Windows Server 2016でWork Foldersを構成する完全ガイド｜サーバーとクライアントの設定手順

Work Foldersとは

Work Foldersは、社内ファイルサーバー上のファイルにリモートからアクセスし、ノートPC・タブレット・スマートフォンなど任意のデバイスでオフライン作業を可能にする技術です。次に社内ネットワークへ接続した際に、ユーザーデバイス上で加えられた変更がすべて内部のWindowsファイルサーバーと自動的に同期されます。本記事では、Windows Server 2016のファイルサーバーとWindows 10クライアントを対象に、Work Folders機能のインストールと構成方法を詳しく解説します。

ファイルストレージとしてはWindows Server 2012 R2以降のファイルサーバーを使用でき、クライアントはWindows 7以降のすべてのWindowsバージョン、Android 4.4以上またはiOS 8以上を搭載したデバイス(各クライアントアプリはGoogle PlayおよびApp Storeで提供)に対応しています。セキュリティポリシーによりクライアント側のコンテンツ暗号化を必須にできるため、デバイスの紛失や盗難時にもデータ保護が保証されます。

Windows Server 2016へのWork Folders役割のインストールと構成

Windows Server 2016では、サーバーマネージャーまたはPowerShellを使ってWork Foldersの役割をインストールできます。

サーバーマネージャーを使用する場合は、「ファイルサービスと記憶域サービス」ロール内の「Work Folders」オプションを選択します(必要なIIS Hostable Web Coreコンポーネントは自動的に追加されます)。

PowerShellでは以下のコマンドでインストールします:

Install-WindowsFeature FS-SyncShareService,Web-WHC

Active Directoryセキュリティグループの作成

Active Directoryに新しいセキュリティグループを作成し、ファイルサーバー上のWork Foldersとの同期を許可するユーザーアカウントを追加します。ADへの要求回数を減らしてWork Foldersサービスのパフォーマンスを向上させるため、Microsoftは他のセキュリティグループではなくユーザーアカウントのみをこのグループに追加することを推奨しています。

同期共有の作成

次に、ユーザーが同期するファイルサーバー上のネットワーク共有を作成します。共有フォルダーはサーバーマネージャーまたはPowerShellのどちらでも作成できます。

サーバーマネージャーを開き、「ファイルサービスと記憶域サービス」→「Work Folders」を選択し、「タスク」→「新しい同期共有」をクリックします。

続いて、アクセスを許可するディレクトリを指定します。この例ではC:\financeです。

次にユーザーフォルダーの構造を選択します。フォルダー名はユーザーアカウント(エイリアス)形式、またはuser@domain形式のいずれかになります。

その後、同期共有の名前を入力します。

さらに、この共有へのアクセスを許可するセキュリティグループを指定します。

クライアントに適用するセキュリティポリシー

Work Foldersには、クライアントに適用される2つのセキュリティポリシーがあります:

• Work Foldersの暗号化 – クライアント上のキャッシュされたWork Foldersディレクトリに対してBitLockerによるデータ暗号化を強制します。
• 画面の自動ロックとパスワードの要求 – デバイスが15分間非アクティブになった後に画面を自動ロックし、パスワード保護(最低6文字)を要求します。

これで新しいWork Folderの構成は完了です。

同じ操作はNew-SyncShareコマンドレットでも実行できます。例えば、次のコマンドは新しい同期共有を作成し、指定したグループにアクセス権を付与します:

New-SyncShare "Sales" C:\sales –User "Sales_Users_WorkFolder"

SSL証明書のバインド

保護されたHTTPS接続経由で作業ファイルにアクセスするには、Work Foldersを提供するIIS Webサイトに有効なSSL証明書をバインドする必要があります。

注: テスト環境では証明書は必須ではなく、クライアント側の証明書要件は無視できます。詳細は後述のコマンドを参照してください。

最も簡単な方法はLet's Encryptの無料SSL証明書を使用することです。証明書の発行とIISへのバインド手順については「Let's Encrypt Certificate for Windows (IIS)」の記事を参照してください。

ヒント: 外部クライアントをWork Foldersサーバーに接続してファイルへアクセス・同期できるようにするには、外部DNSゾーンにサーバー名を登録し、ファイアウォールでTCPポート80および/または443への受信トラフィックを許可する必要があります。より包括的な保護が必要な場合は、Web Application Proxyサーバー経由でアクセスを提供することも可能です。

