指定できます。
メモ：すべてのドメインとアプリケーションに LDAP が正しく設定されていないと、既存のアプリケーション / ドメインの機能中に予期せぬ結果を招くことがあります。
質問
回答
Active Directory が複数のツリーにまたがる場合、これを使って CMC にログイン
できますか?
はい。CMC の Active Directory クエリアルゴリズムは、1 つのフォレストで複数のツリーをサポートします。
混在モード（すなわちフォレストのドメインコントローラが Microsoft Windows NT
2000 や Windows Server 2003 などの異なるオペレーティングシステムを実
行） での Active Directory を使った CMC へのログインは可能ですか?
はい。混在モードでは、CMC クエリプロセスで使用されるすべてのオブジェクト（ユーザー、RAC デバイスオ
ブジェクト、関連オブジェクトなど）が同じドメインである必要があります。
シングルサインオンの設定
Microsoft Windows 2000、Windows XP、Windows Server 2003、WindowsVista、Windows 7、および Windows Server 2008 では、ネットワーク認証プロトコル Kerberos を
認証方法として使用することが可能であるため、ドメインにサインインしたユーザーは、次に使用するアプリケーション（Exchange など）への自動的なサインインまたはシングルサインオンが可能になり
ます。
CMC バージョン 2.10 以降では、CMC は Kerberos を使ってシングルサインオンおよび Smart Card ログオンの 2 つの追加ログインタイプをサポートすることができるようになりました。シングル
サインオンでログインする場合、CMC はクライアントシステムの資格情報を使用します。この資格情報は、有効な ActiveDirectoryアカウントを使ってログインした後、オペレーティングシステムによ
ってキャッシュされます。
システム要件
Kerberos 認証を使用するには、ネットワークには次のアイテムが必要です。
l DNS サーバー
l Microsoft Active Directory Server
l Kerberos キー配付センター（Active Directory サーバーソフトウェアに同梱）
l DHCP サーバー（推奨）
l DNS サーバー用のリバース（逆引き）ゾーンには Active Directory サーバーと CMC 用のエントリが必要です。
クライアントシステム
l Smart Card でログインする場合は、クライアントシステムには Microsoft Visual C++ 2005 再頒布可能なプログラムが必要です。詳細については、
www.microsoft.com/downloads/details.aspx?FamilyID=32BC1BEEA3F9-4C13-9C99-220B62A191EE&displaylang=en を参照してください。
l シングルサインオンと Smart Card ログインでは、クライアントシステムは Active Directory ドメインと Kerberos 領域の一部である必要があります。
デル拡張 Active Directory ユーザーとコンピュータスナップインはモードをチェックし、混合モードであれば、
ドメイン間でオブジェクトを作成するためにユーザーを制限します。
CMC と Active Directory の併用は、複数のドメイン環境をサポートしますか?
はい。ドメインフォレストの機能レベルは、ネイティブか Windows 2003 モードであることが必要です。また、
関連オブジェクト、RAC ユーザーオブジェクト、および RAC デバイスオブジェクト（関連オブジェクトを含む）に
あるグループはユニバーサルグループである必要があります。
これらの Dell 拡張オブジェクト（Dell 関連オブジェクト、Dell RAC デバイス、および
Dell 特権オブジェクト）をいくつかのドメインに分散できますか?
関連オブジェクトと特権オブジェクトは同じドメインの中に置く必要があります。Dell 拡張 Active Directory
ユーザーとコンピュータスナップインを使用する場合、これら 2 つのオブジェクトを同じドメインに作成すること
が強制されます。その他のオブジェクトは別のドメインに作成することができます。
ドメインコントローラの SSL 設定に制限はありますか?
はい。CMC では、信頼できる認証局の署名付き SSL 証明書を 1 つしかアップロードできないため、フォレスト
内の Active Directory サーバーの SSL 証明書はすべて同じルート認証局によって署名される必要があり
ます。
新しい RAC 証明書を作成しアップロードしましたが、ウェブインタフェースが起動しま
せん。
Microsoft 証明書サービスを使用して RAC 証明書を生成した場合、証明書の作成時に ウェブ証明書 でな
く ユーザー証明書 を誤って選択した可能性があります。
回復するには、CSR を生成して、Microsoft 証明書サービスから新しいウェブ証明書を作成し、次の
RACADM コマンドを入力してアップロードします。
racadm sslcsrgen [-g] [-f {ファイル名}]
racadm sslcertupload -t 1 -f {web_sslcert}
Active Directory 認証を使って CMC にログインできない場合は、どうすればよいで
すか?この問題はどのようにトラブルシューティングできますか?
