Documentation Index

Fetch the complete documentation index at: https://knowledge.catonetworks.com/llms.txt

Use this file to discover all available pages before exploring further.

ディレクトリサービスとユーザー意識エラートラブルシューティング

  • 更新日 Jul 30, 2026
  • 公開日 Jun 24, 2026
  • 1 分で読めます
Prev Next

この記事では、一般的なディレクトリサービスとユーザー意識の問題と推奨される解決策を説明します。 詳細は、ディレクトリサービス用Windowsサーバの構成をご覧ください。

エラー: ドメインコントローラに接続できません

課題

このエラーメッセージは、主に無効な証明書のためにドメインコントローラ（DC）への接続が失敗したことを示しています。 このエラーメッセージは通常、"無効な認証情報"のエラーメッセージが続きます。

解決策

Cato管理アプリケーションでLDAP認証接続設定（ログインDN、ベースDN、パスワード）が正しく入力されていることを確認してください。

エラー: NT_STATUS_ACCESS_DENIED

課題

このエラーメッセージは、権限の問題を示しています。 Cato管理アプリケーションがDCにアクセスできない場合に通知します。 このエラーメッセージは、アナリティクスセクションでイベント: "DC_Connectivity_Failure" の後に通常表示されます。 接続が失敗すると、Cato管理アプリケーションは（1時間に1回、このイベントを生成します。

解決策

この問題をトラブルシューティングするためにこれらの手順に従ってください：

  1. ユーザー名とパスワードを確認します。 正しいログインDNとパスワードが入力されていることを確認してください。 Catoソケットが接続試行で正しいユーザー名を送信していることをLANインタフェース上のソケットまたはDC自体のパケット（PCAP）をキャプチャすることによって確認してください。

  2. ドメインコントローラ設定からイベントログを読み取る権限があるかユーザー権限を確認します。 オンラインヘルプガイドに従って - Windows構成。

  3. ユーザー意識（User Awareness）を有効にした場合、リアルタイム同期のためのドメインコントローラを設定していることを確認してください。 "接続テスト"をクリックし、"接続成功"の結果が得られるか確認してください。

  4. モニタリングセクションのイベントの中のイベントを確認します。 イベントタイプ：システムとイベントサブタイプ：ディレクトリサービスを基にしてイベントをフィルタリングし、DC接続または同期エラーを確認します。

  5. オンラインヘルプガイドに従い、ドメインコントローラの構成設定を確認します。

  6. トラフィックがインターネットまたはWANファイアウォールによってブロックされていないことを確認します。 未確認のユーザーをブロックするファイアウォールルールがCato同期ユーザーをブロックし、ディレクトリサービスをブロックすることがあります。

  7. オンラインヘルプガイドのすべての構成手順をもう一度見直して、すべてのステップが正しく実行されているか確認します。 接続に使用するサービスアカウントの権限が正しく設定されていない場合、アクセス拒否エラーが発生します。

エラー: NT_STATUS_UNSUCCESSFUL

課題

PoPがDCにリアルタイム同期でアクセスできないとき、Cato管理アプリケーションはこのエラーを生成します。 リアルタイム同期セクションのドメインコントローラの"ステータス表示"ボタンをクリックしたときやアカウント管理者へメールを送信することでこのエラーが表示されます。

解決策

このエラーは通常、ユーザー意識機能設定の設定ミスを示しています。 ファイアウォールやルーティング構成が原因で発生することもあります。 この問題をトラブルシューティングするためにこれらの手順に従ってください：

  1. イベントを確認し、未確認ユーザーのイベントがあるか確認します。

  2. 未確認ユーザーのためにインターネット/WANファイアウォールによってトラフィックがブロックされていないことを確認します。

  3. これが初めてユーザー意識機能を有効にしておりDC同期エラーが発生している場合は、すべてのステップが正しく構成されているか確認してください。

  4. DCが稼働していることを確認してください。

  5. ソケットUIからトラフィックキャプチャを実行し、LANインタフェース上のソケットのパケット（PCAP）をキャプチャします。 ステータス表示ボタンをクリックします。 キャプチャを停止して、Cato PoPからのWMIクエリとキャプチャファイル内のサーバー応答を確認します（Wiresharkなどの任意のネットワークパケットアナライザーツールを使用）。 DCがIPsecサイトの背後にある場合、キャプチャをDC自体で実行します。

エラー: NT_RPC_NT_CALL_FAILED

課題

エラーNT_RPC_NT_CALL_FAILEDは、DC上のRPCサービスが応答しないことを示しています。 リアルタイム同期のためにドメインコントローラの"ステータス表示"ボタンをクリックするとこのエラーが表示されます。

