Account Agent Enterprise 導入マニュアル

(1)

アカウント情報連携システム V5L31

(Account Agent Enterprise)

導入マニュアル

AAE-005-031-D0

2020 ^年 11 ^月

(2)

i

まえがき

この度は、本製品をお買い求めいただきまして、まことにありがとうございます。

本書ではAccount Agent Enterpriseの導入手順について説明しています。

2020年11月

■ 高度な安全性が要求される用途への使用について

本製品は、一般事務用、パーソナル用、家庭用、通常の産業用等の一般的用途を想定して設計・製造されているものであり、原子力施設における核反応制御、航空機自動飛行制御、航空交通管制、大量輸送システムにおける運行制御、生命維持のための医療用機器、兵器システムにおけるミサイル発射制御等、極めて高度な安全性が要求され、仮に当該安全性が確保されない場合、

直接生命・身体に対する重大な危険性を伴う用途（以下「ハイセイフティ用途」という）に使用されるよう設計・製造されたものではございません。

お客様は、当該ハイセイフティ用途に要する安全性を確保する措置を施すことなく、本製品を使用しないでください。ハイセイフティ用途に使用される場合は、弊社の担当営業までご相談ください。

本ソフトウェアはインターネットへのサービスを提供する用途のためには設計・製造されておりません。インターネットに接続しない環境（イントラネット内）で使用するか、インターネットに接続して使用する場合は、運用環境によりセキュリティ侵害対策を構築した上でご使用下さい。

■ 輸出管理について

本製品を輸出又は提供する場合は、外国為替及び外国貿易法及び米国輸出管理関連法規等の規制をご確認の上、必要な手続きをおとり下さい。

Windows Microsoft、Windows、Windows Server、Active Directory、Lync、Internet

Explorer は、米国 Microsoft Corporation の米国及びその他の国における登録商標または商

標です。

BOX、boxロゴはBox Inc.の商標または登録商標です。

Account Agentは株式会社富士通ソフトウェアテクノロジーズの登録商標です。

文中の社名、商品名等は各社の商標または登録商標である場合があります。本書に記載されているシステム名、製品名などには、必ずしも商標表示を付記しておりません。

(3)

ii

■ 表記の約束

本書では以下の略称を使用しています。

名称略称

Microsoft® Active Directory® Active Directory または

AD

Microsoft® Exchange Server Exchange

Microsoft® Lync® Server Lync

Internet Explorer® Internet Explorer

Microsoft® Office 365™ Office 365

オンプレミスオンプレ

FUJITSU ビジネスアプリケーションアカウント情報連携シ

ステム

Account Agent Enterprise またはAAE

(4)

iii

1. システム構成

AAEでは、以下の環境をサポートします。

- オンプレアカウント管理

- Office 365アカウント管理

- Exchange Hybrid環境におけるアカウント管理

- Boxアカウント管理（クラウドストレージオプションをご契約の場合）

1.1. オンプレアカウント管理

AAEがサポートするシステム構成例を以下に示します。

ユーザーアカウントが存在するフォレストをアカウントフォレスト、Exchange／Lyncが存在するフォレストをリソースフォレストと呼びます。リソースフォレストがアカウントフォレストを兼ねていても構いません。

各サーバーが存在するフォレストと必須かどうかを以下に示します。

フォレストサーバー必須説明

アカウントドメインコントローラー × ユーザーアカウントが存在し、ユーザーがログオンするドメインです。

リソースドメインコントローラー ○ Exchange、Lyncが動作するために必要なドメインです。ユーザーアカウントが存在することもあります。

リソース Exchangeサーバー × 各サーバーが存在する場合のみ、AAE の該当

機能を使用できます。

リソース Lyncサーバー ×

リソース AAE動作サーバー ○ 任意のIISサーバーで動作可能です。

(7)

2

1.2. Office 365 アカウント管理

1.3. Exchange Hybrid 環境におけるアカウント管理

(8)

3

1.4. Box アカウント管理

1.5. 冗長化について

AAE は冗長化に対応していません。AAE を複数のサーバーへ導入する場合、負荷分散装置等を使って、同時にアクセスされるAAEは1台に限定してください。また、待機系のAAE動作サーバーではAAE関連のバッチは停止してください。

なお、後述する「AAEData ルート」フォルダは冗長化されたファイルサーバー等に置くことができます。主系の AAE 動作サーバーが停止した場合、待機系の AAE 動作サーバーが同じ Dataフォルダを参照することにより、設定ファイル・入力ファイル・ログファイルを引き継ぐことが可能です。

(9)

4

2. 動作環境

2.1. サーバー

AAEの動作条件は以下の通りです（すべて日本語版にのみ対応しています）。

種別 OS ミドルウェア

ドメインコントローラー

（アカウントフォレスト）

Windows Server 2012 R2 Windows Server 2016 Windows Server 2019

-

ドメインコントローラー

（リソースフォレスト）

Windows Server 2012 R2 Windows Server 2016 Windows Server 2019

-

Exchangeサーバー－ Exchange 2013 CU1以降

Exchange 2016 Exchange 2019

Lyncサーバー－ Lync 2013

Skype サーバー－ Skype for Business server

2015 AAE動作サーバー Windows Server 2016

Windows Server 2019

-

指定のエディションはありません。

AAEの推奨動作環境は以下の通りです。

- CPU：2GHz（4コア）以上 - メモリ容量：8GB以上

- ディスク容量：50GB 以上 ※OS や他製品の領域とは別に、本製品のために必要となる領域

AAEを配置するサーバーは、更新対象のドメインに参加させておく必要があります。

Office 365を使用する場合、以下のソフトウェアが必要です。

- Microsoft Online Services サインインアシスタント (IDCRL7)

- Windows PowerShell 用 Windows Azure Active Directory モジュール - Microsoft .Net Framework Version 3.5.1

Office 365を使用する場合、以下の環境が前提です。

・ディレクトリ同期ツールでオンプレADとOffice 365が同期できること

・シングルサインオン(SSO)ができる環境であること

ディレクトリ同期ツール、SSOの構築方法についてはMicrosoft等のサイトを参照してください。

(10)

