Azureで「社内の複数の拠点からVPNを張ってAzureのリソースを使いたい」と言われることがあります。従来は、簡単な作業でなかったのですが、リソースマネージャーモデルであれば、以下のようにGUIだけで構成できます。リソースマネージャーでもVPNゲートウェイは1台しか作れませんが、複数の接続を簡単に追加できるからです。拠点単位でローカルネットワークゲートウェイを構成します。ローカルネットワークゲートウェイは、オンプレミスのVPNルーターの情報を保存したものです。次に、ローカルネットワークゲートウェイを使って、接続を追加します。ここまでで、Azureと拠点A、Aureと拠点Bの接続が完了します。マイクロソフトが提供するオンプレミス側VPNゲートウェイの構成スクリプトは、Azureの仮想ネットワークとローカルネットワークの範囲しかルーティングしないため、拠点Aと拠点Bの接続は構成されません。これは、既存のルーティング情報に影響を与えないためです。そのため、Azureとの接続前から拠点Aと拠点Bが接続できている場合はそのまま使い続けることが可能です。AzureのVPNゲートウェイ自体はローカルネットワークゲートウェイの情報を使ったルーティングが可能なので、オンプレミス側VPNゲートウェイで必要なルーティング情報を与えてやれば、拠点Aと拠点Bの接続が可能です。以上の内容を図にしました。同様に、ローカルネットワークゲートウェイのネットワーク範囲を追加すれば、オンプレミス側のネットワークも拡張できます。インターネット回線を通るため、拠点Aと拠点Bの通信にはそこそこ大きな遅延が発生します。連続して通信を行っても、遅延にはかなりばらつきがありました。品質が高いとはいえないのですが、インターネットにさえつながればどこからでも接続できるので、便利な状況もあるでしょう。Microsoft2016年12月13日火曜日MCP資格と技術者バッジcclaimという会社がマイクロソフト認定技術者試験の認定結果を表示するサービスをはじめています。スクリプトを利用して、改ざん防止をしているようです。試しに付けてみました。Microsoft2016年11月3日木曜日BitLockerドライブ暗号化の修復Windowsにはドライブ全体を暗号化する「BitLockerドライブ暗号化(BDE)」機能が備わっています。Module)が必要です。TPMが存在しない、あるいは無効になっている場合はBitLockerは使えません。それどころか、管理ツールすら表示されません。TPMは、ハードウェア的なセキュリティ機能を持っており、安全な暗号化キー管理には必須の機能です。TPMがない場合でも、(セキュリティレベルの低下は承知で)パスワードなどを使った暗号化をしたい場合があります。グループポリシーを有効にすることで、ソフトウェアベースの暗号化が可能になります。BitLockerの制御は、以下のグループポリシーにまとめられています。[コンピューターの構成]-[管理用テンプレート]-[Windowsコンポーネント]-[BitLockerドライブ暗号化]OSのドライブ(通常はCドライブ)およびデータ用ドライブに対して、ソフトウェアベースの暗号化(TPMを使わない暗号化)を有効にするのは、それぞれ以下の項目を[有効]に設定し、[ハードウェアの暗号化を使用できない場合はBitLockerのソフトウェアベースの暗号化を使用する]を許可します。[オペレーティングシステムのドライブ]-[オペレーティングシステムドライブに対するハードウェアベースの暗号化の使用を構成する][オペレーティングシステムのドライブ]-[スタートアップ時に追加の認証を要求する][固定データドライブ]-[固定データドライブに対するハードウェアベースの暗号化の使用を構成する]設定を有効にするには再起動が必要でした。Serverの場合はBitLockerの機能を追加する必要があります)。仮想マシンにはTPMが存在しませんので、BitLockerを使うには、この操作を行う必要があります。EnterpriseのHyper-Vでは第2世代の仮想マシンで「仮想TPM」が利用できます。暗号化キーが失われた場合の回復BitLockerでは、以下の方法で暗号化キーを保存します。