1. ログインに NetBIOS 名でなく、正しいユーザードメイン名が使用されていることを確認します。
2. ローカルの CMC ユーザーアカウントがある場合は、ローカルの資格情報を使用して CMC にログイ
ンします。
ログインした後、次の手順を実行してください。
a. CMC Active Directory 設定ページの Active Directory を有効にする チェックボックスがオン
になっていることを確認します。
b. CMC ネットワーク設定ページの DNS 設定が正しいことを確認します。
c. Active Directory ルート認証局の署名付き証明書から Active Directory 証明書を CMC にアッ
プロードしたことを確認します。
d. ドメインコントローラの SSL 証明書の有効期限が切れていないことを確認します。
e. CMC 名、ルートドメイン名、および CMC ドメイン名 が Active Directory の環境設定と一致す
ることを確認します。
f. CMC のパスワードが 127 文字以内であることを確認します。CMC は最大 256 文字のパスワード
をサポートしていますが、Active Directory がサポートしているパスワード長は最大 127 文字で
す。
メモ：メモ： Windows 2003 で Active Directory を使用する場合は、クライアントシステムに最新のサービスパックとパッチがインストールされていることを確認してください。
Windows 2008 で Active Directory を使用する場合は、SP1 と次のホットフィックスがインストールされていることを確認してください。
KTPASS ユーティリティ用 Windows6.0-KB951191-x86.msu。このパッチがないと、ユーティリティで不良な keytab ファイルが生成されます。
LDAP バインド中に GSS_API および SSL トランザクションに使用する Windows6.0-KB957072-x86.msu。
CMC
l CMC にはファームウェアバージョン 2.10 以降が必要
l 各 CMC には Active Directory アカウントが必要
l CMC は Active Directory ドメインと Kerberos Realm の一部である必要があります。
設定の実行
必要条件
l Active Directory（AD）の Kerberos 領域とキー配付センター（KDC）が設定済みである（ksetup）。
l クロックドリフトやリバースルックアップに伴う問題を回避するための強固な NTP および DNS インフラストラクチャ。
l 認証されたメンバーを含む CMC 標準スキーマ役割グループ。
Active Directory の設定
アカウント オプションの CMC プロパティ ダイアログボックスで、以下の設定を行います。
l アカウントを信頼して委任 - 転送される資格情報は、このオプションを選択した時点で作成されます。現時点では、 CMC はこのオプションの選択時に作成される転送された資格情報を使用
しません。このオプションは、他のサービス条件によって、選択できる場合とできない場合があります。
l アカウントは重要なので委任できない - このオプションは、他のサービス条件によって、選択できる場合とできない場合があります。
l このアカウントに Kerberos DES 暗号化を使う - このオプションを選択します。
l Kerberos 事前認証を必要としない - このオプションは選択しません。
Microsoft Windows の一部である ktpass ユーティリティを、Active Directory 内のユーザーアカウントに CMC をマッピングするドメインコントローラ（Active Directory サーバー）上で実行し
ます。たとえば、次のとおりです。
C:\>ktpass -princ HTTP/cmcname.domain_name.com@REALM_NAME.COM -mapuser dracname -crypto DES-CBC-MD5 -ptype KRB5_NT_PRINCIPAL -pass * -out
c:\krbkeytab
この手順は、CMC にアップロードする必要のある keytab ファイルを作成します。
CMC の設定
Active Directory で設定した標準スキーマ役割グループ設定を、CMC で使用するように設定します。詳細については、CMC にアクセスするための標準スキーマ Active Directory の設定を参照
してください。
Kerberos Keytab ファイルのアップロード
Kerberos keytab ファイルは Kerberos データセンター（KDC）に対する CMC のユーザ名とパスワード資格情報として使用され、これによって Active Directory にアクセスすることができます。
Kerberos 領域の各 CMC は Active Directory を使って登録し、一意の keytab ファイルがあることが必要です。
keytab ファイルをアップロードするには：
1. ユーザー認証 タブ® ディレクトリサービス サブタブに移動します。 Microsoft Active Directory Standard または 拡張 スキーマ が選択されていることを確認します。選択されてい
ない場合は、任意の設定を選択してから 適用 をクリックします。
2. Kerberos Keytab のアップロード セクションで 参照 をクリックし、 keytab ファイルの保存先フォルダに移動してから アップロード をクリックします。
アップロードを完了したら、アップロードに成功または失敗したかを通知するメッセージボックスが表示されます。
シングルサインオンの有効化
メモ：本項で説明された設定手順は、CMC のウェブアクセスに対してのみ適用されます。