5

Exchange Hybrid 連携、かつ、共有メールボックスを管理する場合、Exchangeサーバーに以

下の更新プログラムを適用する必要があります。

Exchange 2013： CU21以降 Exchange 2016： CU10以降 Exchange 2019: 初版以降

Exchange Onlineを使用する場合、以下のソフトウェアが必要です。

- Power Shell Get モジュール V2.0以降 - Exchange Online Power Shell V2 モジュール

クラウドストレージオプションを使用する場合、以下のOSS及びライブラリが必要となります。

OSSの利用については、適用された使用条件（ライセンス条件）に従い、お客様の責任において入手、ご利用ください。

＜OSS＞

①Box.V2（3.24.0）

②BouncyCastle（1.8.1）

③Newtonsoft.Json（10.0.3）

④System.IdentityModel.Tokens.Jwt（5.1.4）

⑤Microsoft.IdentityModel.Tokens（5.1.4）

⑥Microsoft.IdentityModel.Logging（1.1.4）

⑦ nuget.exe

＜ライブラリ＞

⑧ Microsoft.Bcl.Async（1.0.168）

⑨ Microsoft.Net.Http（2.2.29）

②～⑥はBoxのSDKである①に包含されています。

2.2. IIS

AAEはWebサーバー（IIS 10.0以降）上で動作します。AAEは、任意のIISサーバーにインストールします。

AAEを配置するサーバーには、IISの以下の役割サービスが必要です。

- ASP.NET

2.3. ブラウザ

AAEは以下のブラウザでの利用をサポートしています。

- Internet Explorer 11.0

Microsoft® Edgeはサポート対象外です。

AAE利用時は、以下の操作を実施しないでください。

・ブラウザの戻るボタン（右クリック－「前に戻る」）

(11)

6

・再読み込み（「F5」キー、右クリック－「最新の情報に更新」）

・複数画面での操作

2.4. ローカルグループポリシー

AAE は、Exchange、Lync サーバーに対して、PowerShell を用いた処理を実行します。

AAE の稼働中に、後述のAAE実行ユーザーでAAEの配置サーバーからログイン/ログオフした場合、Microsoft の仕様により、PowerShellの実行が失敗する可能性があります。

本問題を回避するため、AAE を配置するサーバーは、以下のローカルグループポリシーを有効にする必要があります。

 ユーザーのログオフ時に強制的にユーザーレジストリをアンロードしない

上記グループポリシーの適用手順は以下の通りです。(サーバーの再起動が必要です) 1. AAEの配置サーバー上で、管理者権限でコマンドプロンプトを起動する

2. 「gpedit.msc」を実行する

3. 画面左のツリーよりコンピューターの構成] - [管理用テンプレート] - [システム] と展開し、[ユーザープロファイル] を選択する

4. [ユーザーのログオフ時に強制的にユーザーレジストリをアンロードしない] を [有効] に設定し、[OK] をクリックする

5. サーバーを再起動する

(12)

7

3. モジュール構成

使用するモジュールは、連携先によって異なります。

連携先が、Office 365の場合、「Office365連携」配下のAAEをご使用ください。

連携先が、オンプレの場合、「オンプレミス連携」配下のAAEをご使用ください。

連携先が、Exchange Hybrid の場合、「ExchangeHybrid 連携」配下のAAE をご使用ください。

連携先が、Boxのみの場合、「クラウドストレージオプション単体利用」配下のAAEをご使用ください。

※連携先が、Office 365、オンプレ、Exchange Hybridのいずれかの場合、かつ、Boxにも連携する場合、「クラウドストレージオプション」配下のAAEも使用します。

AAEのモジュール構成を以下に示します。

フォルダ・ファイル説明

AAEルート Web.config、マスタデザインファイル

Bin DLL、実行ファイル

common 画面の共通部品

css CSSファイル

Data 設定情報定義フォルダ

setting 設定ファイル

img イメージファイル

js JavaScriptファイル

page 画面定義ファイル

service Webサービス

AAEDataルート設定ファイル、入力ファイル、ログ等を格納

help ヘルプファイル

setting 設定ファイル

attribute 属性定義ファイル

csv 自動連携用のCSV項目設定ファイル

mainte 個別メンテナンス用の項目設定ファイル

mainte_serach 検索項目定義ファイル

menu メニュー定義ファイル

pscommands PowerShellコマンド定義ファイル

resource 文言定義ファイル

system システム用フォルダ

input 自動連携用の入力ファイル

update 自動連携用の更新データファイル

export アカウント情報一括出力したCSVファイル

log システムログ、タスク実行ログ、診断ログ

delay 遅延実行リクエストファイル

Users ライセンス未付与ユーザーの遅延実行リクエストファイル

Resources ライセンス未付与施設の遅延実行リクエストファイル

SharedMailboxes ライセンス未付与共有メールボックスの遅延実行リクエ

(13)

8 ストファイル

cache Boxのメンバー情報キャッシュファイル

user ユーザーごとにフォルダを自動作成する

ドメイン名@[ユーザー名]_[SID] ユーザーごとのフォルダ

input 一括個別メンテ用の入力ファイル

update 一括個別メンテ時の更新データファイル

export アカウント情報出力したCSVファイル

log ユーザーの操作ログ

※「AAEData ルート」フォルダはデフォルトでは AAE ルートと同階層ですが、設定ファイル

「4.6.7. データパスファイル」で変更可能です。

[AAEDataルート]¥settingフォルダ配下には各種設定・定義ファイルがありますが、導入時

に設定が必要なファイルは以下です。

設定ファイルファイル名説明

共通設定 Setting.xml メール送信、異常更新検出機能、実行結果メールの

通知先などの設定を記載します。

環境設定画面から設定できる項目も含まれます。

ドメイン情報設定 DomainInfo.xml ドメイン名やドメインに接続するユーザー名、パスワードの情報などを記載します。

アカウントフォレストとリソースフォレストが別の場合、

すべてのドメインの情報を記載します。

Exchange サーバーリスト

ExchangeServers.txt AAE がアクセスするオンプレの Exchange・Lync サーバー名を列挙します。

既定では最上位に記載したサーバーにアクセスし、接続できない場合は2 行目以降に記載したサーバーにアクセスします。

Lync

サーバーリスト

LyncServers.txt

Office 365 接続情報

Office365Account.csv AAEからOffice 365にアクセスする際に使用するアカウント情報を記載します。

Office 365 連携用設定

MSCloudSetting.xml ライセンス管理機能を使用する際に必要な設定を記載します。

OU設定 OuSetting.xml ルートOUの情報を記載します。

設定方法については後述します。

(14)

