.localドメイン環境にMacOSをぶち込もうとした戦い

##はじめに
弊社におけるクライアントPCはWindows10が主となっておりますが、
今回社内でMacOSを標準化することになったので、その検証等々を綴らせていただこうと思います。

##本稿で触れるざっくりとした内容
- .localドメイン環境に何とかしてMacOSを組み込もうとした戦いの備忘録

##バージョンや環境
- MacOS（Mojave／Catalina）
- Windows（Windows10.1809）
- ActiveDirectory（WindowsServer2016）
- ドメイン構成（シングルフォレスト・マルチドメイン環境）

##序章
私、生まれも育ちもMicrosoftのWindows、というチャキチャキのMSっ子なので、
実はつい最近までMacOSでコピペすらできませんでした。
そんな中、社内のマカーからの圧倒的圧力に屈し、MacOSを標準化させる運びとなりました。


##色々と検証してみた（イメージのクローニング検証）
色々と整備しなければならないことはありましたが、標準設定と大量生産ラインだけは確保しておこうと
まずはイメージ作成の検証から手を付け始めることにいたしました。

弊社で利用しているクローニングツールがSymantecGhostなのですが、予想の通りサポート対象外でした。
※<a href="https://support.symantec.com/jp/ja/article.howto111528.html">Symantec公式ドキュメント</a>

したらばということで、Mac標準機能を利用することといたしました。
<a href="https://support.apple.com/ja-jp/guide/disk-utility/dskutl11888/mac">Mac でディスクユーティリティを使用してディスクイメージを作成する</a>

##色々と検証してみた（ドメイン参加検証）
続いてはドメイン参加の検証です。
昨今おおよその企業様がActiveDirectoryを利用されているかと思いますが、弊社ももれなく前述の構成環境で
ActiveDirectoryを構築しております。

とりあえずドメインに参加させてみました。
手順については公式ドキュメントが見当たりませんでしたが、<a href="https://www.google.com/search?rlz=1C1GCEU_jaJP862JP862&sxsrf=ACYBGNR_WAg9TLQhd9Ud_pceNbkoGaxzSA%3A1576028435360&ei=E0nwXefPFbuFr7wP7IqWyAQ&q=mac+%E3%83%89%E3%83%A1%E3%82%A4%E3%83%B3+%E3%83%90%E3%82%A4%E3%83%B3%E3%83%89&oq=Ma&gs_l=psy-ab.3.0.35i39l3j0i131i67j0i67l4.1237.3701..7068...1.1..0.189.363.2j1......0....1..gws-wiz.......0i71j0i131i4j0i4j0i131j0.j-WtTit59pE">ググれば</a>知見はすぐに拾えるかと思います。
特に難なくドメイン参加まで完了したのですが、その後じわじわと不穏な挙動を示し始めます。

- パスワード変更後にログインができない（新旧両パスワードがはじかれる）
- 至る所でAD認証が通らない（AD接続できてんの？）
- インターネット接続がメチャクチャ遅い（DNSのレスポンスが悪い？）


で、ちょっと調べて合点了解
<a href="https://support.apple.com/ja-jp/HT207511">Apple 製のデバイスで社内ネットワークの '.local' ドメインを開けない場合</a>

( ﾟ∀ﾟ)ｱﾊﾊ八八ﾉヽﾉヽﾉヽﾉ ＼ / ＼/ ＼

だめじゃん、うち思いっきり**XXX.local**じゃん、草も生えんわww
<br>


##あの手この手で悪戦苦闘
試しに検証AD環境を構築してみました。
**testtest.co.jp**的な奴
※DC×2／DNS／DHCP／ファイルサーバのサービス構築

そこに先ほどと同じMacOSをドメイン参加させてみると・・・
ぶりぶり動きます。先ほどの不穏な挙動な何だったんでしょうw

では、元凶と思しきmDNSを無効化してみるかと。
えいっ！（MacOS側で以下のコマンド実行
`sudo launchctl unload -w /System/Library/LaunchDaemons/com.apple.mDNSResponder.plist`
はい、単純に名前解決が出来なくなるだけでしたw

※もし上記コマンドを実施された方は以下のコマンドから再ロードをお忘れなきよう
`sudo launchctl load -w /System/Library/LaunchDaemons/com.apple.mDNSResponder.plist`

<br><br>
他にできそうなこと、何かあるかな・・・
何も思いつかないなぁ・・・
ドメイン変える？いや、そこまでする？

<br><br><br><br>
するとどこからともなく聞こえてきました。

![yro_ki.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/537523/513e4425-c0cf-8458-fd1e-c194eedc07c6.jpeg)


##視点を変えて
そもそもにActiveDirectoryを使う必要あるのか。
公式ドキュメントで否定されているのであれば、それに従じるのが一番手っ取り早いのではなかろうか。
という考えのもと、以下の仕様に行きつきました。（あくまでもMacOS利用に限った話です）

- ドメイン参加　　　　　　　　　　→　諦める
- ユーザオブジェクトの一元管理　　→　諦める（ローカルアカウントで良しとする）
- コンピュータの一元管理　　　　　→　諦める（資産管理ソフトのエージェント入れてれば十分という結論）
- ユーザアクセス権の管理　　　　　→　IDaaSで余裕だった（弊社の場合Onelogin）
- グループポリシーの代替は？　　　→　諦める（標準設定のみ順守、そもそもMacにGPO当たらないし、macOS Serverも使い物にならなさそうだし）


##まとめ
そもそも論になってしまうのですが、数年前から脱オンプレを標榜して様々なサービスをクラウド化しており、一般的にドメイン環境に依存する以下のような社内サービスの利用に関しても影響が皆無だったため、今回のような設定に踏み切ることが出来ました。

- 共有フォルダ　　→　Box
- メールシステム　→　Office365
- VPN　　　　　 　→　SecureDesktop
- 複合機　　　　　→　ペーパーレス推奨のため、ほぼ使われていない
- クラウド認証　　→　Onelogin

だからと言って、既存のWindowsClientをActiveDirectory環境から外す気は今のところサラサラありませんが、
**何かをなしたいときに旧システムが邪魔をする**ということは様々な場面であり得ることかと思います。
特にクラウドが強固になっているこの時代、一見継接ぎに見えようが、こういった構成で脱オンプレを進めてみるのもいかがでしょうか？