1. Chassis Management Controller Network Security タブ® Active Directory® Active Directory の設定 をクリックします。
Active Directory の設定と管理 ページが表示されます。
2. Active Directory の設定と管理 ページで、次を選択します。
l シングルサインオン - このオプションを有効にすると、Active Directory にログインしたときに取得した資格情報のキャッシュを使用して CMC にログインできます。
3. ページの下までスクロールし、適用 をクリックします。
CLI コマンドのテスト機能を使用することにより、Kerberos 認証を使った Active Directory をテストできます。
testfeature -f adkrb -u <ユーザー>@<ドメイン>
ここで、ユーザーは有効な Active Directory ユーザーアカウントを指します。
コマンドが正常に実行されれば、CMC は Kerberos 資格情報を取得することができ、ユーザーの Active Directory アカウントにアクセスできることを示します。コマンドが正常に実行されない場合
は、エラーを訂正してコマンドを実行し直してください。詳細については、support.jp.dell.com/manuals の『Command Line Reference Guide for iDRAC6 and CMC』を参照してください。
シングルサインオンのログインに使用するブラウザの設定
シングルサインオンは、Internet Explorer バージョン 6.0 以降と Firefox バージョン 3.0 以降でサポートされています。
Internet Explorer
1. Internet Explorer で、ツール ®インターネットオプション を選択します。
2. セキュリティ タブの セキュリティ設定を表示または変更するゾーンを選 択する の下で、ローカルイントラネット を選択します。
3. サイト をクリックします。
ローカルイントラネット ダイアログボックスが表示されます。
4. Advanced（詳細）をクリックします。
ローカルイントラネットの詳細設定 ダイアログボックスが表示されます。
5. このサイトをゾーンに追加する に CMC の名前とそれが属するドメインを入力し、追加 をクリックします。
Mozilla Firefox
1. Firefox では、アドレスバーに about:config と入力します。
2. フィルタ テキストボックスに、negotiate と入力します。
ブラウザには、「negotiate」という単語を含んだプリファレンス名のリストが表示されます。
3. 表示されたリストから、network.negotiate-auth.trusted-uris をダブルクリックします。
4. 文字列値の 入力 ダイアログボックスに、CMC のドメイン名を入力し、OK をクリックします。
シングルサインオンを使用した CMC へのログイン
メモ：このオプションでは、セキュアシェル（SSH）、Telnet、シリアル、リモート RACADM など、すべてのコマンドライン帯域外インタフェースは変更されません。
メモ：次の手順は、CMC が Kerberos 認証でシングルサインオンを使用する場合にのみ適用されます。
メモ：対象ドメインでは、ワイルドカード（*）を使用してすべてのデバイス / ユーザーを指定できます。
メモ：ブラウザに 「保証が無効になる場合があります」という警告が表示された場合は、注意するので大丈夫です をクリックします。
メモ：IP アドレスを使って、シングルサインオンまたはスマートカードにログインすることはできません。Kerberos は、完全修飾ドメイン名（FQDN）に対してユーザーの資格情報を検証します。
1. ネットワークアカウントを使ってクライアントシステムにログインします。
2. 以下を使用して CMC ウェブページにアクセスします。
https://<cmc 名.ドメイン名 >
例：cmc-6G2WXF1.cmcad.lab
ここで、cmc-6G2WXF1 は CMC 名を表します。
cmcad.lab はドメイン名を表します。
CMC のシングルサインオン ページが表示されます。
3. ログイン をクリックします。
CMCは、有効な Active Directory アカウントを使ってログインしたときにブラウザによってキャッシュされた Kerberos 資格情報でユーザーをログインします。ログインに失敗すると、ブラウザ
は通常の CMC ログインページにリダイレクトされます。
スマートカードによる二要素認証の設定
従来の認証方式では、ユーザーの認証にユーザー名とパスワードを使用します。一方、二要素認証ではユーザーがパスワードまたは PIN と秘密キーまたはデジタル証明書を含んだ物理カードを持っ
ている必要があるため、高レベルのセキュリティを実現できます。ネットワーク認証プロトコルの Kerberos では、この二要素認証メカニズムを使用しており、これによってシステムはその信頼性を確認
できます。MicrosoftWindows2000、Windows XP、Windows Server 2003、Windows Vista、および Windows Server 2008 では、Kerberos を認証方法として優先的に使用しま
す。CMC バージョン 2.10 以降では、CMC は Kerberos を使用してスマートカードログインをサポートできるようになりました。
システム要件
スマートカードの システム要件 は、シングルサインオンと同じです。
設定の実行
スマートカードの 必要条件 は、シングルサインオンと同じです。
Active Directory の設定
1. Active Dir ectory の Kerberos 領域とキー配付センター（KDC）が設定されていない場合は、設定してください（ksetup）。