9

4. 環境構築手順（アカウント管理用）

※オンプレ/Office365/Exchange Hybrid環境のアカウント管理に加え、

Boxのアカウントも管理する場合、本手順の実施後、

「5. 環境構築手順（クラウドストレージオプション）」を実施してください。

※Boxのアカウントのみ管理する場合、本手順は不要です。

「6. 環境構築手順（クラウドストレージオプション単体利用）」を実施してください。

以下のステップでAAE環境を構築します。

1. ルートOUを作成する

2. AAE実行ユーザーアカウントを作成する

3. 管理者ロール用のグループ（管理者ロールグループ）を作成する 4. 無効化OUを作成する

5. AAEのモジュール一式をコピーする 6. AAEの設定ファイルを編集する 7. アプリケーションプールを追加する 8. Webサイトを作成する

9. ホストヘッダーを追加する

10. AAEサイトを信頼済みサイトに追加する 11. 階層型アドレス帳を有効化する

12. 遅延実行バッチを設定する

13. PowerShellスクリプト実行ポリシーを変更する

14. Exchange関連のスキーマを拡張する（Office 365連携時のみ）

15. ライセンス管理バッチを設定する（Office 365／Exchange Hybrid連携時）

以降、Active Directoryに対して操作する場合は、「Active Directory ユーザーとコンピュ

ーター」を使用して、システム管理者権限でリソースフォレストのドメインコントローラーに接続してください。AAE 実行サーバーに対して操作する場合はシステム管理者権限でログインしてください。

全ての設定が完了後、AAEのWeb画面に正しくアクセスできることを確認してください。

(15)

10

4.1. ルート OU を作成する

目的 AAEの管理対象とするルートのOUを作成します。

作業環境 Active Directory（リソースフォレスト）

AAEはルートOU配下の各オブジェクトを管理対象としますが、ルートOU自体は作成できません。

ルートOUが必要なオブジェクトには以下があります。

- ユーザー

- グループ

- 連絡先

- 施設

- 共有メールボックス - メーリングリスト - コンピュータ

ルートOUの特徴は以下の通りです。

- ルートOUごとに管理するオブジェクトの種類を設定できます - 1つのルートOU で複数のオブジェクトを管理できます - 1種類のオブジェクトに複数のルートOUを設定できます

- 管理しないオブジェクトのルートOUは作成する必要はありませんこれらの特徴を踏まえたうえで、ルートOUの構成を検討してください。

ルート OUの構成が確定したあとは、「Active Directory ユーザーとコンピューター」を使ってルートとなるOUを作成してください。ルートOUが既に存在している場合は作成する必要はありません。

AD上にルートとなるOUを作成した後、AAEのWeb画面からルートOUを設定します。この操作はAAEの設定が完了したあとに実施します。

(16)

11

4.2. AAE 実行ユーザーアカウントを作成する

目的 AAEを実行するためのユーザーアカウントを作成します。このユーザーアカウントはIISのアプリケーションプール、Windowsタスクで使用します。

① AAE実行ユーザーアカウントを格納するOUを作成します。

既存のOUやUsersコンテナを使用する場合は作成する必要はありません。

② 上記のOU配下にAAE実行用のユーザーアカウントを作成します。

この際、以下の点に注意してください。

- 名前：aaeadmin等、任意に指定可能

- ユーザーは次回ログオン時にパスワード変更が必要：チェックを外す - パスワードを無期限にする：チェックする

- アカウントは無効：チェックしない

③ AAE実行ユーザーアカウントを以下のグループのメンバーに追加します。

- Builtin¥Administrators - Users¥Domain Admins - Users¥Domain Users

オンプレのExchange機能を使用する場合、以下のグループのメンバーにも追加してください。

Microsoft Exchange Security Groups¥Organization Management

オンプレのLync機能を使用する場合、以下のグループのメンバーにも追加してください。

Users¥CSAdministrator

AAE 実行ユーザーでAAE を配置するサーバーにログイン/ログオフは実施しないでください。

AAE の稼働中に実行ユーザーでログオフした場合、Microsoft の仕様により、AAE からの

PowerShellの実行が失敗する可能性があります。

(17)

12

4.3. 管理者ロールグループを作成する

目的管理者ロールグループを格納するOUを作成します。

システム管理ロール用のグループを作成します。

AAEはシステム管理ロール以外の管理者ロールグループを1つのOU（ロール用OU）で管理します。システム管理ロールグループは、ロール用OU配下に作成したOUに格納します。

① 任意のOU配下に「Role」OUを作成します。

AAEのルートOU配下には作成しないでください。

② ①で作成したOU配下に「SystemRole」OUを作成します。

③ 「SystemRole」OU配下にシステム管理ロール用の以下のグループを作成します。

- グループ名、表示名：システム管理ロール - グループのスコープ：ユニバーサル - グループの範囲：セキュリティ

④ システム管理ロール権限を与えるユーザーを、「システム管理ロール」グループのメンバーとします。

システム管理ロールグループのメンバーはAAEのロール管理画面で設定できません。以下のいずれかの方法で管理してください。

- 「Active Directoryのユーザーとコンピューター」で管理する。

- システム管理ロールグループを Exchange の配布グループとし、Exchange コントロールパネルで管理する。

- 「SystemRole」OUをグループのルートOUの1つとし、個別メンテナンス画面で管理す

る。

(18)

13

4.4. 無効化 OU を作成する

目的 AAEが無効化したユーザーを退避するOUを作成します。

無効ユーザー管理機能を使用しない場合は本章の設定は不要です。

AAEは無効化したユーザーを専用のOU（無効化OU）へ退避します。

以下の手順に従い、無効化OU を作成します。また、AAE が無効化OU配下にフォルダを追加・削除できるようアクセス権を設定します。

① 任意のOU配下に「無効ユーザー」OUを作成します。

AAEのルートOU配下には作成しないでください。

② 「無効ユーザー」OUのプロパティを開きます。

③ セキュリティタブをクリックし、「詳細設定」ボタンをクリックします。

(19)

