GPOを作成しようとすると「このセキュリティID はこのオブジェクトの所有者として割り当てられない可能性があります」と言われて作成できない

ここしばらくずっと困ってたのがやっと解決したのでメモ。

ドメインコントローラに domain\administrator でログイン、グループポリシーの管理を開いて新しいグループポリシーオブジェクトを作成しようとすると、何故か「このセキュリティID はこのオブジェクトの所有者として割り当てられない可能性があります」というエラーが発生、GPO が作成できませんでした。

解決策は social.microsoft.com のこのスレッドの最後にありました。

1. グループポリシーの管理を開いて、既存の「Default Domain Controllers Policy」を選択、編集を開始
2. 「コンピュータの構成」「ポリシー」「Windows の設定」「セキュリティの設定」「ローカルポリシー」「ユーザの権利の割り当て」を選択
3. 「ファイルとディレクトリの復元」を開き、Administrators グループがあるか確認、無ければ追加する
4. gpupdate /force を実行してGPOを有効にする
5. 一度サインアウトして、サインインを行う

なんでやねん!って思わず突っ込みそうになりましたが確かに Administrators を追加するこの手順で直りました。

日本語では見つけられなかったので、備忘録代わりに。

アップグレードしたOSはカスタマイズできない

所用があり WindowsServer 2012 R2 をいくつかテンプレートから展開していたのだが、カスタマイズ仕様で指定した設定がなされていないことに気がついた。

該当のマシンにログオンし、 sysprep のログを見たところ、以下のメッセージが表示されていた。なお、sysprep のログについてはこちらのKBに記載がある。

[0x0f0036] SYSPRP spopk.dll:: Sysprep will not run on an upgraded OS. You can only run Sysprep on a custom (clean) install version of Windows.

...ああ、なるほど。このテンプレート、そもそもは WindowsServer 2012 で、R2 を後から適用したため「アップグレード」となってしまったわけだ。2012 を展開する用がなかったのでそのことをすっかり失念していた。

対処としては二つある。一つは、素直にOSを新規インストールし直すことだ。

今回はこちらを採用した。理由は簡単で、Windows.old が残っており、削除がやっかいで、そのうえ肥大した VMDK の領域回収を考えると、時間はかかるがほったらかしておけば終わる入れ直しの方が楽だったからだ。

もう一つは、アップグレードであるというフラグをつぶしてしまうことだ。

詳細はこちらのページなどを参照してほしい。

レジストリを操作するだけなので時間は短くて済む。

しかし、そもそもなぜアップグレードしたOSだと sysprep を拒否するようになってるかがわからないので、後々で面倒を抱えたくないというのもあり、この手を取らなかった。

「セキュリティが強化された Windowsファイアーウォール」が起動不良に陥る

本日ハマったのでメモ。

ふと気がついたら、リモート環境にある WindowsServer 2012 のRDP接続ができなくなっていた。vSphereClient 側から確認するにOSは正しく動いている。が、RDPだけ返答しない。

ファイアーウォールの問題かと思ってMMCを開こうとすると 0x6D9 のエラーを表示してパネルが開かない。そもそも、advfirewall サービスが動いていないようだ。

ググると、同じ問題で困ってる人は居るが、解決したらしい記述がない。

どうも、

a. netsh advfirewall reset
b. net start mpsdrv
c. net start bfe
d. net start mpssvc
e. regsvr32 firewallapi.dll

の手順でコマンドを試せば良いようだが、三つ目の net start bfe でこれまた「エラー 1075: 依存関係サービスが存在しないか、または削除の対象としてマークされています。」を表示する。

このエラー番号から調べて見つけたのが以下のページ

http://www.sevenforums.com/system-security/206716-how-turn-base-filtering-engine.html

こちらにリンクされている「RestoreBFE.exe」を実行、再起動するとBFEサービスも起動し、ファイアーウォールも正常に稼働、RDP接続もできるようになった。

イベントビューアでログを見ると、SQL Server のアップデートがかかってエラーしている記述がある。どうも、エラーが起こってアンインストールが行われる際に、依存関係か何かから BFEもアンインストールを試み? 削除マークだけ残ってる?? という感じっぽい。

再現方法が分からないので確証はないが、以上、私的なメモまで。