-
タイトル
KACEエージェントプロビジョニング・クライアント展開のトラブルシューティング -
説明
この記事ではKACE エージェントの(オンボード)プロビジョニングによるインストールに失敗する場合の（特にWindowsプラットフォーム向け）対処方法や注意すべき事項について説明します。
-
対策
このトピックの詳細については、[トレーニングコースへのリンク]を参照してください。KACE-SMA Course 2 Installing the KACE SMA Agent-Web-based Training
注：このコースは英語でのみ提供されています
オンボードプロビジョニング（Web管理コンソールからのプロビジョニング）によるエージェントインストールではネットワーク通信に着目すると大きく以下の2つのステップで行われます。
STEP1. KACEサーバー から ターゲットのPCへ接続
ターゲットPCは KACEサーバーへアクセスするためのプログラムが転送されて実行されます。
これによりSTEP2の作業が開始されます。WinRM無し: K1SMA -> (port 445,139) Endpoint
WinRM有効: K1SMA -> (port 5985) EndpointSTEP2. ターゲットPCがSMA上にあるエージェントインストールファイルを取得
Endpoint -> (port 445,139) K1SMAここでインストールに必要なMSIやバッチファイルが呼び出されて実行されます。
その際、\\K1SMA\clientの）\agent_provisioning\windows_platform\以下のファイルが使用されます。ただし、SMB通信不可の時には HTTPプロトコルで取得されます。
上記において通信を阻害する要因があれば何らかのエラーが結果に出力されます。
プロビジョニングにおいてWindowsシステムの管理共有へのアクセス、管理者権限でのプログラム起動できることが必要です。
またクライアントOSはSMAの共有（\k1sma\client）およびWeb/KONEA(80, 443)へも接続できる必要があります。
「WinRMを試す」オプション
メモ: WinRMは以前のバージョンから使用できますが v9.1からWindows向けのプロビジョニングでは必須となります。
「WinRMを試す」にチェックをいれて有効にしていればSMAはSTEP1フェーズでSMB(139,445ポートへの通信)の代わりにWinRMでの通信を試みます。
[チェック] WinRMを試す ポート:5985 （デフォルト）WinRMを使用する場合、各デバイスはエージェントインストール以前にWinRMが適切に構成されていて管理者として操作できる必要があります）
WinRMを使用しない場合は外してください。
WinRMを使用したプロビジョニングのトラブルシューティングについてはナレッジベース 252514 をご参照ください。
[WinRM試すオプションを使用しない場合のトラブルシューティング]
インストール時の問題を発生しないようにするためのポイント
以下の1と2についてはプロビジョニング時のみの要件です（SMB通信）。
3についてはSMAサーバーと通信してSMAエージェントが機能するための要件です。1. SMAがターゲットPCの管理共有( \\PC\admin$ )に管理者ユーザーでアクセスできること
SMAと同じネットワークにあるPCからターゲットPCへの接続を確認します。
(これはターゲットPC上で行っても確認にはなりません)1-1. 接続のため以下のコマンドプロンプトから以下のコマンドラインを実行します。net use \\ターゲットIPアドレスl\admin$ /user:ユーザ名\\ターゲットIPアドレス\admin$ のパスワードまたはユーザー名が無効です。'ユーザ名'のパスワードを入力してください。'ターゲットIPアドレス' に接続します:＜ここでパスワードを入力します＞
1-2.確認のため次のコマンドを実行します。net use コマンドにて以下の行が含まれることを確認します。ステータス ... リモート名 ...