14

④ 追加ボタンをクリックします。

⑤ AAE実行ユーザーを検索します。

⑥ アクセス許可一覧を一番下までスクロールし、以下の2つをチェックします。

- 組織単位（OU）オブジェクトの作成 - 組織単位（OU）オブジェクトの削除

⑦ 「OK」ボタンを3回クリックします。

(20)

15

4.5. AAE のモジュール一式をコピーする

目的 AAEのモジュール一式をAAE実行サーバーにコピーします。

作業環境 AAE実行サーバー

① [インストールCD]¥module¥オンプレAD連携¥[使用する連携先]フォルダ配下一式を AAE実行サーバーの任意のフォルダにコピーします。

[使用する連携先]は、「3. モジュール構成」を参照してください。

② [AAEルート]のプロパティを確認し、読み取り専用属性がついている場合は外します。

③ オンプレ連携を使用し、Exchange／Lync機能を使用しない場合、以下を削除します。

使用しない機能削除するファイル

Exchange管理 [AAEルート]¥Bin¥Plugin.Exchange.dll Lync管理 [AAEルート]¥Bin¥Plugin.Lync.dll

(21)

16

4.6. 設定ファイルを編集する

目的お客様の環境に合わせ、AAEの設定ファイルを編集します。

お客様の環境ごとに最低限編集する必要がある項目について説明します。詳細については、

「Account Agent Enterprise 設定ファイルマニュアル」を参照してください。

設定が必要な設定ファイルは以下の8つです。

設定ファイルオンプレ AD連携

Office 365連携

Exchange Hybrid 連携

用途

共通設定使用使用使用メール送信、異常更新検出機能、実行結果メールの通知先などの設定を記載します。

環境設定画面から設定できる項目も含まれます。

ドメイン情報使用使用使用ドメイン名やドメインに接続するユーザー名、パスワードの情報などを記載します。

アカウントフォレストとリソースフォレストが別の場合、すべてのドメインの情報を記載します。

Exchange サーバーリスト

使用未使用使用 AAE がアクセスするオンプレの

Exchange・Lync サーバー名を列挙し

ます。

既定では最上位に記載したサーバーにアクセスし、接続できない場合は2行目以降に記載したサーバーにアクセスします。

Lync

サーバーリスト

使用未使用使用

Office 365 接続情報

未使用使用使用 Office 365 にアクセスする際に使用す

るアカウント情報を記載します。

Office 365 連携用設定

未使用使用使用ライセンス管理機能を使用する際に必要な設定を記載します。

OU設定使用使用使用ルートOU情報を記載します。

データパス使用使用使用 AAEの設定・ログ・入力ファイル等を格

納する「AAEData ルート」フォルダの

パスを記載します。

(22)

17

 パスワードの暗号化

設定ファイル中にパスワードを記載する場合、パスワード暗号化ツールで暗号化したものを記載します。

項目内容

実行モジュール [インストールCD]¥tool¥encpass.exe 実行方式コマンドライン実行

実行パラメーターパラメーターは1つのみ受け付けます。暗号化するパスワードを指定します。

結果暗号化されたパスワードはコンソール画面に表示されます。

パスワード暗号化ツールの使用例を以下に示します。

赤枠が暗号化するパスワード、緑枠が暗号化されたパスワードです。設定ファイルには緑枠の文字列をコピーして指定します。

パスワードを暗号化する際、「&」等の一部の文字はエスケープをする必要があります。エスケープ対象文字の前に「^」を入力することでエスケープが可能になります。

エスケープが必要になる文字は以下の通りです。

「&」、「|」、「<」、「>」、「(」、「)」、「%」、「"」、「^」

(23)

18

4.6.1. 共通設定ファイル

- フォルダ：[AAEDataルート]¥setting - ファイル名：Setting.xml

共通設定ファイルにおいて必ず設定する項目とオプションの項目を以下に示します。記載内

容は「Account Agent Enterprise 設定ファイルマニュアル」の共通設定の章を参照してくださ

い。

 必ず設定する項目

カテゴリ項目キー名

OU ロールグループの格納OU Ou.RoleGroup

オプション設定無効ユーザー管理機能を使用する Option.ManageDisabledAccount OU情報設定 OU識別名を保持する属性名 System.OuAlias.Attr

ロール情報設定ロール情報を格納している属性 System.RoleInfoAttr ロール管理対象 System.Role.Type 自動連携自動連携除外情報を格納する属性名 System.Object.Attr

自動連携除外を表す文字列 System.Object.String タスク実行タスク実行アカウント名 System.TaskRunUser

タスク実行アカウントのパスワード System.TaskRunPassword 実行結果メール設定実行結果メールを通知する SendMail.Use

DN システム管理者グループのDN DN.AdminGroup タスク実行アカウントへは、以下の権限の付与が必要です。

ローカルセキュリティポリシーを起動し、「ローカルポリシー］－「ユーザー権利の割り当て」-

「バッチジョブとしてログオン」のプロパティ「ローカルセキュリティの設定」に設定されているいずれかの権限

 無効ユーザー管理機能を使用する場合に設定する項目

OU 無効化OUルート Ou.DisabledUser.Root

 実行通知メールを送付する場合に設定する項目

実行結果メール設定メールサーバー名 SendMail.SmtpServer ポート番号 SendMail.Port

メールサーバーへの接続ユーザー名 SendMail.SmtpUserID メールサーバーへの接続パスワード SendMail.SmtpPassword SSL通信の有効・無効フラグ SendMail.SmtpEnableSSL 送信元アドレス(From) SendMail.From

宛先アドレス(Cc) SendMail.Cc

管理者名 SendMail.Customer

(24)

