LogicApps で Azure AD の操作を行う

先日 LogicApps に追加された Azure AD コネクタ、利用するまでにいろいろと悩んだ点がありましたので、メモ書きとして利用手順をまとめておきます。

Tech Fielders セミナー札幌

今日はTech Fieldersセミナー札幌。
ActiveDirectoryについてあれやこれやだったので非常に楽しみにして行って来ました。

予想通り非常に充実した内容でかなりご満悦。

エバンジェリストの田辺さん、安納さんのセッションは聞き応えが多かった。
個人的にはやはりIDの統一管理というかマスタデータ的な管理と運用の新しいプラクティスとして、
FIMが用意されていた話が一番身近だったな。

それと個人的にはライセンス周りをスピーチした房木さんが面白かったｗ
あれで新人だもんなぁ・・・

ログイン中ユーザーに対して「次回ログイン時にパスワード変更を」なんぞすると

ログインしているユーザーに対して、「次回ログイン時にパスワード変更を要求する」なんてやると、 PCのロック解除などの際に「パスワードの有効期限が切れています」となり、どうにもならない状態にｗ

偶然見つけたとは言え、状況的に面白かったｗ

プログラムのセルフアップデート

Vista以降のＯＳで一番問題になるのがこれかも。

今回のシステムでも（一応）は機能として最新モジュールのコピーやらそういった機能を持たせているんだけど、適切に設定されているセキュリティ、具体的に言うとProgramFilesフォルダ関連にセットアップしだ場合は、セルフアップデート機能は「自分自身」以外は失敗してしまうことになるね。
セキュリティ的な方面から言うと、

「ProgramFilesはユーザー領域ではなく、システム領域なので勝手に更新されるのはよくない」

という事なんだよな。気持ちはわかる。管理者でも読み取りと実行権限しか持たせないってのはよくわかる。実際に対応するとなるとWindowsInstallerかClickOnceなどの純正テクノロジを利用するのがベスト。VistaやWindows2008Serverなどで用意されている救済策を利用して、セットアップ系プログラムと誤認させる手段もあることはあるけど、かなり後ろ向きというかいきあたりばったり。

そう考えると次の３通りになるのかなぁ？

1. システムのＡＰ全てに自己更新機能を持たせる（ClickOnce）
2. 特定のタイミングでシステム全体のＡＰをインストールするmsiを作成し、ActiveDirectoryなどで配布
3. ProgramFilesにインストールさせない（ｗ

技術屋としては１か２だけど・・・。多分会社としては３を選択しそうな気がしてならないｗ

さすがに怖い

前日の某お客さんのサーバー設定。

とりあえずリブートしてもらったのでリモート接続も復旧。当初の予定のドライブ容量変更にとりかかろうと、思ったんだけど。

「一度解放するドライブで動作中のドライバやサービスがあったりしたら、どうなるんだろう？」

今回はＤドライブを一度解放して、容量調整するんだけどその時動作中のプログラムやらがＤドライブにあったらどうなるんだろう・・・？
かなりやってみたい誘惑に駆られるけど、さすがに怖いｗ

DomainControlerの役割削除

複数台のＤＣを用意して構築してあるActiveDirectoryで一台のサーバーのパーティション変更を行うことになった。その際に、ＤＣが利用しているフォルダがあったので先にＤＣの機能を削除することに。削除自体はリモートからでもすんなり行えるんだけど、削除後に再起動しないで先にバックアップを行ったんだよね。その最中に一度リモートが切れてしまったんだけど・・・これが非常にマズイ。

ＤＣの機能削除後に再起動しないでリモート接続を切ると、
その後はリモート接続が不可能になってしまう。

なぜかというと、現在ログイン中の状態は「ActiveDirectoryにDCとして参加している」状態なのに、ＯＳの設定では「ActiveDirectoryにコンピュータとして参加している」に切り替わっているので矛盾が出ているんだよね。
一度こうなるとリモートでは無理。VNCでも既にワークステーションロック中なので無理。

てことでお客さんにお願いして直接再起動してもらうことに・・・それでもダメだったら月曜日は行ってこないといけないなぁ・・・。