通常はTPMが必須、その他の方法はオプションです。TPM起動時パスワードUSBメモリ(起動時に読み取り)TPMはマザーボードに実装されているため、ディスク装置を別のサーバーに移動した場合は暗号化データを読むことができません。そこで、緊急用に、あらかじめ「回復キー」を保存しておきます。回復キーは、BitLocker構成時に保存するように促されます。回復キーはドライブごとに生成されるため、システムドライブとデータドライブでは別々に設定されます。両方保存してください。データディスクの回復手順システムディスクに損傷があった場合、OSが起動できなくなります。この場合は、以下の手順で回復します。【参考】回復キーのバックアップで生成されるファイルは以下の通りです。値とを比較してください。一致する場合は、次のキーを使用してドライブのロックを解除します。一致しない場合、ドライブのロックを解除するための適切なキーではありません。詳細を確認してください。Azureは、オンプレミスのサーバーをAzureに複製(レプリケーション)し、必要に応じてフェールオーバー(障害時の切り替え)ができます。R2のHyper-Vホストは以下の仮想マシンをサポートします。Azureがサポートする仮想マシンは以下の通りです。第1世代(BIOS)VHD形式の仮想ディスクそのため、Hyper-Vの第2世代は第1世代に変換され、VHDX形式はVHD形式に変換されます。この処理は自動的に行われるため、特に作業は必要ありません。フェールバック(Azureで起動した仮想マシンをオンプレミスに戻す)時は注意が必要です。大規模災害などで、データセンタが破損したあと、システムが復旧したとします。この場合、Azureから「フェールバック」を行うことで、元のシステムを復元できます(操作メニューは「フェールオーバー」を使います)。オンプレミスの仮想マシン存在しなくても「オンプレミスにVMを作成する」オプションを指定すれば、自動的に復元します。この時、Azureから戻ってきた仮想ディスクはVHD形式に変換されたままですが、容量可変ディスクに戻ります。以前の状態を覚えているのでしょうね。フェールバック(Azureから戻す)で、Azureの(変換された)第1世代PCを(元の)第2世代に戻すことはできません。Azureは第2世代に戻そうとするようです。こちらも以前の状態を覚えているようですね。この作業は失敗するため、第2世代の仮想マシンを戻す(フェールバックする)ことはできません)。図のエラーはそれを示しています。Recoveryでの仮想マシン保護~」で扱っています。Hyper-V2016年8月23日火曜日NFC0202G特徴的なクラウド事例やインタビュー記事を集めてきました。クラウド利用事例】その他その他にもこんなものがあります。(Azure)【開発と運用のアーキテクチャ】DevOpsなど、開発と運用についてのインタビュー記事です。Azureの管理ポータル(クラシックポータル)が不具合を起こしました。終了時刻が近付いていたので不本意ながら中断して、口頭での解説だけを行いました。あとで見たら、エラー報告が上がってました。最後の、一番大事な演習だったので残念でした。受講者の皆様には、サポートサービス「グローバルスクエア」の質問回数制限を緩和させていただきます。ご迷惑をおかけしました。サイトリカバリの場合」もあわせてお読みください。Azureの仮想マシンは、必ずDHCPクライアントとして構成します。IPアドレスが変化するのは何かと不便なので、多くの場合は静的なIPアドレスを割り当てます。これは、DHCPの「予約」に近いもので、PowerShellまたは新管理ポータルを操作することで構成できます。DHCPクライアントとして構成するのは、物理マシンを移動するとき、仮想マシンが再作成され、NICが新規に割り当てられるためとされています。すると、当然MACアドレスも変化することになりますね。FAQ」にも、はっきりと書かれています(2016年3月15日付)。VMに静的なMACアドレスを構成できますか。MACアドレスを静的に構成することはできません。以下の記述もありました。