19

 休職機能を使用する場合に設定する属性

休職ユーザー設定休職情報を保持する属性名 System.DisableUser.Attr 休職情報を表す値 System.DisableUser.Values

 階層型アドレス帳を使用する場合に設定する属性

階層化アドレス帳階層化アドレス帳のルート組織名 System.HabRoot

 オンプレADのみの環境の場合に設定する属性

オンプレExchange連携やOffice 365／Exchange Hybridの連携を使用せず、オンプレの

ADのみの環境の場合に限り以下の設定を追加してください。

環境ユーザーと判断するフィルター条件 Filter.Object.User

以下は共通設定画面から設定できますが、設定ファイルを直接設定しても構いません。

アカウント登録オプションパスワードを無期限にする AccountOption.DontExpirePassword ユーザーは次回ログオン時

にパスワード変更が必要

AccountOption.PasswordLastSet

入力ファイル設定入力ファイルの文字コード Input.Encoding 入力ファイルの指定方法 Input.IsFullData オプション設定異常更新検出機能を使用す

る

Option.AutoStop.Use

異常更新と判断する閾値 Option.AutoStop.Percentage 実行結果メール設定宛先アドレス(To) SendMail.To

設定ファイルの記載例を以下に示します。

<?xml version="1.0"?>

(25)

20

～

</settings>

(26)

21

4.6.2. ドメイン情報設定ファイル

- フォルダ：[AAEDataルート]¥setting - ファイル名：DomainInfo.xml

ドメイン情報設定ファイルでは AAE がリソースフォレスト、アカウントフォレストに接続するために必要な情報を記載します。

記載内容は「Account Agent Enterprise 設定ファイルマニュアル」のドメイン情報設定の章を参照してください。

以下にドメイン情報設定ファイルの記載例を示します。

<?xml version='1.0' encoding='utf-8'?>

<DC>dc1.next.local</DC>

<DC>dc2.next.local</DC>

</DCList>

<RootDN>DC=next,DC=local</RootDN>

<ADUpnSuffix>next.local</ADUpnSuffix>

<UserName>next\administrator</UserName>

<Password>M8865kTc29iq+Od85kXA1uMp4gvJyU923+m0Ny8mkzU=</Password>

</DomainInfo>

<DC>custdc1.cust1.local</DC>

</DCList>

<RootDN>DC=cust1,DC=local</RootDN>

<ADUpnSuffix>cust1.local</ADUpnSuffix>

<UserName>cust1\administrator</UserName>

<Password>M8865kTc29iq+Od85kXA1uMp4gvJyU923+m0Ny8mkzU=</Password>

</DomainInfo>

</DomainInfoList>

(27)

22

4.6.3. Exchange サーバーリスト、 Lync サーバーリスト

- フォルダ：[AAEDataルート]¥setting

- ファイル名：ExchangeServers.txt、LyncServers.txt

Exchange サーバーリスト／Lync サーバーリストはオンプレの環境に存在している

Exchange／Lync サーバーのホスト名を列挙したテキストファイルです。AAE は各サーバーリ

ストに記載されたサーバーに対して、リモート管理シェル接続します。

以下はExchangeサーバーリストの記載例を示します。

HUBCAS1 HUBCAS2

Exchangeサーバーリストにはクライアントアクセスサーバーのホスト名を記載します。

4.6.4. Office 365 接続情報ファイル

- フォルダ：[AAEDataルート]¥setting - ファイル名：Office365Account.csv

Office 365／Exchange Hybrid連携を使用しない場合、本ファイルの設定は不要です。

Office 365接続情報ファイルはOffice 365への接続用アカウントの情報を列挙したテキスト

ファイルです。AAE は本ファイルに記載されたアカウントを使用して、Office 365 へ接続します。

記載内容は「Account Agent Enterprise 設定ファイルマニュアル」のOffice 365接続情報の章を参照してください。

以下にOffice 365接続情報ファイルの記載例を示します。

[email protected] M8865kTc29iq+Od85kXA1uMp4gvJyU923+m0Ny8mkzU=

[email protected] M8865kTc78iq+Od85kXA1uMp4gvJyU923+m0Ny8mkzU=

ユーザーIDとパスワードはタブで区切ります。

Office 365 では、長時間、同一ユーザーで大量の通信を行うと、エラーが多発するという状況

が発生します。本状況を回避するため、本ファイルには 3 件以上の接続アカウントの情報を記載することを推奨します。

4.6.5. Office 365 連携用設定ファイル

- フォルダ：[AAEDataルート]¥setting - ファイル名：MSCloudSetting.xml

(28)

23

Office 365／Exchange Hybrid連携を使用しない場合、本ファイルの設定は不要です。

Office 365連携用設定ファイルではライセンス管理機能を使用する際に必要な情報を記載し

ます。

記載内容は「Account Agent Enterprise 設定ファイルマニュアル」のOffice 365連携用設定の章を参照してください。

以下にOffice 365連携用設定ファイルの記載例を示します。

<settings xmlns:xsd="http://www.w3.org/2001/XMLSchema"

xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">

</settings>

4.6.6. OU 設定ファイル

- フォルダ：[AAEDataルート]¥setting - ファイル名：OuSetting.xml

OU設定ファイルは、ルートOU情報を記載するXMLファイルです。

ルート OU の設定は、AAE の Web 画面から設定します。ただし、メーリングリストのルート OUの設定はWeb画面から設定できません。そのため、メーリングリストを管理する場合、メモ帳でルートOU情報を記載します。

メーリングリストのルートOUの設定例を以下に示します。

object、aliasの値は「mailinglist」、ouPathの値はメーリングリスト用OUのDNを設定してください。

</ouSettings>

OU設定ファイルを修正後、保存してメモ帳を終了してください。

4.6.7. データパスファイル

- フォルダ：[AAEルート]¥Data¥setting - ファイル名：DataPath.xml

データパスファイルは、AAEの設定ファイル・ログ・入力ファイル等を格納する[AAEDataル

(29)

24 ート]フォルダのパスを記載するXMLファイルです。

データパスの初期値は「C:¥AAE¥AAEData¥」です。この場合、C:¥AAE フォルダ配下の

AAEDataフォルダを使用します。

AAEDataフォルダを共有ファイルサーバー上に置く場合、以下の手順のとおり設定します。

① データパスファイルをメモ帳で開きます。

② 「Folder.DataRoot」キーのvalの値にファイルサーバーの絶対パスを指定します。

</settings>

③ DataPath.xmlを保存してメモ帳を終了します。

④ [AAEDataルート]フォルダ配下のすべてのフォルダ・ファイルを、ファイルサーバーに移

動します。

(30)

