クラウドで始めるactive directory

クラウドで始める Active Directory株式会社ソフィアネットワーク

国井傑 (くにいすぐる)

スライドは↓こちら↓からダウンロードhttp://www.slideshare.net/sugurukunii/

自己紹介

Copyright 2014 Sophia Network Ltd.2

Microsoft MVP for Directory Services (2006～2015)

マイクロソフト認定トレーナー(1997～)

ブログAlways on the clock

＠sophiakunii

株式会社ソフィアネットワーク所属

連載～基礎から分かるActive Directory再入門


http://gravatar.com/e1fb8058e63b3ba2706f7ac43a43fc47

http://gravatar.com/e1fb8058e63b3ba2706f7ac43a43fc47

http://www.takashimedia.com/blog/wp-content/uploads/2011/11/twitter-logo.jpg

http://www.takashimedia.com/blog/wp-content/uploads/2011/11/twitter-logo.jpg

評価ガイドあります



はじめに


私たちが直面するID管理の現実


認証とは、(主に)ユーザー名/パスワードを入力して本人確認を行うプロセス

Active DirectoryではKerberos(ケルベロス)と呼ばれるテクノロジーを使って、認証と承認(認可)を行う

認証のおさらい


ID連携のおさらいトークンを利用してActive Directory ユーザーとクラウドサービス上のユーザーを関連付け


【参考】用語解説 IdP/CPとSP/RP


ID同期のおさらい

複数のディレクトリサービスに格納されるID情報を同期し、同じ情報を互いのサービスで利用できるようにすること


3つのID管理テクノロジーをMS製品/サービスにマッピング

10

Microsoft Azure Active Directory (Azure AD)


Azure 仮想マシンとして ADDS/ADFS を実装基本的には、通常の仮想マシンを作成する操作と同じ操作で作成

仮想マシン作成時に提供されるディスクとは異なるディスクを用意して、Active Directoryをインストール

Azureから割り当てられる動的IPアドレスを利用

ドメイン参加する他の仮想マシンにはDHCPから割り当てられるDNSサーバーアドレスを利用する


Azure AD 利用シナリオ


現状のシステム構成から用途を考える Active Directoryドメインを保有していない場合

Active Directoryドメインを保有している場合


Azure仮想マシンのADDS利用シナリオ


Azure 仮想マシンでADDSを利用する上での注意事項クラウドのみでのActive Directoryドメイン構成は非推奨

＝ Azure仮想マシンでのActive Directoryドメイン構成はオンプレミスとの組み合わせで利用することを前提

＝オンプレミスとクラウドをAzure VPNで接続


ローカルサブネット10.1.0.0/16

Subnet10.2.1.0/24

ドメインコントローラー10.2.1.4

Azure VNET10.2.0.0/16

サイト間VPN接続

利用シナリオを考えるバックアップ/DRサイトとしての利用

クラウドで提供するサービスへのアクセスをドメインのIDで実現



Subnet10.2.1.0/24



サイト間VPN接続


Subnet10.2.1.0/24



Webサーバー10.2.1.5

Azure仮想マシンのADFS利用シナリオ


ADFSのシステム構成とAzureの相性外部からのADFSサーバーへのアクセスにはプロキシの役割となるサーバーの設置が必須

＝ Webアプリケーションプロキシ(ADFSプロキシ)の設置が必須＝外部向けのIPアドレス(VIP)が自動的に割り当てられる

Azure仮想マシンはWebアプリケーションプロキシ実装を簡単にしてくれる



Subnet10.2.1.0/24



ADFSサーバー10.2.1.5

Subnet10.2.2.0/24

Webアプリケーションプロキシ10.2.2.4

ADFSの実装にAzure仮想マシンを積極活用 Office365との組み合わせの場合



Subnet10.2.1.0/24



ADFSサーバー10.2.1.5

Subnet10.2.2.0/24

Webアプリケーションプロキシ10.2.2.4

DirSyncサーバー10.2.1.6

使い始めると細かいことが気になり始める


外出先からパスワードを変更したい

Azure 管理ポータルからパスワードリセットポリシーを有効にし、事前に携帯電話の番号を登録

アクセスパネルからパスワードリセットの登録を事前に行う

アクセスパネルからパスワードリセットが実行可能

リセットされたパスワードはDirSync によって AD ユーザーのパスワードが変更される

使い始めると細かいことが気になり始める


デバイス種類に応じて接続を制限したい

Start

Start

登録されたデバイスだけを許可するためのADFS設定


ADFSサーバーのクレームルール言語で多彩な制限が可能

Active Directoryに保存される情報


まとめ～ ID管理にAzureサービスを活用する


ADFS トレーニングコース開催しています！http://www.crie-illuminate.jp/


Active Directory フェデレーションサービストレーニング

Office 365ユーザー認証ベストプラクティス (2日コース)Microsoft Azure を活用した ADFS 構築 (1日コース)

Microsoft Confidential27

We don’t even have to try,It’s always a good time.

from “good time” by owl city & carly rae jepsen

クラウドで始めるactive directory

Engineering