MACアドレスは、一度作成されると、VMで同じものとして残りますか。いいえ、ただし変化するのは停止済み(割り当て解除済み)状態になった場合だけです。サーバーの計画的なメンテナンスの場合は、MACアドレスは維持されます。ホストの計画的なメンテナンスでも変化するものだと思っていましたが、これは変わらないそうです。Hyper-Vの仮想マシン構成ファイルにはMACアドレスを記述できるので、それを使っているのでしょうか。静的なMACアドレスを使う計画はあるようです。address」というのがあり、こんな回答が出ていました(2016年5月3日付)。currently.静的MACアドレスの展開のサポートをはじめます。現在でも、仮想マシンのMACアドレスはサイズ変更やメンテナンスがあっても変更されません。仮想マシンを「停止(割り当て解除)」してから再起動すると変化します。Recovery」という機能があり、オンプレミスの仮想マシンまたは物理マシンをAzure上に複製できます。システムディスクだけではなく、データディスクも複製できます。Azureの仮想マシンにはいくつかの制約があり、完全に同じ構成にはなりません。Azureの制約を受けるためです。サイズはAzureで決められたものになります。既定では、オリジナルの仮想マシンに最も近いものが選ばれるようですが、選択できる範囲で変更もできます。接続可能なデータディスクの台数はサイズに依存するので注意してください。次に、Azureの仮想マシンには揮発性の一時ディスクが追加されます。Azureの仮想ディスクが配置されるBLOBはあまり高速ではないため、ページファイルを高速な一時ディスクに配置することで全体の速度を稼ぎます。一時ディスクは、仮想マシンを配置した物理マシンに接続されており、仮想マシンが別の物理マシンに配置された場合は新しく作り直されてしまいます(図)。この時、ネットワークカードも新たに作成されます。Azureの仮想マシンがDHCPクライアントなのはこれが理由です。基本から学ぶサーバー&ネットワーク構築」より通常、一時ディスクはDドライブが割り当てられますが、「利用可能なディスクの内、最後のドライブ文字」を使うのが基本です。ドライブの使用」等を参照してください。Recoveryを使う場合で、オリジナルの仮想マシンに複数のドライブが接続されている場合は、以下のようになります。Recoveryをを構成すると、管理ポータルでは「どのVHDファイルがシステムディスクを指定しろ」と言ってきました。システムパーティションでしょうか)。Azure上の仮想マシンにある一時ディスクは、データディスクの次のドライブ文字を使っていました。Cがシステムディスク、Dがデータディスクの場合、Eが一時ディスクになります。この一時ディスク「ページファイル以外の使い途がありますか?」とよく聞かれます。さあ、なんでしょうね。主記憶が小さく、仮想記憶もなかった時代は、ファイルの中身をソートするために一時ファイルを作ることがありました。MS-DOSのパイプは、コマンドの実行結果を環境変数TEMPの示すフォルダーにいったん保存していました。%TEMP%\1234567.tmpと同じ意味でした。一時ディスクは、このような計算の途中結果を保存するのに適していますが、今はあまり使うことはないと思います。MVPを受賞しました。Mobilityという分野です。Mobilityには以下の分野が含まれます。Directory)だったんですが、昨年からいくつかの分野が統合・整理されています。MVPは、米国CompuServe(パソコン通信)のフォーラムで、マイクロソフトの技術情報を積極的に提供している人に対して感謝の意を表明したいというところからスタートしたそうです。Serveのマイクロソフト系フォーラムで積極的に書いていたところ、フォーラム管理者から連絡があり、アクセス料金が免除されていました。通称「フリーフラグ」というやつです。日本のMVPは、パソコン通信ではなく、コミュニティ活動の評価からスタートしたため、初期メンバーはユーザー会の幹事が多かったようです。この時にMVPになっていれば、ビル・ゲイツを交えた少人数のミーティングにも参加できたのに残念です。