25

4.7. アプリケーションプールを追加する

目的 Web画面を実行するために必要なアプリケーションプールを作成します。

① インターネットインフォメーションサービス(IIS)マネージャーを起動します。

② アプリケーションプールを右クリックし、「アプリケーションプールの追加」を選択します。

③ 以下を入力し、「OK」をクリックします。

- アプリケーションプール名→AAEPool

.NetFrameworkバージョン→.NetFrameworkV4.0

(31)

26

④ 「AAEPool」を選択した状態で「詳細設定」をクリックします。

⑤ プロセスモデルの「ID」の参照ボタンをクリックします。

(32)

27

⑥ カスタムアカウントを選択し、「設定」ボタンをクリックします。

⑦ ユーザー名にAAEの実行ユーザーのログイン名を指定します。ドメイン名も必要です。

パスワードを2回入力し、「OK」ボタンをクリックします。

⑧ アプリケーションIDダイアログで「OK」ボタンをクリックします。

⑨ 「詳細設定」ダイアログで以下を設定します。

- プロセスモデル→アイドル状態のタイムアウト(分)：0 - プロセスモデル→ユーザープロファイルの読み込み：True - リサイクル→構成の変更時のリサイクルを無効にする：True - リサイクル→定期的な間隔：0

Office 365／Exchange Hybrid連携を使用しない場合、「ユーザープロファイルの読み込み」

の設定は不要です。

⑩ 「詳細設定」ダイアログで「OK」ボタンをクリックします。

(33)

28

4.8. Web サイトを作成する

目的 AAEのモジュールをIISで公開します。

作業環境 AAE動作サーバー

以下の手順でWebサイトを新規に作成します。

② サイトを右クリックし、「Webサイトの追加」を選択します。

(34)

29

③ 「Webサイトの追加」ダイアログで以下を設定し、「OK」ボタンをクリックします。

- サイト名：AAESite

- アプリケーションプール：AAEPool - 物理パス：AAEのルートフォルダ - ポート：現在使用していない任意のポート

AAEが他のWebサイトで使用されているポート（ポート80など）で受け付けるためには、ホストヘッダーの設定が必要です。ホストヘッダーの説明は後述します。

(35)

30

④ 作成したサイトを選択し、「アクセス許可の編集」をクリックします。

⑤ 「セキュリティ」タブをクリックし、「編集」ボタンをクリックします。

(36)

31

⑥ 「追加」ボタンをクリックし、AAE実行ユーザーを検索します。

⑦ AAE実行ユーザーに対して変更権限を付与します。

(37)

32

⑧ Authenticated Usersを追加します。変更権限は付与しません。

⑨ 「OK」ボタンを2回クリックします。

(38)

33

⑩ 「SSL設定」を選択して、「機能を開く」をクリックします。

⑪ 「SSLが必要」のチェックが入っていた場合、チェックをはずします。

⑫ 「適用」ボタンをクリックします。

(39)

34

4.9. ホストヘッダーを設定する

目的同一ポートで複数サイトを共存させます。

作業環境 AAE動作サーバー、DNS

ホストヘッダーを設定することにより、同一ポート（例えばポート80）で複数のサイトをホストすることができます。ポート80が既に使われておりAAEもポート80で受け付けたい場合などはホストヘッダーを設定してください。

ホストヘッダーの動作イメージを以下に示します。以下の例ではリソースフォレストを next.local、アカウントフォレストをcust1.localとしています。AAE動作サーバーに「aae」という別名を割り当て、URLのFQDNに指定できるようにしています。

ホストヘッダーの設定手順は以下の通りです。

1. AAESiteのバインド設定において、ポート80でaae.next.local、aae.cust1.localを受け付けるよう設定します。

2. リソースフォレストのDNSにAレコードを追加します。

3. アカウントフォレストのDNSにCNAMEを追加します（アカウントフォレストがある場合）

このように設定すると、ユーザーは以下の通りアクセスすることができます。

- リソースフォレストのユーザー：http://aae.next.local（ポート指定は不要）

- アカウントフォレストのユーザー：http://aae.cust1.local（ポート指定は不要）

以下にホストヘッダーの設定手順を説明します。

(40)

35

4.9.1. AAESite のバインドを設定する

② AAESiteを選択し、「バインド」をクリックします。

③ 「サイトバインド」ダイアログで「追加」ボタンをクリックします。

(41)

36

④ ポートに待ち受けるポート番号、ホスト名に「aae.[ドメイン名]」を入力し、「OK」ボタンをクリックします。

⑤ 必要に応じてアカウントフォレスト側の設定も追加します。

⑥ 不要な設定があれば削除します（以下の例ではポート8096の設定）。

⑦ 「閉じる」ボタンをクリックします。

(42)

37

4.9.2. リソースフォレストの DNS に A レコードを登録する

① リソースフォレストのDNSサーバーに必要な権限を持つユーザーでログインします。

② DNS管理コンソールを起動します。

③ 前方参照ゾーンの該当ドメインを右クリックし、新しいホスト（A）をクリックします。

（DNSサーバーのバージョンによっては新しいホスト（AまたはAAAA）となっています）

④ 名前に「aae」、IPアドレスにAAE動作サーバーのIPアドレスを追加して、「ホストの追加」ボタンをクリックします。

(43)

38

4.9.3. アカウントフォレストの DNS に CNAME を登録する

① アカウントフォレストのDNSサーバーに必要な権限を持つユーザーでログインします。

② DNS管理コンソールを起動します。

③ 前方参照ゾーンの該当ドメインを右クリックし、新しいエイリアスを選択します。

④ エイリアス名に「aae」と、ターゲットホスト用の完全修飾ドメイン名に「aae.next.local」を記述してOKをクリックします。

(44)