解決策

  1. ドメインコントローラが起動しており、CPUおよびメモリを確認します。 時には高いCPUまたはメモリ使用率がサーバーオーバーロードを引き起こします。

  2. DC Windowsサービスが起動しており、自動起動に設定されていることを確認してください：

    • サーバー

    • リモートレジストリ

    • WMI

エラー: NTコード0x80010111

課題

このエラーは、PoPとDC間のRPCヘッダの不一致のためにDCと通信できないことを意味します。

解決策

このエラーは特にWindows Server 2022でよく見られ、ここではDCのRPCバージョンが検証されます。これは顧客が遭遇することが知られている問題です。 このエラーが発生した場合、対処のためにCatoサポートにチケットを開くことをお勧めします。

UA同期エラーNTコード0xc002001b

問題

エラー0xc002001b NTコード0xc002001bは、ドメインコントローラ上のRPCサービスが応答に失敗したときに表示されます。

このエラーは、アクセス > ユーザー意識 > LDAPの下で"接続テスト"をクリックしたとき、またはアカウント管理者へメール送信するときに表示されます。

問題は以下を引き起こします：

  • ユーザーがイベントとアナリティクスで確認されません。

  • 未確認のユーザーにより、インターネット/WANファイアウォールによってトラフィックがブロックされます。

  • 顧客のユーザー意識の新規設定およびDC同期エラーの発生。

可能な原因

この問題は、ドメインコントローラ上でリソースが枯渇している可能性があります。

トラブルシューティング

以下の手順は、従うことができるトラブルシューティングステップです: 

  • ドメインコントローラが起動しており、リソースが枯渇していないか（CPUやRAMのスパイクがないこと）確認してください。

    • 可能であれば、サーバーでのRAMとCPUの量を増やします。

    • サーバーに物理的なリソースを追加することができない場合、以下の手順に従ってWMIプロバイダーサービスメモリを増やし、クォータを処理し、セキュリティイベントログのサイズを減少させます：

      セキュリティログのサイズ制限を1MBに減少させる手順に従ってください：

      1. イベントビューアーを開く

      2. イベントビューアー > Windowsログ > セキュリティに移動

      3. セキュリティを右クリックし、プロパティをクリック

      4. 最大ログサイズ (KB)を1024に設定

      5. 最大イベントログサイズに達した場合は、必要に応じてイベントを上書き（古いイベントから先に）またはログが満杯になったらアーカイブし、イベントを上書きしないを選択

      6. OKを押します

  • 必要なドメインコントローラサービスが実行されていることを確認します（services.mscを開き、サーバー、リモートレジストリ、Windows Management Instrumentationが起動し、自動起動に設定されていることを確認してください）。

  • ドメインコントローラがストレスを示している場合、サーバーを再起動する必要があるかもしれません。

エラー: ドメインコントローラに接続できません 0xc0000001 NT_STATUS_UNSUCCESSFUL

Cato管理アプリケーションに"接続不可"ステータスのエラーメッセージを次のように表示された場合：

"ドメインコントローラに接続できません 0xc0000001 NT_STATUS_UNSUCCESSFUL。 ドメインコントローラがCatoネットワークと正しく統合されていることを確認してください。 問題が続く場合は、Catoサポートに問い合わせてください。詳細についてはここをクリックしてください。

これは一般的なエラーであり、ドメインコントローラの設定不備が原因となる可能性があります。 構成ガイドに従うことをお勧めします。

エラー - ドメインコントローラに接続できません（コード6）

次の場合、Cato管理アプリケーションでコード6の接続エラーが表示された場合は次のようにします：

問題を解決するためにいくつかのステップを取ることができます。

Catoソケットの再接続

この問題は、ソケットWebUIを使用してソケットをCatoクラウドに切断して再接続することで解決することがあります。

警告!ソケット再接続アクションは、サイトのすべての現在のセッションを切断します。 ソケットは数秒以内にCatoクラウドに再接続され、その後接続がすぐに復元されます。 ただし、通話などの接続に敏感なトラフィックはドロップされることがあります。