Windows 10でのWork Foldersクライアントの構成

この例では、Windows 10デバイスをWork Foldersクライアントとして使用します。構成はコントロールパネルの既存アプレットから行います。「コントロールパネル」→「システムとセキュリティ」→「Work Folders」の順に開きます(この項目はWindows Serverエディションには存在しません)。

構成を開始するには「Work Foldersのセットアップ」をクリックします。

次に、ユーザーのメールアドレスまたはWork Foldersサーバーのアドレスを入力します。

デフォルトでは、クライアントはセキュアなHTTPSプロトコル経由でサーバーに接続します。テスト環境では、クライアントで以下のコマンドを実行することにより、この要件を無視できます:

Reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WorkFolders /v AllowUnsecureConnection /t REG_DWORD /d 1

データにアクセスするには認証を行い、クライアントに適用されるセキュリティポリシーに同意する必要があります。

デフォルトでは、クライアント上のWork Foldersファイルはユーザープロファイル内の「%USERPROFILE%\Work Folders」に保存され、このフォルダーのサイズは10GBを超えることができません。

クライアントがサーバーに接続されると、Work Foldersディレクトリが作成されます。Work Folders内のファイルに変更がない場合、クライアントは10分ごとにファイルサーバーと同期します。変更されたファイルは即座に同期されます。また、変更が発生すると、サーバーは他のクライアントに自動的に通知し、中央サーバーからのデータ更新を促します(そのため、変更はすべての接続済みデバイスにできるだけ早く反映されます)。

同期ステータス、エラー、サーバー上の利用可能な空き容量は、同じコントロールパネルの項目で確認できます。

同期が正しく動作しているか確認するには、Work Folders内に新しいディレクトリを作成し、コンテキストメニューから「今すぐ同期」を選択します。しばらくすると、このフォルダーがサーバー上に表示されるはずです。

グループポリシーによるWork Foldersクライアントの自動構成

Work Foldersを自動的にセットアップするには、「ユーザーの構成」→「ポリシー」→「管理用テンプレート」→「Windowsコンポーネント」→「WorkFolders」にある2つの特別なグループポリシーを使用できます:

• Work Foldersの設定を指定する – Work FoldersサーバーのURLを指定できます。
• すべてのユーザーに対して自動セットアップを強制する – クライアントの自動構成を開始します。

Work Folders同期エラー0x80c80317の対処法

テスト構成において、クライアントでのファイル同期中に以下のエラーが発生しました:

問題が発生しましたが、同期は再試行されます (0x80c80317)

サーバーログには以下のエントリが記録されていました:
Windows Sync Shareサービスがデバイスとの新しい同期パートナーシップのセットアップに失敗しました。データベース: \\?\C:\users\SyncShareState\WorkFolders\Metadata; ユーザーフォルダー名: \\?\C:\Finance\WORKFOLDERS_ROOT\USER.TEST; エラーコード: (0x8e5e0408) データベースの読み取りまたは書き込みができません。

これらのエラーは同期メカニズムの問題を示しています。この場合、ユーザーはコマンドプロンプトで以下のコマンドを実行する必要があります:

Repair-SyncShare -name Finance -user Domain\user1
Get-SyncUserStatus -syncshare Finance -user Domain\user1

通常、これにより同期失敗の問題は解決します。

まとめ

本記事では、Windows Server 2016におけるWork Foldersの構成方法と使用方法を解説しました。この技術により、ユーザーはほぼあらゆるデバイスで企業ファイルを操作でき、同時にクライアント側の暗号化によってデータ漏洩に対する適切なレベルの保護が実現されます。もちろん、このソリューションはクラウドベースのDropboxやOneDriveほど快適で柔軟ではありませんが、最大の利点はセットアップが簡単で、データがサードパーティのクラウドではなく社内に保存される点にあります。さらに、Work Foldersと併せて、FSRMによるクォータとファイル種別の管理、Windowsフェイルオーバークラスターによるファイルサーバーの高可用性構成、Dynamic Access ControlやFile Classification Infrastructureによるデータアクセス管理も活用できます。