[Pandora-jp] （解決）Re: Re: WMIコンポーネントで作成したモジュールが初期化されません。

mkuwata ＠ excite.co.jp mkuwata ＠ excite.co.jp
2015年 10月 13日 (火) 12:40:45 JST 

大変ありがとうございました。以下のようにしてWMIの動作を一応確認できました。

１．Windows7 Professionalをクリーンインストールしました。これはまだWindows10での動作詳細が不明なので念のためWindows7に戻ってテストするためです。
２．Windows Firewallをテスト用にDISABLEしました。
３．DCOM構成をすべてのアカウントに対してすべて有効にしました。
４．UACをDISABLEにしました。

上記構成ではPandoraFMSからちゃんとWindows7（WORKGROUPアカウント）のリソースにWMIでのアクセスが確認できました。

ただし、現実のユーザ環境ではこのような設定はリスクが高いので、ActiveDirectoryでのドメインアカウントか、あるいはPandoraFMSのWindowsエージェントをインストールするほうが良いと思います。

丁寧なアドバイスありがとうございました。

> 現時点での状況です。念のため、DCOM設定を全てアクセス可、UACを最低限レベル（無効？）に設定してみました。
> すると次のようにこの前後でエラーメッセージが変化しました。
> 
> ---------------prior to DCOM/UAC modification----------------
> [root ＠ localhost pandora]# wmic -U "G630/mkuwata"%"******" //192.168.30.250 "SELECT LoadPercentage from Win32_Processor WHERE DeviceID = 'CPU0'"
> ERROR: dcom_create_object.
> ERROR: Login to remote object.
> NTSTATUS: NT_STATUS_NET_WRITE_FAULT - NT_STATUS_NET_WRITE_FAULT
> --------------after DCOM/UAC modification-------------------
> [root ＠ localhost pandora]# wmic -U "G630/mkuwata"%"******" //192.168.30.250 "SELECT LoadPercentage from Win32_Processor WHERE DeviceID = 'CPU0'"
> ERROR: dcom_create_object.
> ERROR: Login to remote object.
> NTSTATUS: NT code 0xc0070005 - NT code 0xc0070005
> 
> 変更前では、Network経由アクセスが不可で、変更後はDCOMアクセス拒否となっているようですが、まだ詳細原因は特定できていません。
> 
> 
> > さらに追加情報です。
> > 
> > 下記URLによると、WMIによる遠隔アクセス（ローカルアカウントでの）にはUACを無効にする必要があるとの事です。
> > http://blogs.technet.com/b/junichia/archive/2009/04/06/3222761.aspx
> > 
> > 下記の報告でも最終的にはWindows7でのUACを無効化してできたとのことです。
> > https://social.technet.microsoft.com/Forums/ja-JP/4f3a2cc3-b59d-4f23-b0a7-a54cce9342a9/wmi?forum=w7itprogeneralja
> > 
> > しかし、これはセキュリティの観点からはあまり採りたくない対応方法です。
> > するとWindowsServer2012R2などではUACが無効になっているのでしょうか？
> > 
> > > 追加情報です。
> > > > > Windows ファイアウォールで WMI の通信がフィルタリングされているとかでは
> > > > > ないですよね?
> > > 
> > > ご指摘のようにターゲットPCではWindowsFirewallでWMI関連のアクセスは有効になっていませんでしたので、これを有効にしてみました。しかし、やはりログインはできません。
> > > そこでwbemtest.exeにより、リモート環境の接続を試したところ、0x80070005 (DCOM ACCESS_DENIED)のエラーコードが返されました。この意味は「リモート サーバーが接続ユーザーを認識しないか、または接続ユーザーに何らかの制限がかかっている」との事です。いずれにしても監視対象のPCの環境設定のようです。
> > > 
> > > WindowsServer2012R2ではデフォルトでFirewallやDCOMのアクセスなどは許可されているのでしょうか（そもそもWindows10Proをターゲットにしていることがいけないとか？）？
> > > 
> > > > 迅速なフィードバックありがとうございます。以下、インラインでコメントしました。
> > > > > さとうです。
> > > > > 
> > > > > From: <mkuwata ＠ excite.co.jp>
> > > > > Subject: Re: [Pandora-jp] WMIコンポーネントで作成したモジュールが初期化されません。
> > > > > Date: Mon, 12 Oct 2015 11:54:02 +0900
> > > > > 
> > > > > > Windows7でインストールしてみましたが、なぜかPandora_Serverがダウンする現象が発生して不安定なので、まず条件を絞るためにSourceForgeからVMwareのイメージをダウンロードして、VMwarePlayerで立ち上げました。本家フォーラムとのやり取りも参考にして現在は次の状態です。
> > > > > 
> > > > > Pandora サーバが Windows で動くようになったのは、つい最近でまだ枯れて
> > > > > ませんので...
> > > > > 本番安定稼働であれば、Linux をお勧めします。
> > > > > # もちろん、agent 側は Windows も大丈夫です。
> > > > > 
> > > > > とはいえ、Windows 版についてもいろいろと結果をフィードバックいただけると
> > > > > 今後の改善のためにはうれしいですが。
> > > > > 
> > > > > 
> > > > > > １．MySQLサーバへの接続エラー
> > > > > > これはWMIモジュール作成時のターゲットへのログインIDを「コンピュータ名/アカウント名」とすることで消えました。念のため、なんどか試しましたが、MySQL接続エラーログは出ていません。
> > > > > 
> > > > > これ、入力文字列によって DB へのクエリが不正な内容になってしまうという
> > > > > ことが発生しているように思います。
