<?xml version="1.0" encoding="UTF-8"?>
<rss version="2.0"
	xmlns:content="http://purl.org/rss/1.0/modules/content/"
	xmlns:wfw="http://wellformedweb.org/CommentAPI/"
	xmlns:dc="http://purl.org/dc/elements/1.1/"
	xmlns:atom="http://www.w3.org/2005/Atom"
	xmlns:sy="http://purl.org/rss/1.0/modules/syndication/"
	xmlns:slash="http://purl.org/rss/1.0/modules/slash/"
	>

<channel>
	<title>WindowsServer管理者への道 &#187; KMS</title>
	<atom:link href="http://ebi.dyndns.biz/windowsadmin/tag/kms/feed/" rel="self" type="application/rss+xml" />
	<link>http://ebi.dyndns.biz/windowsadmin</link>
	<description>WindowsServer管理のノウハウを紹介します</description>
	<lastBuildDate>Sun, 01 Nov 2009 12:55:07 +0000</lastBuildDate>
	<generator>http://wordpress.org/?v=2.9.1</generator>
	<language>ja</language>
	<sy:updatePeriod>hourly</sy:updatePeriod>
	<sy:updateFrequency>1</sy:updateFrequency>
			<item>
		<title>Volume Activation 2.0</title>
		<link>http://ebi.dyndns.biz/windowsadmin/2009/09/07/volume-activation-2-0/</link>
		<comments>http://ebi.dyndns.biz/windowsadmin/2009/09/07/volume-activation-2-0/#comments</comments>
		<pubDate>Mon, 07 Sep 2009 08:46:44 +0000</pubDate>
		<dc:creator>ebi</dc:creator>
				<category><![CDATA[インストール]]></category>
		<category><![CDATA[KMS]]></category>
		<category><![CDATA[MAK]]></category>
		<category><![CDATA[slmgr]]></category>
		<category><![CDATA[Volume Activation]]></category>

		<guid isPermaLink="false">http://ebi.dyndns.biz/windowsadmin/2009/09/07/volime-activation-2-0/</guid>
		<description><![CDATA[今回はVolume Activation 2.0について書きます。Volume Activation2.0以前のライセンス認証は、結局のところ「やるべきこと」はシンプルだったので、ある意味やりさえすればよかったのですが、Volume Activation 2.0では事実上「設計」、「運用」のタスクが認証に関して発生しています。
このあたりをよく理解せずに「とりあえず動いているから」といって客先にサーバーを納品してしまったりすると、しばらくして「使えなくなった!」と連絡が来てしまうなんていうことにもなりかねません。しっかりと動作を理解しましょう。
 
対象
まず、Volume Activation 2.0の対象を抑えましょう。対象は2009年9月7日現在では以下のものだけです。

Windows Vista 
Windows7 
Windows Server 2008 (R2) 

