仕組みがわかるActive Directory

仕組みがわかるActive Directory株式会社ソフィアネットワーク

国井傑 (くにいすぐる)

スライドは↓こちら↓からダウンロードhttp://www.slideshare.net/sugurukunii/

自己紹介

Microsoft MVP for Directory Services (2006～2014)

マイクロソフト認定トレーナー(1997～)

ブログAlways on the clock

＠sophiakunii

株式会社ソフィアネットワーク所属

ブログ + 連載

こんな人に聞いてもらいたい

Active Directoryという言葉はよく聞くけど、それ以上は... な人

会社の偉い人に頼まれて、ユーザーを作ったことはあるけど、それが何を意味するのか、よくわからない人

会社のIT担当になったけど、どうすればよいか、わからない人

これからお話しすること

1. ドメインの仕組み

2. 認証/承認のシステムとしてのActive Directory

3. ディレクトリサービスとしてのActive Directory

4. 一元管理を実現する仕組みとしてのActive Directory

Active Directoryに対するイメージ

2013年国井調べによる

ドメインの仕組み

ドメインとは？Active Directoryとは？ドメインとは何か？と聞かれたら、私は大まかにこのように答えています。

相手が「管理者」だったら

相手が「利用者」だったら

ドメインとは？Active Directoryとは？

ドメイン＝機能の名称

Active Directory＝マイクロソフトの登録商標

つまり、、

Active Directoryの仕組み～概要編Active Directoryは「ドメイン」という単位で管理する

ドメインには、1台以上の「ドメインコントローラー」というサーバーが必要

ドメインに管理されるコンピューターは「ドメインに参加する」という設定が必要

Active Directoryの仕組み～概要編ドメインに参加するコンピューターはドメインコントローラーに格納されたユーザー情報を利用してサインインすることができる

ドメインにサインインしたユーザーはドメインに参加する、ほかのコンピューターにアクセスできる (ただし、アクセス許可がないユーザーはアクセスできない)

Active DirectoryではKerberos(ケルベロス)と呼ばれるテクノロジーを使って、認証と承認を行う

Active Directoryの仕組み～ちょっと細かい話

ドメインコントローラーは重要なサーバーなので複数台で運用することが多い

事業所ごとにドメインコントローラーを設置して運用することも可能

Active Directoryの仕組み～ドメインコントローラー編

事業所ごとにドメインコントローラーを設置して運用する場合、「サイト」を設定することで、PCは近くのドメインコントローラーにアクセスできる

Active Directoryの仕組み～サイト編

認証/承認のシステムとしてのActive Directory

ワークグループではそれぞれのサーバーにアクセスするごとに認証が必要。だから、ドメインを利用して1回の認証(サインイン)で、すべてのサーバーにアクセスできるような仕組みが重宝される

ドメインとは1回のサインインでアクセスできる範囲

1回のサインインでアクセスできる範囲を「ドメイン」と呼ぶが、2つ以上のドメインを「信頼関係」という設定で連携させることで、アクセスできる範囲を拡張可能

信頼関係＝1回のサインインでアクセスできる範囲を拡張

信頼関係が使われるケース会社の構造に合わせてドメインを分割して運用するケースがよく見られる

クラウドとの信頼関係クラウドはドメインに参加していないので、別途サインインが必要

Active Directoryフェデレーションサービス(ADFS)を活用すれば、クラウドを「1回のサインインでアクセスできる範囲」にできる

Active Directoryでは認証時に、ユーザーの認証だけでなく、コンピューターの認証も行っている

コンピューター認証用パスワードは30日に一度変更し、クライアントとの間で同期

ところで…ドメインに参加する設定はなぜ必要？

コンピューターパスワードは片方だけで変更されると認証できなくなる

長期間ドメインにサインインしていないコンピューター

仮想マシンをスナップショットで以前の状態に戻したとき

コンピューターパスワードは片方だけで変更されると認証できなくなる

長期間ドメインにサインインしていないコンピューター

仮想マシンをスナップショットで以前の状態に戻したとき

必要に応じてコンピューターパスワードは変更しないように設定すること

グループポリシーから設定可能 (グループポリシーについては後述)

ディレクトリサービスとしてのActive Directory

ディレクトリサービスとは？会社の様々な情報をまとめて記憶し、いつでも参照できるようにするための仕組み

オブジェクトとプロパティという関係で情報が保存される

Active Directoryに登録できるオブジェクトとプロパティ

【参考】プロパティに表示される名前は属性名と一致しない

一般のプロパティには表示されない属性もある

Get-ADUser -Filter * -Properties logonCount | ft name,logoncount

ディレクトリサービスとしてActive Directoryを有効活用Active Directoryは単純にユーザー名・パスワードを登録するだけではもったいない！