ソケットで再接続アクションを実行するために：

  1. Webブラウザにhttps://<Cato ソケット IP アドレス>を入力して、ソケットWebUIに接続します例: https://10.0.0.26

  2. ユーザー名とパスワードを入力します。

  3. Cato接続設定タブを選択します。 

  4. 再接続をクリック。

  5. ソケットWebUIからログアウトします。

DCへの接続性をトラブルシューティングする

ソケット再接続アクションを実行した後、DCエラーが持続する場合、ここではDCへの接続性をトラブルシューティングするための追加の提案があります：

  1. DCのCatoクラウドへの接続を確認してください。

  2. DCとCatoクラウドの間に双方向通信があることを確認してください。

DCがCatoクラウドに接続されていることを確認するには：

  1. DCがオンになっていることを確認してください。

  2. Cato管理アプリケーションで、ホーム > トポロジに移動し、DCがあるサイトがCatoクラウドに接続されていることを確認してください。

  3. 異なるサイトのホストから、またはCato VPNに接続しているときにDCをpingすることを確認します。

  4. DCをpingできない場合、ここに問題を解決するいくつかの方法があります：

    • Cato管理アプリケーションで、ホーム > イベントでブロックイベントを確認します。 DCへのICMPトラフィックを許可するために、WANファイアウォールポリシーを変更する必要がありますか？

    • DCのルーティングテーブルを確認し、トラフィックがCatoソケットまたはIPsecトンネルにルーティングされていることを確認します。

    • WindowsファイアウォールポリシーをDCで確認し、ICMPトラフィックがブロックされていないことを確認します。

DCとCatoクラウド間の通信を確認するには：

  1. ソケットのLANインターフェイスにパケットキャプチャを実行します。

    • DCがIPsecサイトの背後にある場合、キャプチャをDC自体で実行します。

  2. 双方向通信がある場合、Cato VPNレンジ（デフォルトでは10.41.0.0/16）からDCへのTCP/135における接続が表示されます。注意: CatoはVPNレンジから任意のIPアドレスを使用して接続を開始できる。注意: Windows Server 2008以降では、TCP 49152-65535をすべてのファイアウォールでWMIプロセスに許可する必要があります。 WMIサービス用にWindowsファイアウォールルールを特定して追加することも可能です。参照: https://docs.microsoft.com/en-us/windows/win32/wmisdk/connecting-to-wmi-remotely-starting-with-vista 

  3. 双方向通信を示す接続が見つからない場合、問題を解決するためのいくつかの方法があります：

    • VPNレンジからDCへのトラフィックがまったく表示されない場合は、Catoサポートに連絡してください。

    • Cato VPN範囲からあなたのDCへのTCP/135でSYNパケットのみが表示される場合、DCの接続性を確認してください：

      1. DCのルーティングテーブルを検査し、 トラフィックがCatoソケットまたはIPsecトンネルにルーティングされていることを確認してください。

      2. DCのWindowsファイアウォールポリシーを確認し、トラフィックがブロックされていないことを確認してください。

ユーザーがUser Awarenessでマッピングされていません

課題

いくつかの場合、ユーザーはイベントディスカバリーウィンドウで「未マッピングユーザー」として表示されます。 未マッピングユーザーの理由は、PoPがリアルタイムで（WMIクエリを使用して）ユーザー名を発見できたが、このユーザーがLDAP同期中にインポートされておらず、特定されていないためです。 したがって、イベントAD名フィールドは未マッピングユーザーを表示します

ソリューション

  1. ユーザーがグループに属していることを確認してください。 Catoのディレクトリサービスを構成してDCからユーザーとグループをインポートし、ユーザーが構成されたグループに属していない場合、未マッピングユーザーとして表示されます。

  2. DCの監査ポリシー設定を確認してください。 詳細については、ドメインコントローラの監査ポリシーを構成するを参照してください

ログオンイベントがイベントディスカバリーに表示されない

課題

アカウントにUser Awarenessを有効にしているが、イベントディスカバリーでログオンイベントが見つからない場合は、以下のソリューションに記載されている手順に従ってください。

ソリューション

DCの監査ポリシー設定を確認してください。 詳細については、ドメインコントローラの監査ポリシーを構成するを参照してください

ディレクトリサービスの同期がユーザーをインポートしない

課題

User Awarenessを使用することで、サイトの背後にあるホストのユーザー名をリアルタイムで表示します。 アナリティクスセクションでIPアドレスだけでなくホストのユーザー名を確認できます。 ユーザーはディレクトリサービスの同期から取得されます。 同期はLDAPを使用してActive Directory (AD) サーバーをクエリします。 時折、LDAP同期が様々な理由で失敗します。 例えば、Microsoft LDAPには単一のクエリで1500未満の属性を持つオブジェクトしか返すことができないという既知の制限があります。 大規模な組織では、グループに1500人以上のメンバーが割り当てられていることが容易にあります。 そのため、PoPがLDAPクエリを実行すると、1500人以上のメンバーを持つグループはCato Management Applicationに空のメンバーリストを返し、CMAでユーザーが非アクティブ化/削除されます。

