WinRMを用いたプロビジョニングのトラブルシューティング (4253466)

この記事ではWinRMを使用するプロビジョニングのトラブルシューティングについて情報を提供します。

KACE SMAでのWindowsデバイス向けエージェントプロビジョニングにはファイル共有（SMB）プロトコルのほか、WinRM（デフォルト ポート 5985）を使用することができます。

このオプションを使用すると、デフォルトのプロビジョニング用のポートに記述されている139, 445のファイル共有プロトコルに依存しないエージェントの配布が可能になります。

• 配布対象デバイスのOSではあらかじめリモートからのWinRM実行が許可されるように設定する必要があります。
• 実行時にclient共有を使用する・しないにかかわらず組織のSamba共有は有効である必要があります。

プロビジョニングスケジュール "WinRMを試すポート" が有効かつ、WinRMによる実行要求が通った場合には次の動作になります。

・配布対象デバイスのOSが \\SMAHOST\client にアクセスできる
     → \\SMAHOST\client 上のbatおよび.msi を実行
・配布対象デバイスのOSが \\SMAHOST\client にアクセスできない
     → HTTPでSMAからbatおよびmsiを取得して配布対象ローカルで実行

■トラブルシューティング

 winrm idやwinrm get winrm/config等を試行いただき、配布対象のデバイスから同じ情報を取得できるかどうかお試しください。

winrm id
winrm get winrm/config

動作しない場合、WinRMの構成がうまくいっていない可能性があります。

2.  [Windows リモート管理] の通信が許可されているかどうか

設定しているポートあるいはプログラムを確認します。

Windowsファイアウォールの場合、[Windowsファイアウォール] | [Windowsファイアウォールを介したアプリまたは機能を許可] にて
[Windows リモート管理]の項目に許可がされていることを確認してください。

winrm id -r:remotename -u:username [-p:password]
winrm get winrm/config -r:remotename -u:username [-p:password]

リモートからWinRMを実行すると以下のようなエラーが返る場合があります。

エラー番号:  -2144108316 0x803380E4
WinRM クライアントは要求を処理できません。認証スキームが Kerberos と異なる場合、またはクライアント コンピューターがドメ
インに参加していない場合は、 HTTPS トランスポートを使用するか、または宛先コンピューターが TrustedHosts 構成設定に追加さ
れている必要があります。 TrustedHosts を構成するには winrm.cmd を使用します。TrustedHosts 一覧に含まれるコンピューターは
認証されていない可能性があります。 winrm help config コマンドを実行すると、詳細が表示されます。

接続先のWinRMの通信が許可されていない/WinRMサービスが上がっていない/両デバイスがActiveDirectoryドメイン下にない/HTTPSトランスポートでWinRMが構成されていない等が要因で発生します。

KACEのオンボードプロビジョニングではADやHTTPSトランスポートは必須ではありません。
接続先でWinRMの構成がされ、かつリモートからの接続が許可されている 場合、
接続元のTrustedHostsの設定の制限である可能性があります。(※)

※ 宛先である配布対象マシンではなく、任意のwinrmコマンドを実行するデバイス（接続元）に設定します。

たとえば、
PC1: エージェント配布予定のマシン
PC2: 切り分けのためのWinRM実行用の任意のマシン（接続元）
とあるとき、PC2（接続元）でwinrm id -r:PC1 .... と実行して上記エラーが表示された場合、PC2（接続元）の WSMan:\Localhost\client\trustedhosts にPC1を追加する必要があります。