今回はActive DirectoryサーバとクライアントPC間で正常にやりとりできない時の対処方法をご紹介したいと思います。
弊社のお客様から「使っているクライアントPCがファイルサーバに接続ができない」と問い合わせがありました。
このお客様はActive Directoryを導入しており、Active Directoryサーバ（ADサーバ）とファイルサーバが設置されこの2台は連携していました。

構成

お客様の構成は下記になります。

下記に各OSを記載いたします。
ADサーバ：Windows Server 2019 Standard
ファイルサーバ：Windows Server 2019 Standard
クライアントPC：Windows 10 Pro

症状

お客様からお問い合わせがあった際、どのような症状なのか詳細を確認しました。

• クライアントPCのログインはできる
• メールやサイト閲覧などは問題なくできる
• ファイルサーバへの接続ができない
  　ファイルサーバ接続時に「ログインユーザ名」と「パスワード」の入力が求められる
  　何度入力してもはじかれる
• 他のPCからファイルサーバへは正常に接続ができる

上記のことから

• ファイルサーバとADサーバは連携しており、他のPCでは問題はないのでクライアントPCの問題
• ファイルサーバ接続時に「ログインユーザ名」と「パスワード」の入力が求められるので、ADサーバとクライアントPCでアカウント情報（パスワード情報）に相違がある

と考え、ADサーバとクライアントPCの通信が上手くできていないのではと思いました。
そこで次の手順で一つ一つ確認を行いました。

原因の確認

まず基本的な確認をおこないました。

クライアントPCのDNSサーバおよびドメイン参加の確認

クライアントPCからドメイン参加するには、クライアントPCのDNSサーバをADサーバのIPアドレスに指定する必要があります。
また、所属するグループも参加するドメインを登録します。
確認しましたが上記の設定は問題ありませんでした。

クライアントPCの資格情報の確認

過去にクライアントPCの資格情報にファイルサーバ接続情報が登録されていたことがあったので確認しました。
確認しましたが接続情報の登録はありませんでした。

クライアントPC　システムログの確認

クライアントPCのシステムログを確認したところ、
「サーバーのセキュリティデータベースにこのワークステーションの信頼関係に対するコンピュータアカウントがありません。」
の記述がありました。この内容が表示される要因として

• ADサーバでアカウントが無効になっている
• 長い期間クライアントPCを起動していない
• ADサーバとクライアントPC間の通信が正常にできていない

ことが考えられます。
今回のケースでは、ADサーバ上でアカウントは有効になっておりクライアントPCも毎日起動し利用していました。
突発的な要因でADサーバとクライアントPCで通信ができなくなってしまったと思われます。

対応

セキュアチャネルの復旧

ADサーバとクライアントPCで正常に通信ができなくなってしまったと思われるので、まずは正常に通信ができるようにセキュアチャネルの復旧を試みました。

• セキュアチャネルとは
  セキュアチャネルはクライアントPCがADサーバと通信を開始するときに、パスワード認証して確立する通信チャネルです。パスワードは定期的に変更されますが正しく変更されない場合、今回のような現象が発生します。

「Windows PowerShell」から下記コマンドを実行しました。

Test-ComputerSecureChannel -Repair -Credential 「ドメイン名」\「ドメイン管理者ユーザ」

今回は上記コマンドで復旧できなかったので、次の対応としてドメイン参加のやりなおしを行いました。

ドメイン参加のやりなおし

ドメイン参加のやりなおしを行う場合、ドメインから一度抜けるためローカルユーザアカウント（管理者権限）が必要になるので事前に作成する必要があります。

ドメイン参加から抜ける前にローカルユーザアカウント（管理者権限）を作成

ローカルユーザアカウントを作成する際、ADサーバの管理者ユーザおよびパスワードが求められました。

ローカルユーザアカウントでWindowsにログイン

一度ログアウトしローカルユーザでログインします。ユーザ名だけではドメイン参加した状態でのログインとなります。
ローカルユーザでログインするには
コンピューター名\ユーザー名
という形でユーザ名を指定しますが、コンピュータ名を入力するのが大変な場合は
.\ユーザー名
という形でもローカルユーザとしてログインできます。