> > > > > 差支えなければ、エラーになった時の入力内容を(メールに書ける範囲で)お知らせ
> > > > > いただけると助かります。
> > > > 
> > > > 最初は単に「アカウント名」だけで指定していました。これでもターゲットシステムへのWMIエクスプローラは動くので特に気にはしていませんでした。その時に本家フォーラムのやりとりで類似のエラー状況を経験した方から「ドメイン名/アカウント名」あるいは「コンピュータ名/アカウント名」で指定したらうまく動いたとアドバイスされました。私のケースではローカルアカウントなので後者です。
> > > > 最初は間違えて「コンピュータ名＠アカウント名」で指定しましたが、これでもWMIエクスプローラは動くようです。しかし、端末からWMIコマンド実行すると、failed to bindとエラー出力されるので、「コンピュータ名/アカウント名」で試すとこのエラーメッセージは出なくなりました。
> > > > 
> > > > > 
> > > > > 
> > > > > > ２．Verbosity10
> > > > > > これでより詳細なログを出してみると、次のログがありました。
> > > > > > 
> > > > > > 2015-10-12 04:04:53 localhost.localdomain [V9] Executing AM # 24 WMI command 'wmic -U "g630/mkuwata"%"******" //192.168.30.250 "SELECT LoadPercentage from Win32_Processor WHERE DeviceID = 'CPU0'"'
> > > > > > 2015-10-12 04:04:54 localhost.localdomain [V10] Updating module CPU load (ID 24) on error.
> > > > > > 
> > > > > > そこで、端末（root環境）で上記のWMIコマンドを実行してみました。すると次のエラーになりました。
> > > > > > 
> > > > > > [root ＠ localhost pandora]# wmic -U "g630/mkuwata"%"******" //192.168.30.250 "SELECT LoadPercentage from Win32_Processor WHERE DeviceID = 'CPU0'"
> > > > > > ERROR: dcom_create_object.
> > > > > > ERROR: Login to remote object.
> > > > > > NTSTATUS: NT_STATUS_NET_WRITE_FAULT - NT_STATUS_NET_WRITE_FAULT
> > > > > 
> > > > > (認証情報とアクセス先以外)まったく同じコマンドを手元の環境でやってみました。
> > > > > 
> > > > > % wmic -U "ADTEST/administrator"%"xxxxx" //172.31.192.56 "SELECT LoadPercentage from Win32_Processor WHERE DeviceID = 'CPU0'"
> > > > > CLASS: Win32_Processor
> > > > > DeviceID|LoadPercentage
> > > > > CPU0|0
> > > > > 
> > > > > たいぶ環境は違いますが、wmic の書式としては同じで情報取得できています。
> > > > > 
> > > > > 試してみた環境は次の通りです。
> > > > > 
> > > > >   . WMI クエリの対象
> > > > >     WindowsServer 2012R2
> > > > >     ActiveDirectoryドメイン環境(ドメイン名 ADTEST)
> > > > >     
> > > > >   . wmic コマンド実行環境
> > > > >     FreeBSD 10.2-RELEASE
> > > > > 
> > > > > 
> > > > > > これで見ると、リモートへのログインが拒否されているようなのですが、ターゲットシステム（Windows10)は遠隔アクセスはAdministrator権限のユーザでは全てOKとなっています。
> > > > > 
> > > > > うーん、何らかのアクセス権が足りてない感じには見えますが、同じ環境が
> > > > > 無いのでなんとも...
> > > > > Windows ファイアウォールで WMI の通信がフィルタリングされているとかでは
> > > > > ないですよね?
> > > > 
> > > > 現在ターゲットPCへのアクセスができない（リモート環境なので）、後日確認してみます。
> > > > 
> > > > > 
> > > > > ---
> > > > > 佐藤 淳一
> > > > > junichi ＠ pandorafms.jp
> > > > > _______________________________________________
> > > > > Pandora-jp mailing list
> > > > > Pandora-jp ＠ pandorafms.jp
> > > > > http://pandorafms.jp/mailman/listinfo/pandora-jp
> > > > > 
> > > > >
> > > > _______________________________________________
> > > > Pandora-jp mailing list
> > > > Pandora-jp ＠ pandorafms.jp
> > > > http://pandorafms.jp/mailman/listinfo/pandora-jp
> > > > 
> > > >
> > > _______________________________________________
> > > Pandora-jp mailing list
> > > Pandora-jp ＠ pandorafms.jp
> > > http://pandorafms.jp/mailman/listinfo/pandora-jp
> > > 
> > >
> > _______________________________________________
> > Pandora-jp mailing list
> > Pandora-jp ＠ pandorafms.jp
> > http://pandorafms.jp/mailman/listinfo/pandora-jp
> > 
> >
> _______________________________________________
> Pandora-jp mailing list
> Pandora-jp ＠ pandorafms.jp
> http://pandorafms.jp/mailman/listinfo/pandora-jp
> 
>

Pandora-jp メーリングリストの案内