2. 各 CMC の Active Directory を作成し、事前認証でなく Kerberos DES 暗号化を使用できるように設定します。
3. Ktpass を使用して CMC ユーザーをキー配付センターに登録します（これにより、CMC にアップロードするキーも出力されます）。
CMC の設定
Active Directory で設定した標準スキーマ役割グループ設定を、CMC で使用するように設定します。詳細については、CMC にアクセスするための標準スキーマ Active Directory の設定を参照
してください。
Kerberos Keytab ファイルのアップロード
Kerberos keytab ファイルは Kerberos データセンター（KDC）に対する CMC のユーザ名とパスワード資格情報として使用され、これによって Active Directory にアクセスすることができます。
Kerberos 領域の各 CMC は Active Directory を使って登録し、一意の keytab ファイルがあることが必要です。
メモ：デフォルトの HTTPS ポート番号（ポート 80）を変更した場合は、<cmc 名.ドメイン名>:<ポート番号> を使って CMC ウェブページにアクセスします。ここで、cmc 名は CMC の
CMC ホスト名、ドメイン名はドメインの名前、ポート番号は HTTPS のポート番号をそれぞれ表します。
メモ：Active Directory ドメインにログインしないで Internet Explorer 以外のブラウザを使用している場合は、ログインに失敗し、ブラウザには空白ページのみが表示されます。
メモ：強力な NTP および DNS インフラストラクチャによって、クロックドリフトやリバースルックアップの問題を確実に回避します。
メモ：本項で説明された設定手順は、CMC のウェブアクセスに対してのみ適用されます。
keytab ファイルをアップロードするには：
1. ユーザー認証 タブ® ディレクトリサービス サブタブに移動します。 Microsoft Active Directory Standard または 拡張 スキーマ が選択されていることを確認します。選択されてい
ない場合は、任意の設定を選択してから 適用 をクリックします。
2. Kerberos Keytab のアップロード セクションで 参照 をクリックし、 keytab ファイルの保存先フォルダに移動してから アップロード をクリックします。
アップロードを完了したら、アップロードに成功または失敗したかを通知するメッセージボックスが表示されます。
スマートカード認証の有効化
1. ユーザー認証 タブ® ディレクトリサービス サブタブに移動します。 Microsoft Active Directory Standard または 拡張 スキーマ が選択されていることを確認します。
2. 共通設定 セクションで以下を選択します。
l スマートカード - このオプションでは、スマートカードをリーダーに挿入し、PIN 番号を入力する必要があります。
3. ページの下までスクロールし、適用 をクリックします。
CLI コマンドテスト機能を使用すれば、Kerberos 認証によって Active Directory をテストできます。
次のように入力します。
testfeature -f adkrb -u <ユーザー>@<ドメイン>
ここで、ユーザーは有効な Active Directory ユーザーアカウントを指します。
コマンドが正常に実行されれば、CMC は Kerberos 資格情報を取得することができ、ユーザーの Active Directory アカウントにアクセスできることを示します。コマンドが正常に実行されない場合
は、エラーを訂正してコマンドを実行し直してください。詳細については、RACADM コマンドの testfeature マニュアルを参照してください。
スマートカードのログインに使用するブラウザの設定
Mozilla Firefox
CMC 2.10 では、Firefox ブラウザを使ってスマートカードにログインすることはできません。
Internet Explorer
インターネットブラウザが Active-X プラグインをダウンロードするように設定されていることを確認します。
スマートカードを使用した CMC へのログイン
1. ネットワークアカウントを使ってクライアントシステムにログインします。
2. 以下を使用して CMC ウェブページにアクセスします。
https://<cmcname.domain-name>
例：cmc-6G2WXF1.cmcad.lab
ここで、cmc-6G2WXF1 は CMC 名を表します。
cmcad.lab はドメイン名を表します。
CMC のシングルサインオン ページが表示され、スマートカードを挿入を求められます。
3. スマートカードをリーダーに挿入して OK をクリックします。
メモ：このオプションでは、セキュアシェル（SSH）、Telnet、シリアル、リモート RACADM など、すべてのコマンドライン帯域外インタフェースは変更されません。
メモ：IP アドレスを使って、シングルサインオンまたはスマートカードにログインすることはできません。Kerberos は、完全修飾ドメイン名（FQDN）に対してユーザーの資格情報を検証します。
メモ：デフォルトの HTTPS ポート番号（ポート 80）を変更した場合は、<cmcname.domain-name>:<port number> を使って CMC ウェブページにアクセスします。ここで、
cmcname は CMC の CMC ホスト名、domain-name はドメイン名、port number は HTTPS のポート番号をそれぞれ表します。
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
ページを読み込んでいます...
/