MVPの選出基準は、専門分野ごとに多少の違いがあります。MVPは個人に与えられるアワードなので「仕事として行っている場合は評価対象としない」という話も聞きました。開発ツールならともかく、ディレクトリサービスやCRMを個人で使う人なんて、まずいません。不特定多数を対象にしている場合は評価対象になるのではないかと思います。共通の評価基準は「どれだけ多くの人に情報を届けたか」です。明確な基準はありませんが、公募型のトレーニングを担当している場合は評価項目に含めることができるようです。MVPを取得すると、盾と賞状、それにピンバッジとネームカードがもらえます。盾は毎年新調されていたんですが「邪魔になる」という声があったのか、経費削減の姓なのか数年前から切り欠きの入ったリングを重ねていく形になっています。このリングの加工精度が悪く、積み上げてもがたがたです。何とかならないものでしょうか。Directory回りが評価されたようです。ADなど、最新情報にはあまり詳しくありませんが、「この機会に勉強しない際」ということだと思うので、これから勉強して、みなさまに分かりやすい情報をお届けしたいと思います。Azureの研修を実施中、仮想マシンへの接続遅延について質問されました。パブリッククラウドの場合、接続遅延はインターネットサービス(ISP)の影響が大きいため、一般的な値を示すことはできません。言え、実際に使っての値を知りたい気持ちは分かります。そこで、実測してみました。Azureによるサイト間ネットワークの構築」をそのまま使いました。Access)を使ってVPNサーバーを構成したものです。接続先は西日本のデータセンターで、接続元はグローバルナレッジの東京教育センターです。以前試したときは30ミリ秒くらいあったように思うのですが、ご覧の通り13ミリ秒程度です。ところが、東日本のデータセンターと比較するの忘れてしまったので、もう一度仮想マシンを作りました。残念ながら、ネットワーク設定もすべて削除したあとだったので、VPN接続も消えています。作るのも面倒なので別の方法を使うことにします。仮想マシンの構築は簡単にできます(クラウドのいいところです)。pingで使っているICMPを通すのは結構面倒です。そこで、SysInternalsのツール「PsPing」を使いました。これは任意のTCPまたはUDPポート番号を指定して接続テストを行うツールです。▼西日本VPNサーバーを経由していないせいでしょうか10ミリ秒程度になりました。3ミリ秒ほど高速になっています。▼東日本なんと3ミリ秒程度です。こんなに早いとは思いませんでした。西日本とこれほど差があるとも思いませんでした。「西日本と東日本は、そんなに差がないし、仮想マシンが少し安い西日本がいいですよ」と聞いていたんですが、これだけ遅延が小さいと考えますね。ついでに、あまり迷惑にならない範囲でめぼしいサーバーにアクセスして見たところ、軒並み高速になっており、見たことのない小さな数字が並びました。会社で契約しているインターネット接続回線の品質が上がっていたようです。インターネット接続回線の速度測定は、本当に当てになりません。【追記】自宅から試しました自宅から試したら、以下のような結果になりました。西日本...16ミリ秒程度(ただしパケットサイズが小さいときは一時的に25ミリ秒ほどになりました)東日本...8ミリ秒程度ブロードバンドルーターのオーバヘッドが5ミリ秒くらいあるのでしょうか。クラウド2016年1月26日火曜日スーツとシャツとネクタイブログ移行時に掲載し損ねた記事で、かなり昔に書いたものに若干の加筆をしたものです。同僚で先輩の田中淳子さんが、服装と言えばという記事を書いているのを見て思い出しました。昔、といっても10年ほど前、真面目に聞かれたことがあります。私は流行に疎いので分かりませんが、少し前に、スーツに白い綿ソックスが一部で流行したようです。今なら、お客様先に出ないのならいいのかも知れません。(お客様先に行くのは避けた方が無難です)そういえば、シャツの裾をズボンに入れる「シャツイン」もすっかり市民権を得ました。以前読んだ「オタクのためのおしゃれガイド」みたいな本には「最初にすべきことはシャツの裾を出す」と書いてあったくらいです。