ソリューション

LDAPとユーザーの同期を参照し、この制限によるユーザーの不要な非アクティブ化/削除を防ぐために、CMAで「グループメンバーシップの更新を防止する」オプションを設定し、最大ユーザー数をカスタマイズできます。

ドメインコントローラからの空のクエリ応答を解決するために、以下の手順に従ってください：

  1. 必ずDCの以下のWindowsサービスが実行中で、自動設定されていることを確認してください：

  • サーバー

  • WMI

  • リモートレジストリ

  1. DCのMaxValRangeのMicrosoft LDAPポリシー属性を調整できます。 この属性は返される値の数を制御します。 MaxValRangeを引き上げるか制限を完全に解除するために以下の2つの記事を使用してください。 AD属性を変更したくない場合は、Catoは1500人未満のユーザーを持つグループを収集できます。

ntdsutilツールを使用してMaxValRangeを調整するMSの記事: https://support.microsoft.com/en-gb/help/315071/how-to-view-and-set-ldap-policy-in-active-directory-by-using-ntdsutil

Windows Server 2008およびWindows Server 2008 R2で導入されたハードコードされたLDAPクエリ制限をオーバーライドする方法に関するMS記事/ブログ:
https://docs.microsoft.com/en-us/archive/blogs/qzaidi/override-the-hardcoded-ldap-query-limits-introduced-in-windows-server-2008-and-windows-server-2008-r2

GPO使用時の監査イベントが見つからない

課題

高度なセキュリティ監査ポリシー設定を使用するGPOを使用しており、すべてのイベントIDが記録されていない場合は、ソリューションに記載されている手順に従ってください。

ソリューション

DCの監査ポリシー設定を確認してください。 詳細については、ドメインコントローラの監査ポリシーを構成するを参照してください

ドメインコントローラの監査ポリシーを構成する

監査ポリシーは、ローカルでDCに定義するか、GPOを介して適用することができます。 GPOはローカルセキュリティポリシーを上書きします。 高度な監査ポリシー設定は基本的な監査ポリシー設定を上書きします。

監査ポリシーが、WindowsセキュリティログでユーザーをIPアドレスにマップするためにUser Awarenessが使用するイベントIDで設定されていることを確認してください。

次のリストには、Catoが監査ポリシーで使用するイベントIDが含まれています：

  • 4768 - Kerberos認証チケット（TGT）が要求されました

  • 4769 - Kerberosサービスチケットが要求されました

  • 4770 - Kerberosサービスチケットが更新されました

  • 4776 - ドメインコントローラーがアカウントのクレデンシャルを検証しようとした

  • 4624 - アカウントは正常にログオンされました

  • 4648 - 明示的なクレデンシャルを使用してログオンが試みられました

  • 5140 - ネットワーク共有オブジェクトにアクセスされました

  • 5145 - クライアントに希望するアクセスが許可されるかどうかを確認するために、ネットワーク共有オブジェクトがチェックされました

DCでの監査ポリシーのローカル設定

  1. ローカルセキュリティポリシーを開きます。

  2. セキュリティ設定 > ローカルポリシー > 監査ポリシーに移動して基本的な監査ポリシーを設定するか、セキュリティ設定 > 高度な監査ポリシー設定 > 監査ポリシーに移動してログの詳細な制御を提供する高度な監査ポリシーを設定します。

グループポリシーを使用して監査ポリシーを設定する方法：

  1. グループポリシー管理エディターを開きます。

  2. すべてのドメインコントローラーに適用されるGPOを右クリックして「編集」を選択します

  3. コンピューター構成 > ポリシー > Windows設定 > セキュリティ設定 > ローカルポリシー > 監査ポリシーを展開して基本的な監査ポリシーを設定するか、コンピューター構成 > ポリシー > Windows設定 > セキュリティ設定 > 高度な監査ポリシー設定 > 監査ポリシーを展開して詳細な監査ポリシーを設定します。

次のリストには、CatoのUser Awarenessで使用されるイベントIDが含まれています：

基本的な監査ポリシー

  • 監査ログオンイベント - 4624、4648

  • 監査アカウントログオンイベント - 4768、4769、4770、4776

  • 監査オブジェクトアクセス - 5140、5145

高度な監査ポリシー

  • アカウントログオン

    • 監査Kerberos認証サービス – 4768

    • 監査Kerberosサービスチケット操作 - 4769、4770

    • 監査クレデンシャル検証 – 4776

  • ログオン/ログオフ

    • 監査ログオン - 4624、4648

  • オブジェクトアクセス

    • 監査ファイル共有 – 5140

    • 監査詳細ファイル共有 - 5145

DCでの有効な監査ポリシーを検証するには、次のコマンドをコマンドプロンプトから実行してください: auditpol /get /category:*