要するにWindows Vista移行のOS(クライアント、サーバー共に)のみ、ということですね。
目的
次に、目的を理解しましょう。Volume Activation 2.0はアクティベーションを容易にしつつ、不正利用を防ぐための方法なのです。
Windows XP, 2003より前のOSではアクティベーションは必要ありませんでした。基本的にインストール時にキーは必要ですが、それを入力さえすればあとは何もする必要がありませんでした。
Windows XP, 2003ではアクティベーションが導入されました。これは製品の不正利用を防ぐために導入されました。インターネットに接続できるならアクティベーションのウィザードを実行するだけです。基本的にインターネットや電話でアクティベーションを実施しないと、OSが使えないようにする仕組みが備わったわけです。個人のPCであればこの方法で問題ありません。
しかし、企業用のPCとなると、数百、数千、数万台になります。これに対して一台一台すべてアクティベーションを実施して回るのは現実的ではありません。そこで企業向けには「ボリュームライセンスメディア」と「ボリュームライセンスキー」というものが存在しています。「ボリュームライセンスメディア」を使ってインストールし、インストール時に「ボリュームライセンスキー」を入力すると、アクティベーションの必要がなく使い続けられるわけです。この仕組みのおかげで企業のシステム管理者は大量のクライアントのアクティベーションを個別に実施しなくて良かったわけです。
しかし、この方法には問題点があります。企業向けのボリュームライセンスメディアとそのキーが外部に漏れてしまえば、アクティベーション無しでOSが不正使用し放題になってしまうからです。
そこで、企業向けのボリュームライセンスに関してもアクティベーションを行うようにするための仕組みがVolume Activation 2.0で、Windows Vista移行とりいれられたわけです。
なされるべきこと
企業向けのクライアントを全部アクティベーションさせようというわけですから、何らかのうまい仕組みが必要になります。「全部のクライアントで都度アクティベーションさせる」というのはもちろんNGなわけですから、自動化の仕組みが必要です。必ずしもインターネットに接続できるわけではないので、インターネットに接続できなくても問題ない仕組みも必要です。さらに長期間出張にノートPCを持ち出す&#8230;なんていうケースもあるでしょうから、そこへの対応も必要です。
このあたりをうまく解決するソリューション&#8230;なかなか難しそうですよね。マイクロソフトも単一の方法だけでは実現できないと判断したようで、出した答えはKMSとMAKという2つの方式の組み合わせです。以下、見ていきましょう。
KMS
KMSはKey Management Serviceの略で、これがVolume Activation 2.0の本命です。要は社内に認証サーバー(KMSホスト)を立て、ボリュームライセンスメディアでインストールされたクライアントは自動的にその認証サーバー(KMSホスト)をみつけて、アクティベートしてもらう、という仕組みです。
管理者はKMSホストにのみKMSキーの入力を行い、あとはボリュームライセンスメディアでOSをインストールしておけば、あとのことは裏で勝手にやってくれるわけです。KMSホストのみがInternet経由でMSのアクティベーションセンターと通信を1度だけすることになります。
ポイントは一度認証されたら、ずっと使い続けることができるわけではなく、定期的に更新が必要な点です。この間隔は180日に設定されています。つまり、常に社内ネットワークに接続されているデスクトップPCや、外に持ち出しはするけれども、最低でも数カ月に一度は社内ネットワークに接続されるような端末がKMSの対象になるわけです。
一度だけ社内でセットアップ、認証しておいて、家に持って帰って自宅でずっと使う&#8230;ということはできないようになっているわけですね。
MAK
MAKはMultiple Activation Keyの略で、ひとつのMAKキーで複数台のアクティベーションを行うことができます。これは結局今までのXP, 2003時代のアクティベーションとほぼ同様です。1台1台個別にキーを入力し、Internet経由あるいは電話で認証させます。期限も無期限です。
この方式はつまり、KMSでは管理できないクライアントのために残されている、というように理解するのがよいと思います。認証のための手間はかかりますが、MAKキーを入れておけばずっと使い続けられるわけです。
基本的な設計
これらのことから基本的な設計としては以下のようになると思います。

まず、社内にKMSホストを構築する 
社内ネットワークに接続するクライアントにはボリュームライセンスメディアにてインストールする 
社内ネットワークに接続されない状態で半年以上利用し続ける可能性のあるクライアントにはボリュームライセンスでインストール後、MAKキーをセットする 
KMSとMAKの切り替えを行う必要が出てきた場合には都度入れ替えを行う 

KMSであろうと、MAKであろうと、MSのアクティベーションセンターは台数の情報をきちんと把握することができるため、不正利用の心配はなくなります。(Volume Activation 2.0自体の機構が破られない限りは)
注意点
注意点をいくつかあげておきます。
KMS認証は少ない台数では利用できない
KMS認証には最低クライアント数が定められており、この台数に満たない場合にはKMS認証を利用することができません。

Windows Vista ： 25台以上 
Windows Server 2008 ： 5台以上 

なぜこのような下限が定められているのかというと、「クライアントを25台、サーバーを５台も認証している(それだけ存在している)ということは、きちんとした環境で使われているのだろう」ということのようです。つまり「個人で物理PC、サーバーをこんなに用意するやつはいないだろう」ということですね。
この考えは仮想マシンはこの台数にカウントされない、という当初の設計からも読み取れます。ですが、この「仮想マシンはカウントされない」というのはマイクロソフトがHyper-V等で推し進める仮想化の促進とは矛盾するためでしょう、SP２からは仮想環境も台数としてカウントされるように仕様変更されました。
※と、いうことはKMSキーをどこかから入手してきて、あとは仮想マシンをバンバン作成してあげれば不正につかえてしまう気もしますが&#8230;まぁ、接続元IPなどから判断はできるでしょうからね&#8230;。
この台数以下しかマシンが存在しない環境ではすべてMAKキーを利用する必要があります。KMSに比べて面倒ですが、一度やってしまえばいいわけですから許容範囲だ、という考えなのでしょう。
よくある問題
以下、よくある問題です。
KMSホストが乱立する
Volume Activation 2.0をよく理解せずにあちこちのクライアントでKMSキーを使ってインストールをしてしまうようなことがよくあります。そうすると社内にKMSホストが乱立し、２５台以上にならないので、そのうち使えなくなる&#8230;なんていうことがあります。
KMSホストはDNSに自身がKMSホストであることを表すSRVレコードを登録しますので、そこをみると、どれがKMSホストとして動いているのかがわかります。

_vlmcs._tcp.&#60;your DNS domain&#62;. 

