ユーザーが、可能な限り低いコストで、より良く、より早い、ニーズに合った製品とサービスを必要とするにつれて、遠隔地 (つまりブランチ オフィス) をつなぐ広範なネットワークを保持する企業は、その要件を満たすように IT インフラストラクチャを最適化する必要があります。このような課題に加え、インターネット上の情報により、利幅に対するプレッシャーが高まり、"クリック アンド モルタル (click and mortar)" によるチャネル間 (Web、店舗、電話など) の情報の統合に対する期待が高まっています。ブランチ オフィスには、固定費を分散し、(多くの場合パートナーに) より多くのソリューションやサービスを提供し、刻々と変化する景気に対する即応性を高める、というさらなるプレッシャーがあります。

攻撃が増えてその影響が大きくなっている現状では、このように情報が集中するとセキュリティ上の危険が高くなります。企業は、以前にも増して規制に対してよりすばやく対応し、さらに加速している競争に対応することを求められています。ブランチ オフィスのインフラストラクチャ間で、このような変更を実施するには、企業の敏捷性を向上させることが必要です。ブランチ オフィス環境の管理者が直面する重大な課題は、コスト管理、セキュリティ、敏捷性です。

次に示す Windows Server 2008 の機能強化は、コスト効率の良い方法で企業がこのような課題に対処するのに役立ちます。

読み取り専用ドメイン コントローラ (RODC)
Server Core
Windows BitLocker ドライブ暗号化
次世代の TCP/IP
サーバー メッセージ ブロック (SMB) 2.0

読み取り専用ドメイン コントローラ (RODC) は、Windows Server 2008 オペレーティング システムで導入された新しい種類のドメイン コントローラです。RODC は、主に遠隔地やブランチ オフィス環境で展開するためにデザインされているため、ユーザー数が比較的少ない、物理的なセキュリティが不十分、ネットワーク接続が比較的不十分、IT に関する知識が豊富な人材が乏しいといった場所で役に立ちます。遠隔地で RODC を展開すると、セキュリティの向上、エンド ユーザーのログオン時間の短縮、ネットワーク リソースへの効率的なアクセスを実現できます。

RODC は、次の機能によってブランチ オフィスでの作業をより効率的で安全なものにします。

物理的なセキュリティ不備の軽減
アカウントのパスワードを除いて、RODC では書き込み可能なドメイン コントローラで保持される Active Directory ドメイン サービス (AD DS) のすべてのオブジェクトと属性が保持されます。ただし、クライアントは変更を RODC に直接書き込むことはできません。つまり、悪意のあるユーザーがブランチ オフィスで変更を行っても、Active Directory のフォレストが破損されることはありません。ディレクトリへの読み取りアクセスが必要なブランチ オフィス内のアプリケーションはディレクトリにアクセスできますが、書き込み操作を実行しているライトウェイト ディレクトリ アクセス プロトコル (LDAP) アプリケーションは、ハブ サイトの書き込み可能なドメイン コントローラにアクセスする必要があります。

エンド ユーザーの生産性の向上
ネットワーク接続が安定していない遠隔地で RODC を使用すると、エンド ユーザーの認証が中断されないようにすることができます。すべてのユーザーの資格情報、または特定のブランチ オフィスに適したユーザーの資格情報をキャッシュするように、RODC を明示的に構成することもできます。資格情報がキャッシュされると、RODC は接続が確立されていない場合でも、ユーザーやコンピュータのログオン要求を直接処理することができます。なんらかの形で危害が加えられた場合、管理者は、単に Active Directory のドメインからブランチ オフィスの RODC を削除することができます。書き込み可能な ドメイン コントローラは、RODC を削除している間、個々の RODC でキャッシュされたすべての資格情報の一覧を管理します。つまり、AD DS は危害を受けた可能性のあるすべてのユーザー アカウントのパスワードを自動的にリセットします。

ドメイン コントローラに対する管理者権限のないアクセス権の提供
管理者の役割の分離によって、ユーザーにドメインやドメイン コントローラに対するユーザー権利を付与することなく、任意のドメイン ユーザーを RODC のローカル管理者にすることができます。したがって、ブランチ オフィスのローカル ユーザーは RODC にログオンして、サーバーでドライバのアップグレードなどの管理作業を実行することができます。ただし、ブランチ オフィスのユーザーは、他のドメイン コントローラにログオンしたり、そのドメインで他の管理作業を行ったりすることはできません。このようにして、他のドメインのセキュリティを侵害することなく、ブランチ オフィスのユーザーにブランチ オフィスにある RODC を効果的に管理する権限を委任できます。