情報を登録しておけば、登録された情報をもとにアクセス制御ができる

【参考】ダイナミックアクセス制御Windows Server 2012から利用可能なアクセス制御方法

ユーザーの属性とフォルダーの属性をそれぞれ設定し、条件に一致する場合だけ、アクセス許可を与える

コンピューターの属性を条件にアクセス許可を設定することも可能 (Win8のみ)

トークンベースのアクセス制御Active Directoryフェデレーションサービス(ADFS)の活用

Active Directoryではユーザー情報をもとに承認を行うのに対して、ADFSではサーバーが必要とする情報をもとに承認(認可)を行う→ 必ずしもユーザー情報は必要でないので、個人情報を晒すことなくサーバーにアクセスできる

トークンベースのアクセス制御

一元管理を実現する仕組みとしてのActive Directory

会社で管理すること、それは「制限」することであるActive Directoryに登録された情報(ユーザー/コンピューター)が会社にとって良くないことをしないように制限したい

グループポリシーを利用して制限グループポリシーとはActive Directoryに付属する機能で、ドメインに参加するコンピューターやユーザーに対して、様々な制限を行う機能

グループポリシーを使う[サーバーマネージャー]から[表示]-[グループポリシーの管理]で管理ツールにアクセス

複数のGPOを割り当てられる。だけどシンプルが基本。

グループポリシーの特徴を踏まえてOUを設計GPOはドメインまたはOUに割り当てられる

OUはドメインのユーザーやコンピューターなどを「まとめる」役割がある

GPOの設定

グループポリシーで、よく「使われる」設定/よく「使いたい」設定アプリケーション実行の制限

[コンピューターの構成]-[ポリシー]-[Windowsの設定]-[セキュリティの設定]-[アプリケーション制限ポリシー]-[AppLocker]

コントロールパネル利用の制限[ユーザーの構成]-[ポリシー]-[管理用テンプレート]-[コントロールパネル]-[コントロールパネルとPC設定へのアクセスを禁止する]

ゲーム利用の制限[ユーザーの構成]-[ポリシー]-[管理用テンプレート]-[タスクバーと[スタート]メニュー]-[[スタート]メニューから[ゲーム]アイコンを削除する]

指定したWi-Fi接続のみ許可[コンピューターの構成]-[ポリシー]-[Windowsの設定]-[セキュリティの設定]-[ワイヤレスネットワークポリシー]

グループポリシーで、よく「使われる」設定/よく「使いたい」設定ドライブ文字の割り当て

[ユーザーの構成]-[基本設定]-[Windowsの設定]-[ドライブマップ]

グループポリシーで、よく「使われる」設定/よく「使いたい」設定アクセス監査の設定

[コンピューターの構成]-[ポリシー]-[Windowsの設定]-[セキュリティの設定]-[監査ポリシーの詳細な構成]-[監査ポリシー]

監査結果はイベントビューアのセキュリティログより確認可能

グループポリシーの項目数は3438！でもどうやって調べる？グループポリシーの設定項目がたくさんあっても、存在を知らなければ宝の持ち腐れ。そこで、調べ方を覚えておきましょう。

方法1:GPOの検索

グループポリシーの項目数は3438！でもどうやって調べる？方法2:Excelシートで一覧の確認Group Policy Settings Reference for Windows and Windows Server http://www.microsoft.com/en-us/download/details.aspx?displaylang=en&id=25250

まとめActive Directoryは単純にユーザーを登録するデータベースではない！

認証/承認システムとして、認証・承認を集中管理できるだけでなく、拡張が可能

ディレクトリサービスとして、様々な属性を登録することで、後から参照したり、アクセス制御の仕組みとして流用できる

一元管理を実現する仕組みとして、グループポリシーによるドメイン参加のPCに対する制限・制御ができる

Microsoft Confidential45

We don’t even have to try,It’s always a good time.

from “good time” by owl city & carly rae jepsen

仕組みがわかるActive Directory

Technology

Transcript of 仕組みがわかるActive Directory

Eindwerk: Linux Active Directory Emulatie 1users.telenet.be/lade/Linux Active Directory thesis.pdfEindwerk: Linux Active Directory Emulatie 5 2. Wat is Active Directory Als men het

Active Directory Directory Searcher

dit.urfu.ru · Web viewКаталог объектов Microsoft Active Directory. Включает в себя домен Active Directory «at.urfu.ru», лес Active Directory

Manage Engine Active Directory Auditing Sunumu(Active Directory Denetimi)

Active-Directory-Zertifikatdienste (PKI) Installieren ... · 2 Active-Directory-Zertifikatdienste (PKI) Installieren & konfigurieren Active Directory-Zertifikatdienst Installieren

Active Directory