39

4.10. AAE サイトを信頼済みサイトに追加する

目的 AAEサイトを信頼済みサイトに追加し、AAEが正しく動作するようにします。

作業環境クライアントPC

AAEではWeb画面でJavaScriptを使用していますが、ネットワーク環境やブラウザの設定

によっては、JavaScriptが既定で有効になっていないことがあります。JavaScriptが有効になっていない場合、以下の手順で有効化してください。

① Internet Explorer の「ツール」メニューから[インターネットオプション]を選択します。も

しくは、コントロールパネルから「インターネットオプション」を選択します。

② 信頼済みサイトを選択し、「サイト」ボタンをクリックします。

(45)

40

③ AAEのURLを入力後に「追加」ボタンをクリックし、「閉じる」ボタンをクリックします。

④ インターネットオプションダイアログの「OK」ボタンをクリックします。

4.11. 階層型アドレス帳を有効化する

目的階層型アドレス帳を有効にします。

作業環境 AAE動作サーバー、DNS

階層型アドレス帳を使用する場合、Active Directoryのスキーマを設定する必要があります。

スキーマの拡張方法についてはTechNet等を参照してください。

http://technet.microsoft.com/ja-jp/library/ee649115.aspx#EAA

また、階層化アドレス帳のルート組織はAAEでは設定できません。ADSIEdit等を使用して設定してください。

4.12. 遅延実行バッチを設定する

目的 AAEの遅延実行バッチをWindows タスクに登録します。

① タスクスケジューラを起動します。

② タスクスケジューラフォルダを右クリックし、「タスクの作成」をクリックします。

③ 以下のとおりタスクの詳細を設定します。

タブ設定項目設定値

全般名前遅延実行バッチ

タスクの実行時に使う AAE実行ユーザー

(46)

41 ユーザーアカウント

ユーザーがログオンしているかどうかにかかわらず実行する

チェック

最上位の特権で実行するチェック

表示しないチェック

トリガー設定 1回

開始任意

タスクの開始スケジュールに従う詳細設定 - 繰り返し間隔 15分

有効チェック

操作操作プログラムの開始

プログラム／スクリプト [AAEルート]¥Bin¥DelayedExecuteBatch.exe

引数の追加空

開始オプション空

④ 設定が完了したら OK をクリックします。ユーザー名・パスワードを入力するダイアログが表示されるので、AAE実行ユーザーのユーザー名・パスワードを指定します。

4.13. PowerShell スクリプトの実行ポリシーを変更する

目的 AAEがPowerShellを発行できるようにします。

作業環境 AAE動作サーバー

AAEがExchange管理シェル／Lync管理シェルにリモート接続できるよう、PowerShellの

設定を変更します。Exchange機能・Lync機能のどちらも使用しない場合、設定は不要です。

① 管理者権限でPowerShellを起動し、以下のコマンドを実行します。

Set-ExecutionPolicy RemoteSigned

② 確認メッセージが表示されるので、「y」キーを押下します。

4.14. Exchange のスキーマを拡張する（ Office 365 連携時のみ）

目的 Exchange関連のスキーマを拡張します。

作業環境オンプレミスActive Directory

Office 365連携を使用する場合、オンプレのActive Directoryに対し、Exchangeのスキー

マを設定する必要があります。Exchange のスキーマの拡張方法についてはTechNet等を参照してください。

(47)

42

4.15. ライセンス管理バッチを設定する（ Office 365 ／ Exchange Hybrid 連携時）

目的 AAEのライセンス管理バッチをWindows タスクに登録します。

① タスクスケジューラを起動します。

② タスクスケジューラフォルダを右クリックし、「タスクの作成」をクリックします。

③ 以下のとおりタスクの詳細を設定します。

タブ設定項目設定値

全般名前ライセンス管理バッチ

タスクの実行時に使うユーザーアカウント

AAE実行ユーザー

ユーザーがログオンしているかどうかにかかわらず実行する

チェック

最上位の特権で実行するチェック

表示しないチェック

トリガー設定 1回

開始任意

タスクの開始スケジュールに従う詳細設定 - 繰り返し間隔 60分

有効チェック

操作操作プログラムの開始

プログラム／スクリプト [AAEルート]¥Bin¥LicenseManager.exe 引数の追加 -Update

開始オプション空

④ 設定が完了したら OK をクリックします。ユーザー名・パスワードを入力するダイアログが表示されるので、AAE実行ユーザーのユーザー名・パスワードを指定します。

(48)

43

5. 環境構築手順（クラウドストレージオプション）

※オンプレ/Office365/Exchange Hybrid環境のアカウントを管理する場合、

本手順の実施前に「4. 環境構築手順（アカウント管理用）」を実施してください。

※Boxのアカウントのみ管理する場合、本手順は不要です。

「6. 環境構築手順（クラウドストレージオプション単体利用）」を実施してください。

以下のステップでAAE環境（クラウドストレージオプション）を構築します。

本手順の前に「4環境構築手順」を実施してください。

1. 公開鍵、秘密鍵を準備する 2. AAE用に追跡コードを設定する 3. Boxアプリケーションを作成する 4. Boxアプリケーションを承認する 5. BoxのSDK（OSS）をダウンロードする 6. BoxのSDKをAAEに適用する

7. クラウドストレージオプションをAAEに適用する 8. クラウドストレージオプションの設定ファイルを編集する 9. AAEのサイトをリセットする

10. クラウドストレージオプションのバッチを設定する 11. Boxに同期する（初回同期）

以降、Box に対して操作する場合は、Boxの管理者権限を持っているユーザーでBox にログインしてください。AAE 実行サーバーに対して操作する場合はシステム管理者権限でログインしてください。

全ての設定が完了後、AAEのWeb画面に正しくアクセスできることを確認してください。

5.1. 公開鍵、秘密鍵を準備する

目的 AAEがBoxに接続するための公開鍵、秘密鍵を準備する作業環境 -

OpenSSL RSA の公開鍵、秘密鍵を準備します。お客様のルールに従って準備をしてくださ

い。

公開鍵、秘密鍵を作成する例を以下に記載します。

①Cygwinをインストールする（OpenSSLのコマンドを実行できればCygwinである必要

はありません。）

②秘密鍵作成コマンドを実行し、秘密鍵を作成する。作成コマンドの例は以下です。

openssl genrsa -aes256 -out private_key.pem 2048

(49)