---------------------------------
OK \\ターゲットのIPアドレス\admin$ ...1-3.エクスプローラーから\\ターゲットのIPアドレス\admin$ へアクセスします。
ターゲットマシンのadmin$（%SystemRoot%\System32配下）が閲覧できることを確認します。
確認手順は以上です。
・1-1にて 'システムエラー 53'(ネットワーク パスが見つかりません)が発生した場合の対処
SMB（139/445）の通信をブロックしないようにFirewall設定を調整してください。例：（WindowsFirewallの例）コントロールパネル|Windowsファイアウォール へ移動し、[Windowsファイアウォールを介したプログラムまたは機能を許可する] を開きます。許可されたプログラム機能にて、「ファイルとプリンターの共有」を許可します。
・1-1にて 'システム エラー 5'(アクセス拒否) が返された場合の対処
以下1-a, 1-bのいずれかをお試しください。(1-a) ターゲットPC上でUACを無効化してシステムを再起動します。コントロールパネル|ユーザーアカウント|ユーザーアカウント制御設定の変更インジケータを一番下に下げて保存します。その後システムを再起動します。
(1-b) レジストリの追加レジストリエディタ(regedit)にて次のキーにアイテムを追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System名前:LocalAccountTokenFilterPolicy型:DWORD値:1
レジストリの変更はシステムに影響を与える可能性があります。変更する場合、問題発生時に復旧できるように準備して実施いただくことをお勧めします。その後、システムを再起動します。
なお、上記の構成についてはセキュリティの運用方針やドメインのポリシー等により必ずしも解決につながらない可能性がございます。インストール時のみにこれらの設定が可能かどうか含めシステム管理者とご相談ください。ActiveDirectory環境でGPOによるインストールが検討できればGPOによるインストールもご検討ください。
Using the K1000 GPO Provisioning Tool for Agent Deployment (133776)
2. ターゲットPCは名前（FQDN）でSMAサーバーの139,445にアクセスできること2-1. SMAのSamba共有が有効であることを確認します。
複数組織機能が有効の場合:
画面右上で System に切り替え、設定| セキュリティ設定 へ移動し、「SAMBA共有設定を有効にする」がチェックされていることを確認します。
次に、Defaultまたは追加の組織に切り替え、設定｜一般設定にて、「SAMBA共有を有効にする」がチェックされていることを確認します。単一組織の場合:
設定 | セキュリティ設定 へ移動し、「SAMBA共有を有効にする」がチェックされていることを確認します。「セキュリティ設定」の内容を変更するにはシステム再起動を伴います。
2-2. Sambaが有効であることを確認したら、ターゲットPCからExplorerにて以下のパスにアクセスできるかどうか確認します。
\\K1SMAサーバー名\client
（Default以外の組織では client_# のように組織番号がつきます。）
K1SMAサーバー名 の値は 設定｜ネットワーク設定 にあるアプライアンスネットワーク設定の 「Webサーバー名」を確認してください。
この値がDNSホスト名（例：kbox）.ドメイン名（yourdomain.local） となっていることを確認します。
（例：kbox.yourdomain.local）
ネットワーク設定の設定値を変更する場合にはSMAサーバーの再起動を伴います。再起動後、クライアントが「Webサーバー名」を名前解決できることをご確認ください。
ここで、エクスプローラーから \\Webサーバ名\client\agent_provisioning\...にアクセスできれば確認は完了です。※
※v6.0以上でSSOを有効にしている場合、FQDNでSMA共有clientにアクセスできない場合があります。
その際にはプロビジョニングスケジュールに以下の変更を行って回避してください。
[v6.0/6.2] "一般設定" - "SMAのサーバ名またはIPアドレス" に SMAのホスト名（ショート名）またはSMAのIPアドレスを入力する
[v6.3] "高度"-"代替のダウンロード場所" にSMAのIPアドレスを入力する3. ターゲットPCはSMAホスト名（FQDN）でSMAサーバーの80（http）,443(KONEA)にアクセスできること
インストール失敗の原因とは直接関係ございませんが、その後のご利用に影響します。
ターゲットPCがSMAWebサーバー名の名前（FQDN）を正引き解決できることを確認します。
詳細については 「インベントリが更新されないまたはコンピュータインベントリに現れない場合の調査指針」 (140111) をご参照ください。