ビジネススーツでは絶対出しては駄目です。大事なことなので繰り返します。ビジネススーツでは絶対シャツはズボンの中に入れます。去年の春、スーツなのにシャツを出している新入社員風の男性を会社の近くで見かけたので注意しようかと思ったくらいです。ところで、私はスーツでなくてもシャツは必ずズボンの中です。同年代でもシャツを出している人はいるので、年齢のせいではないようです。ピンクのジャケットなんかも来ますので、服装に対してそれほど保守的でもないと思うのですが、シャツを出すのには抵抗があります。伊勢丹のカリスマバイヤーと呼ばれた藤巻幸夫さんもシャツはズボンの中だそうです。ビジネスに欠かせないのがネクタイ。同僚は、一見水玉、近くで見るとウルトラマンという素晴らしいネクタイをして教育コースを実施していました。クラスには同じネクタイをしたお客様もいらっしゃったそうです。ほんとにびっくりします。私は、(受けるかなと思って)マイクロソフトにペンギン柄のネクタイをしていったこともありますが、誰にも気付かれませんでした。そんな細かいことなど注意していないようです。ちなみに、マイクロソフトのCEO(当時)、スティーブ・バルマー氏はいつも赤いネクタイです。同じネクタイしか持っていないのかと思うくらい。ブッシュ前米大統領も、クリントン元米大統領も赤でした。何でも真っ赤なネクタイは「パワータイ」と呼ばれ、勝負ネクタイの定番なんだそうです。肌の色の問題か、オバマ大統領は紺が圧倒的に多く見られます。就任したあとの一般教書演説は赤いネクタイだったようですが。現在のマイクロソフトCEOのサティア・ナデラさんはどうかなと思って調べたらネクタイの写真が見つかりませんでした。ネクタイはしないようです。一度注意して見てみてください。Server「RemoteApp」のインストール先は統一してください「マイクロソフトデスクトップ仮想化ソリューション(リモートデスクトップとVDI)」では、リモートデスクトップサービス(ターミナルサービス)とVDIについて扱っています。このコース、セキュリティ強化の流れを受け、最近人気が上がってきています。アプリケーションウィンドウだけを表示する「RemoteApp」に興味を持つ方が多いようです。インターネット接続を行うアプリケーションを隔離することでセキュリティレベルを上げ、アプリケーションウィンドウだけを表示することで操作性を損なわない環境を実現できます。負荷分散と高可用性を実現するため、RemoteAppを提供するアプリケーションサーバーは複数台設定できます。どのサーバーが選択されるかは、リモートデスクトップ接続ブローカーが決定するため、厳密な予測はできません。そのため、選択される可能性のあるすべてのサーバー(同一コレクション内のサーバーすべて)にアプリケーションをインストールしておく必要があります。RemoteAppを設定する場合は、以下の手順で構成します。仮にSH1、SH2、SH3の3台で構成するとします。同一コレクション内のすべてのサーバー(SH1、SH2、SH3)にアプリケーションをインストールこの時、インストール先は完全に同じパスにしてください。コレクションに最初に追加されたサーバー(ここではSH1とする)からアプリケーションリストを入手SH1が停止している場合は、一覧表が作れないためエラーが表示されます。リモートデスクトップWebアクセスからRemoteAppにアクセス適当なサーバーが選択され、アプリケーションが起動します。この時、アプリケーション登録時のパス(ここではSH1のパス)が利用されます。アプリケーションのインストール先がSH3だけ違う場合は、以下のようになります。SH1に接続された場合→正常SH2に接続された場合→正常SH3に接続された場合→アプリケーション起動エラーパスの情報が保存されているようですね。▲動物の写真はページビューが上がるそうなので入れてみました。ちなみに、外出先から電話して妹に操作してもらうことを「いもーとデスクトップ」と言うそうです。Serverを中心に技術者向けトレーニングを担当。コミュニティにおけるトレノケート社員による発言やコメントは、トレノケートの正式な見解またはコメントではありません。