44

③作成した秘密鍵をつかって、公開鍵を作成する。作成コマンドの例は以下です。

openssl rsa -pubout -in private_key.pem -out public_key.pem 秘密鍵を以下のフォルダにコピーしてください。

- フォルダ：[AAEDataルート]¥setting

(50)

45

5.2. AAE 用に追跡コードを設定する

目的 AAEが管理するアカウントを識別するための追跡コードを設定する作業環境 -

Box管理者でログインし、「管理コンソール」の「Enterprise設定」-「ユーザー設定」から追跡コードを設定します。設定する追跡コードは以下に記載します。

- aae_extension

設定する値とBoxの画面の例は以下になります。

(51)

46

5.3. Box アプリケーションを作成する

目的 AAEがBoxに接続するためのBoxにAAE用のアプリケーションを作成する作業環境 -

Box に管理者でログインし、「開発者コンソール」から AAE 用のアプリケーションを作成します。

AAEに必要な設定は以下の通りです。

項目設定項目設定値

全般アプリ名任意の値

例：AccountAgentEnterprise

連絡先メール任意の値

管理者のメールアドレスか、管理部署のメーリングリストなど

構成認証方法 JWTを使用したOAuth2.0(サーバー認証) クライアントID アプリを作成すると自動で払い出されますクライアント秘密コードアプリを作成すると自動で払い出されますアプリケーションアクセス Enterprise

アプリーションの範囲以下の項目を選択

- Box に格納されているすべてのファイルとフォルダの読み取りと書き込み

- ユーザーを管理 - グループを管理

- エンタープライズのプロパティを管理 - リテンションポリシーを管理

高度な機能以下の項目をONにする - ユーザーとして操作を実行 - ユーザーアクセストークンを生成

公開キーの追加と管理「5.1. 公開鍵、秘密鍵を準備する」で準備した公開鍵を設定

公開鍵のファイル内の値をコピーし、本項目に張り付けてください。

(52)

47

5.4. Box アプリケーションを承認する

目的 AAEがBoxに接続するためのBoxにAAE用のアプリケーションを承認する作業環境 -

Boxに管理者でログインし、「5.3Boxアプリケーションを作成する」で作成したAAE用のアプリケーションを承認します。

アプリケーションの承認時、「5.3. Boxアプリケーションを作成する」で払い出されたクライアント IDの入力が必要となります。

5.5. Box の SDK （ OSS ）をダウンロードする

目的 AAEがBoxに接続するために利用するBoxのSDK（OSS）をダウンロードする作業環境 -

OSS の利用については、適用された使用条件（ライセンス条件）に従い、お客様の責任において入手、ご利用ください。

インストールは、MicrosoftのNugetを利用します。Nugetのサイトからコマンドライン版をダウンロードします。ダウンロード方法の例を以下に記載します。画面が変更されている場合は、

変更後の手順に従ってください。

「DOWNLOADS」の「Windows x86 Commandline」から最新の「nuget.exe」をダウンロードします。

「コマンドプロンプト」を「管理者として実行」します。

「nuget.exe」が格納されているフォルダに移動し、以下のコマンドを実行します。

nuget.exe Install Box.V2 -Version 3.24.0

(53)

48

「nuget.exe」が格納されているフォルダにモジュールダウンロードされます。ダウンロードさ

れるフォルダは以下になります。

- BouncyCastle.1.8.1 - Box.V2.3.24.0

- Microsoft.IdentityModel.Logging.1.1.4 - Microsoft.IdentityModel.Tokens.5.1.4 - Newtonsoft.Json.10.0.3

- System.IdentityModel.Tokens.Jwt.5.1.4 以下のコマンドを実行します。

nuget.exe Install Box.V2.JWTAuth –Version 1.2.0

- BouncyCastle.1.8.1 - Box.V2.JWTAuth.1.2.0 - Microsoft.Bcl.1.1.10 - Microsoft.Bcl.Build.1.0.14 - Microsoft.Net.Http.2.2.29

- System.IdentityModel.Tokens.Jwt.4.0.2.206221351 以下のコマンドを実行します。

nuget.exe Install Microsoft.Bcl.Async –Version 1.0.168

- Microsoft.Bcl.1.1.8

- Microsoft.Bcl.Async.1.0.168 - Microsoft.Bcl.Build.1.0.14

(54)

49

5.6. Box の SDK を AAE に適用する

目的 AAEにBoxのSDKを適用する作業環境 AAE実行サーバー

ダウンロードしたモジュールをAAEに適用します。

コピー先：[AAEルート]¥Bin¥

コピー元のファイルは以下になります。

フォルダモジュール名

BouncyCastle.1.8.1¥lib BouncyCastle.Crypto.dll Box.V2.3.24.0¥lib¥net45 Box.V2.dll

Newtonsoft.Json.10.0.3¥lib¥net45 Newtonsoft.Json.dll System.IdentityModel.Tokens.Jwt.5.1.4¥lib

¥net45

System.IdentityModel.Tokens.Jwt.dll Microsoft.Net.Http.2.2.29¥lib¥net45 System.Net.Http.Extensions.dll

System.Net.Http.Primitives.dll Microsoft.Bcl.Async.1.0.168¥lib¥net40 Microsoft.Threading.Tasks.dll

Microsoft.Threading.Tasks.Extensions.dll Microsoft.IdentityModel.Logging.1.1.4¥lib¥

net45

Microsoft.IdentityModel.Logging.dll Microsoft.IdentityModel.Tokens.5.1.4¥lib¥

net45

Microsoft.IdentityModel.Tokens.dll

5.7. クラウドストレージオプションを AAE に適用する

目的 AAEにクラウドストレージオプションのモジュールを適用する作業環境 AAE実行サーバー

[インストール CD]¥module¥オンプレ AD 連携フォルダ配下の「クラウドストレージオプション」フォルダにあるファイルを以下のコピー先に配置します。

コピー元：AAE配下のbinフォルダ

コピー先：[AAEルート]配下のbinフォルダコピー元：AAEData配下のすべてのフォルダコピー先：[AAEDataルート]配下

Account Agent Enterprise 導入マニュアル

アカウント情報連携システム V5L31