ページのトップへ

Windows Server 2008 では、ソフトウェアの管理作業を減らしたり、必要とされる管理のレベルを下げたり、Windows Server 2008 のインストールの攻撃を受けやすい面を減らしたりすることによって、管理者は余分なオーバーヘッドを避けるための最小限の環境をインストールできるようになりました。Windows Server 2008 では、これを Server Core インストールと呼びます。多くの管理者は、遠隔地で必要不可欠なサーバーの役割を展開するのに、Server Core が理想的なブランチ オフィスのツールだとわかるでしょう。

次に示す、サポートされているサーバーの役割で Server Core を展開できます。

Server Core では、Windows インターネット ネーム サービス (WINS)、フェールオーバー クラスタリング、UNIX ベースのアプリケーション用サブシステム、バックアップ、マルチパス I/O、リムーバブル記憶域の管理、BitLocker ドライブ暗号化、簡易ネットワーク管理プロトコル (SNMP)、Telnet クライアント、サービスの品質 (QoS) などを含む任意の機能をインストールすることができます。

Server Core インストール オプションでは、選択されたサーバーの役割に必要なバイナリ ファイルのサブセットのみをインストールします。たとえば、エクスプローラのユーザー インターフェイス (シェル) は Server Core インストールの一部としてインストールされません。そのため、Server Core を使用して OS をインストールしたサーバーの既定のユーザー インターフェイスはコマンド プロンプトになります。多くの Windows 操作ではグラフィカル ユーザー インターフェイスが利用できないので、Server Core インストール オプションを使用する場合、管理者は、サーバーの管理作業を行うのにコマンドやスクリプトについての詳しい知識が必要になります。

ページのトップへ

ブランチ オフィス環境の管理者は、リモート インフラストラクチャの物理的なセキュリティを確保できることだけでなく、リモート データの整合性を確保することにも、大きな関心を寄せています。BitLocker ドライブ暗号化 は、クライアント コンピュータの Windows Vista Enterprise と Ultimate、および Windows Server 2008 で利用できる新しいデータ保護機能です。BitLocker は、悪意のあるユーザーが他のオペレーティング システムを起動したり、ソフトウェア ハッキング ツールを実行して、Windows のファイル保護やシステム保護を解除することや、保護されたドライブに格納されたファイルをオフラインで表示することを防ぎます。BitLocker は、ハード ディスク上にある Windows オペレーティング システム ボリューム全体を暗号化し、初期ブート コンポーネントとブート構成データの整合性を確認するという 2 つの主要なデータ保護手順で構成されています。

BitLocker をより安全に実装すると、トラステッド プラットフォーム モジュール (TPM) 1.2 の強化されたセキュリティ機能を活用できます。TPM は、コンピュータの製造元によって多くの新しいコンピュータにインストールされているハードウェア コンポーネントです。TPM は BitLocker と連動して、ユーザー データを保護したり、システムがオフラインの間に Windows Vista を実行しているコンピュータが改ざんされないようにするのに役立ちます。

また、BitLocker では、ユーザーが暗証番号 (PIN) を入力したり、起動キーを含むフラッシュ ドライブなどのリムーバブルな USB デバイスを挿入したりするまで通常の起動プロセスをロックするオプションが用意されています。BitLocker は、ユーザー データやシステム ファイル、休止状態ファイル、ページ ファイル、一時ファイルなどを含む Windows オペレーティング システムのボリューム全体を暗号化することによって、システムがオフラインになっている間も、データを保護するのに役立ちます。

ページのトップへ

Microsoft Windows Vista と Windows Server 2008 には、デザインが完全に見直された TCP/IP のプロトコル群が含まれています。まったく新しい次世代の TCP/IP では、現在のネットワーク環境で生じる接続とパフォーマンスの要件を満たすため、インターネット プロトコル Version 4 (IPv4) とインターネット プロトコル Version 6 (IPv6) の両方がサポートされています。次世代の TCP/IP スタックで導入された多くの新機能の背景にあるデザインの目標は、特に、低速で不安定なネットワーク リンクを介して作業している遠隔地など、現在のリモート環境のニーズを考慮に入れています。