このレコードを確認して、そこにKMSホストではないはずのものがたくさん並んでいたら以下の手順を参考に動作を変更させましょう。

Ask the Core [...]]]></description>
		<wfw:commentRss>http://ebi.dyndns.biz/windowsadmin/2009/09/07/volume-activation-2-0/feed/</wfw:commentRss>
		<slash:comments>1</slash:comments>
		</item>
		<item>
		<title>sysprepの意味</title>
		<link>http://ebi.dyndns.biz/windowsadmin/2009/01/17/sysprep%e3%81%ae%e6%84%8f%e5%91%b3/</link>
		<comments>http://ebi.dyndns.biz/windowsadmin/2009/01/17/sysprep%e3%81%ae%e6%84%8f%e5%91%b3/#comments</comments>
		<pubDate>Sat, 17 Jan 2009 11:42:59 +0000</pubDate>
		<dc:creator>ebi</dc:creator>
				<category><![CDATA[クライアント展開]]></category>
		<category><![CDATA[Active Directory]]></category>
		<category><![CDATA[CMID]]></category>
		<category><![CDATA[GhostWalker]]></category>
		<category><![CDATA[Imaging]]></category>
		<category><![CDATA[KMS]]></category>
		<category><![CDATA[NewSID]]></category>
		<category><![CDATA[SID]]></category>
		<category><![CDATA[sysprep]]></category>
		<category><![CDATA[Volume Activation 2.0]]></category>

		<guid isPermaLink="false">http://ebi.dyndns.biz/windowsadmin/?p=27</guid>
		<description><![CDATA[ディスクイメージを作成し、それをクローニングする作業の中ではよくsysprepが実行されます。ここでは「なんのためにsysprepを実行するのか」「実際には裏で何が行われているのか」といったことを整理してみます。

sysprepは何をしてくれるのか
sysprepはそもそも何をしてくれるものなのか、という点に関してはTechNetに記述がありますので、引用します。
Sysprep ユーティリティは下記の 3 つの異なる用途で使用できます。

ディスクの複製。Sysprep を使用してディスク複製の準備を行うと、完全にインストールされたシステムを同様のハードウェアにコピーできます。Sysprep によって、ローカル コンピュータのセキュリティ ID (SID) がコンピュータごとに一意になるように変更されます。詳細については、次を参照してください。Sysprep を使用してディスク複製用のイメージを準備する方法 (英語)
監査。 コンピュータの監査を実行した後に Sysprep を使用すると (–nosidgen コマンド ライン オプションを使用)、Sysprep によって、エンド ユーザーが Windows を実行できる準備が整えられます。詳細については、次を参照してください。Sysprep を使用して監査をインストールする方法 (英語)
ミニ セットアップの自動化。Sysprep では簡易形式の GUI モード セットアップが作成されます。このセットアップでは、通常 45 ～ 60 分かかる処理が 5 ～ 6 分で済み、エンド ユーザーは使用許諾契約書 (EULA) の同意や、プロダクト キーの入力、ユーザー名および会社名の入力など、ユーザー固有の必須情報を入力するだけで済みます。このモードで Sysprep を使用するには、Windows XP をローカル コンピュータにプレインストールした後、–nosidgen パラメータを付けて Sysprep を実行し、次の手順に従います。詳細については、次を参照してください。Sysprep を使用してミニ セットアップを自動化する方法


大きく3つの用途があるということですが簡単に言ってしまえば以下の3つです。

SIDの変更
監査の実行
ミニセットアップの実行

が、はっきりいって2と3は普通行いません。通常はディスクの複製時におけるSIDの変更のためにsysprepが実行されると思っておいて良いでしょう。
具体的な動作ロジックに関してはsysprepではなく類似のSID変更ツールであるNewSIDに詳細に書かれており、sysprepでも同じことが行われていると考えてよいものと私は考えています。
以下NewSID v4.10から引用しました。
NewSID starts by [...]]]></description>
		<wfw:commentRss>http://ebi.dyndns.biz/windowsadmin/2009/01/17/sysprep%e3%81%ae%e6%84%8f%e5%91%b3/feed/</wfw:commentRss>
		<slash:comments>2</slash:comments>
		</item>
	</channel>
</rss>