ドメインからワークグループへ変更

「スタート」→「設定」→「システム」→「左側の項目　下部の「詳細情報」→右側の「システムの詳細設定」
「システムのプロパティ」→タブ「コンピュータ名」
「コンピュータ名を変更したりドメインに参加したりするには・・・」の変更をクリック

所属するグループをドメインからワークグループへ変更します。
ワークグループ名は特に指定はありません。
例：WORKGROUP

その後PCの再起動になります。

ワークグループからドメインへ参加

所属するグループをワークグループからドメインへ変更します。
ドメインは参加するドメイン名を入力します。
その後PCの再起動になります。

ドメイン参加の状態でWindowsにログイン

ドメインユーザのアカウントとパスワードでログインします。今回はログインができなかったので、ADサーバのユーザ管理画面からログインするドメインユーザのパスワードを変更することでログインができるようになりました。

ファイルサーバへの接続

ドメインに参加した状態でログインでき、ファイルサーバへの接続もできるようになりました。

まとめ

今回のケースではADサーバとファイルサーバが連携していたため、クライアントPCがファイルサーバへ接続できないという症状からADサーバとクライアントPC間による通信不具合の発覚につながりました。その他にクライアントPCがWindowsにログインできないケースもありました。
Active Directoryを導入の有無にかかわらず、ローカルアカウントユーザ（管理者権限）を作成することは大切です。ローカルアカウントユーザがあることで不測の事態がおこってもWindowsにログインすることができれば対応の幅が広がります。
PCの管理やActive Directory導入も弊社で対応できますのでお気軽にご相談ください。

この記事を読んだ方はこちらも読まれています

WideNet クラウドバックアップの復元機能をサポート事例と共にご紹介！ Winodws10でVPN（L2TP/IPsec）の自動接続設定

ネットワークの管理・保守において、ネットワーク構成図は非常に重要です。
しかし、ネットワーク構成図は人によって描き方が結構違っていてセンスが求められます。
また、視覚的な構成図のほかに機器管理表も必要ですが、いくつもの図や表を管理していくのは負担になります。
なにか良い方法がないかなと思っていたところ、シスコ製のネットワーク構成図作成ツール「Network Sketcher」というものを見つけたので試してみることにしました。

Network Sketcherについて

Network Sketcherは、PowerPointで作成したラフスケッチから下記の構成情報を自動生成するツールで、Apache License 2.0で使用できます。

• マスターファイル（マスターデータ）
  全ての大元になるファイルです。
  マスターファイルを基にデバイスファイル、ネットワーク構成図が生成できます。
  マスターファイルを直接編集することはありません。

• デバイスファイル（管理テーブル）
  機器のポートリスト、IPリストなどを含むファイルです。
  マスターファイルから生成されますが、こちらの変更をマスターファイルに反映できます。
  基本的に直接編集するのはこのファイルです。

• ネットワーク構成図（L1構成図・L2構成図・L3構成図）
  それぞれ次のようになっています。
  L1構成図：物理構成図
  L2構成図：論理構成図（物理構成+VLAN）
  L3構成図：論理構成図（IPアドレス）
  機器の追加・結線の変更などの場合、L1構成図を変更してマスターファイルに反映させられます。
  ※L2構成図とL3構成図を変更してマスターファイルへの反映は不可。

最初だけPowerPointでシンプルな図を作成した後は、生成されたデバイスファイルを更新することで、マスターファイル・ネットワーク構成図の方にも変更を反映することができます。
また、機器や結線の追加・削除の場合はネットワーク構成図（L1構成図）の方を更新することで、マスターファイル・デバイスファイルに変更を反映させられます。このため、ネットワーク構成情報の管理を集約させることができます。
この辺りの基本的な使用法やツールのコンセプトなど、ユーザガイド（日本語）が用意されているためそちらを参照してください。