次世代の TCP/IP スタックの新機能と強化機能を次に示します。

ウィンドウ自動チューニング レベルの受信
この機能は、現在のネットワーク状態に応じて、ある特定の接続で許容できる受信ウィンドウ サイズの最大値を自動的に判断します。TCP データの受信が最適化されると、アプリケーションによる全体的なネットワークの使用率が大幅に増加することがあります。

複合 TCP
送信側のスループットのウィンドウ自動チューニング レベルの受信と連動します。これらは連携して、リンクの稼働率を向上し、遅延帯域幅積の大きい接続で大幅なパフォーマンスの向上を実現します。

損失率の高い環境のための機能強化
次世代の TCP/IP スタックでは、損失率の高い環境のスループットを最適化するために、多くの新しい RFC (Request for Comments) がサポートされます。

IPv4 向け近隣の到達不可能性の検出
ノードが近隣ノードに到達できるかどうかについての状態を追跡し、ノードが突然使用できなくなったときに適切なエラー検出と復旧の機能を提供します。

停止しているゲートウェイの検出機能の変更
次世代の TCP/IP スタックでは、以前に停止しているゲートウェイとして検出されたゲートウェイを使用して TCP トラフィックの送信を定期的に試行することで、停止しているゲートウェイのフェールバック機能を提供します。停止しているゲートウェイ経由で TCP トラフィックが正常に送信された場合、次世代の TCP/IP スタックでは、以前に停止しているゲートウェイとして検出されたものがデフォルト ゲートウェイになります。

PMTU ブラック ホール ルーター検出機能の変更
ICMP エラー メッセージの受信に依存せず、大きな TCP セグメントが再送信されていることを検出し、接続の PMTU を自動的に調整します。

ルーティング コンパートメント
ルーティング コンパートメントとは、独自の IP ルーティング テーブルを持つログイン セッションとインターフェイスのセットの組み合わせです。

ネットワーク診断フレームワークのサポート
ユーザーがネットワーク接続の問題を復旧したり、問題のトラブルシューティングを行う場合に役立つ拡張可能なアーキテクチャです。

Windows フィルタリング プラットフォーム
次世代の TCP/IP スタックで導入された新しいアーキテクチャです。これにより、サードパーティの ISV が TCP/IP プロトコル スタックの複数のレイヤとオペレーティング システム全体で行うフィルタリングの決定に参加できる API が提供されます。

Explicit Congestion Notification
TCP ピアとルーティング インフラストラクチャの両方で ECN (Explicit Congestion Notification) がサポートされることにより、輻輳が発生しているルーターでは、パケットの転送時にパケットにマークが設定されます。マークが設定されたパケットを受信した TCP ピアでは、輻輳状態を改善して、セグメントが失われることを防ぐために、転送速度が下がります。

ページのトップへ

サーバー メッセージ ブロック (SMB) は Common Internet File System (CIFS) とも呼ばれ、Windows ベースのコンピュータでは既定のファイル共有プロトコルとして使用されます。Windows には SMB クライアントと SMB サーバーが同梱されています。SMB クライアントは、Microsoft Windows のクライアント コンポーネントで、SMB サーバーは、Microsoft Windows のファイルとプリンタ共有のコンポーネントです。Windows Server 2008 以前のバージョンの Windows Server で採用されているテクノロジである SMB 1.0 は、もともと Microsoft LAN Manager や Windows for Workgroups など、初期の Windows ベースのネットワーク オペレーティング システム向けに 15 年前にデザインされたものです。SMB 1.0 は初期デザインの制限事項を引き継いでいました。

Windows Server 2008 の SMB では、SMB 2.0 に加え SMB 1.0 もサポートされます。SMB 2.0 は、現在の複雑なネットワーク環境と次世代のファイル サーバーに合わせてデザインが見直された新しい SMB のバージョンです。SMB 2.0 プロトコルでは、遅延の多いリンク経由でファイル共有に接続する際のパフォーマンスの向上、相互認証やメッセージ署名の使用によるセキュリティの向上など、通信に関する多くの機能強化が行われています。

SMB 2.0 プロトコルには、次のような機能があります。

ページのトップへ