環境構築

Network SketcherはPythonで書かれており、WindowsまたはMac OSまたはLinuxで使用することができます。
今回はWindows 10のPCにPythonをインストールして使用します。
Network Scketcherのバージョンは2.2.0です。
なお、最新版Python（執筆時点で3.12.3）ではデバイスファイルの作成がうまくいかなかったので、3.9.13をインストールします。
また、GitHubの要件に沿って下記のように追加パッケージをインストールします。
※pythonのパスが通っている前提です。

python -m pip install tkinterdnd2
python -m pip install tkinterdnd2-universal
python -m pip install openpyxl
python -m pip install python-pptx
python -m pip install ipaddress
python -m pip install numpy
python -m pip install pyyaml
python -m pip install ciscoconfparse

これでNetwork Sketcherを使用する準備が整いました。
ソースコードをダウンロードしたら、解凍したフォルダにある「network_sketcher.py」を実行します。
下記のようにNetwork Sketcherが起動すればOKです。

ネットワーク構成図の作成

では実際にNetwork Sketcherを使ってみます。
なお、細かい作業内容（デバイスファイルの設定など）は長くなってしまうので省きますが、ユーザガイドに沿って設定します。
たとえば、次のようなネットワーク構成があるとします。

ネットワーク例

このネットワークではルータでVLAN1とVLAN2に、VLAN IDでネットワークを分けています。
また、無線AP自体はVLAN1のIPアドレスを持っていますが、無線APはSSIDを複数持っていて、SSID1がVLAN1に、SSID2がVLAN2に接続されています。
これを基に次のようなラフスケッチを作成してNetwork Sketcherでマスターファイルとデバイスファイルを生成します。

ラフスケッチ（ネットワーク構成図.pptx）

ラフスケッチからマスターファイルとデバイスファイルを生成

この段階でネットワーク構成図を生成してみると次のようになります。

ここからデバイスファイルの更新・マスターファイルの更新などをしていくことで、次のような構成図を作ることができました。

更新後L2構成図

更新後L3構成図

※L1構成図は管理テーブル更新前後で変更なし

Network Sketcherを使ってみて

実際にNetwork Sketcherを使ってみた感じ、当初思っていた「ネットワーク構成図の作成ツール」というよりは「ネットワーク構成図生成機能のついた機器管理表作成ツール」という感じを受けました。
ユーザガイドにあったコンセプト通りといえばそうですが、とくにPowerPointのラフスケッチからExcelで管理表のひな型が一発で作成できるのが大きいです。

デバイスファイル例

また、デバイスファイルなどを更新してマスターファイルに同期させるとき、自動で同期前のマスターファイルのバックアップを作成してくれるのが、地味ですがとても助かります。

ツールから生成した構成図については、人が見て見やすいかどうかは正直微妙なところがある気がしますが、形式がPowerPointなので図形の位置などを多少手動で調整すれば良さそうです。最悪、図を壊してしまっても、マスターファイルさえあればまた生成できます。
軽くいじっただけなのでまだ全く使いこなせていないと思いますが、個人的には結構面白いツールだなと思います。

まとめ

Network Skcetcherを試してみましたが、うまく使いこなすことができればなかなか便利そうです。
常にこれを使って構成図と管理表を作成するようにしていけば、形式も統一できて作成者による差異も小さくできるかもしれません。
ただ、最初のラフスケッチ次第なところがあると思うので、ラフスケッチの作成センスはどうしても必要そうです。
ほかにも面白そうなツールを発見したらまた試してみたいと思います。

この記事を読んだ方はこちらも読まれています

社内LANのDHCPスコープ不足時の対応策 Graylogサーバを構築して、Pleskのログを見れるようにする Nextcloudで個人専用オンラインストレージを自作