RDP Azure VM Linux with Azure AD Domain Services

1. .NETラボ 2022 01月勉強会
小鮒 通成

2. 自己紹介です
 都内Sierに勤務し、Windows認証基盤のコンサル・
設計・構築・トラブルシュートなどをやっています。
 Technetフォーラムで、ときどき回答しています。
 商業誌に寄稿することもありますが、最近はコミケ
です。
 MSMVP Enterprise Mobilityを受賞しています(MVP
受賞回数19回+α)。
 秋葉原によく現れます。最近RTX 3070でResizable
BARを試みましたが、CPUが古くて失敗しました…。

3. なぜAzure Linux VMでRDP?
 絶対必須な環境ではないけれど…
 セキュリティ的にはSSH/公開・秘密鍵認証が推奨
 WindowsでもがんばればSSH認証できるはず
 どうしてもGUIでアクセスしたい
 WindowsはGUIなのに、LinuxがCUIなのは「落ち着かな
い」
 インフォメーションワーカー的作業を行う場合、デスク
トップ環境の方が生産性が高い
 マニュアル対策上、GUI環境がありがたい
 ネットワークセキュリティ環境を統一したい
 Windowsが3389/tcpで、Linuxが22/tcpの場合、ポート通信
許可設定が煩雑になる(実は私の自宅環境もそうでした…)

4. なぜAzure Linux VMでAAD DS?
 Windows統合認証のデファクトスタンダード
 Active Directory環境のSaaSとして、お手軽に扱える
 WindowsはDomain Join、Linuxはrealmd+sssdでの認証が可
 Domain Controller VMは管理が大変
 安定運用には2台は必要。VMは24h/365dの運用がいるので、
費用が馬鹿にならない(A2_v2 2台で28,526/月)
 AAD DSのメリット感
 AAD DSはSaaSのため、メンテナンスフリー＆費用は安価
(Standardで12,585/月)
 ハイブリッド環境でも運用が可能
 AAD DS以外の統合認証(yellow pagesはさすがに…)
 オンプレミスAD DS認証
 Azure AD認証によるLinuxサインイン

5. Azure AD Domain Servicesとは
 AzureのドメインコントローラーのPaaS。Azure AD
アカウントと同じアカウント名/パスワードで
Kerberos・NTLM・LDAPS認証を行うために利用す
る。
 Azure ADアカウントと同期して使うユーザーフォレ
スト、オンプレActive Directoryと信頼関係を結んで
使うリソースフォレストの2種類が存在する。
 Azure AD Connect/Azure AD CPとのハイブリッド連
携も可能。
 詳細は2020年09月の.NET lab資料を参照のこと。
NETlab_AADDC使いどころ.pptx - Microsoft
PowerPoint Online (live.com)

6. Azure Linux VMで必要なもの
1. GNOMEデスクトップ環境
1. Ubuntu GNOME(現在GNOMEがUbuntu の標準デスク
トップ)
2. GNOME Desktop+X11(CentOS)
2. xrdpリモートデスクトップ環境
1. xrdp(NLA非対応)
2. freerdp(NLA対応)
3. Active Directoryクライアント認証環境
1. sssd
2. realmd
3. krb5 + その他コンポーネント

7. Azure Linux VMで標準外の構成
1. デスクトップ環境
1. xfce4
2. MATE
2. リモートデスクトップ環境
1. VNC
2. X2Go(Azure DSVMイメージに投入済み)
3. Active Directoryクライアント認証環境
1. winbind(推奨しない)

8. AAD DS設定
1. 管理可能なドメイン名/SKU-Standardで構成
2. ネットワークは新規に作成するのがお奨め。NSG
にAAD DS用の許可設定が必要なため。
3. Azure Linux VMの外部接続(RDP)に備え、NSGに
3389/tcp許可設定を加える。この際、ソースを
「Any」にしないこと。操作元IPアドレスのみに
フィルターする。Bastionもお奨め。
4. 作成後、以下の追加作業が必要
1. Azure ADユーザーの追加(AAD DC管理者グループ
含)
2. カスタムDNSアドレスの設定
3. カスタムドメイン名の追加(UPNにドメイン名を指定

9. Azure Linux VM設定
1. GNOMEデスクトップ環境
2. xrdpリモートデスクトップ環境
※ =Ubuntu/ =CentOS
sudo apt-get install ubuntu-gnome-desktop
sudo dnf groupinstall "Server with GUI"
sudo apt-get install xrdp
sudo nano /etc/X11/Xwrapper.config (allowed_users=anybody)
sudo dnf install epel-release
sudo yum install xrdp
sudo systemctl enable xrdp --now
sudo systemctl status xrdp

10. Azure Linux VM設定(Cont.)
3. azureuserパスワードの設定(共通)
4. Active Directoryクライアント認証ツールと時刻設
定
sudo passwd azureuser
sudo nano /etc/hosts
sudo dnf install adcli realmd sssd krb5-workstation krb5-libs oddjob
oddjob-mkhomedir samba-common-tools
sudo nano /etc/hosts
sudo apt-get install krb5-user samba sssd sssd-tools libnss-sss libpam-sss ntp
ntpdate realmd adcli
sudo nano /etc/ntp.conf
sudo systemctl stop ntp
sudo ntpdate comike99.adfstan.com
sudo systemctl start ntp

11. Azure Linux VM設定(Cont.)
5. Active Directoryクライアントドメイン参加
sudo realm discover COMIKE99.ADFSTAN.COM
sudo nano /etc/krb5.conf (rdns=false)
kinit -V dsadmin@COMIKE99.ADFSTAN.COM
sudo realm join --verbose COMIKE99.ADFSTAN.COM -U
'dsadmin@COMIKE99.ADFSTAN.COM' --install=/
sudo realm discover COMIKE99.ADFSTAN.COM
kinit dsadmin@COMIKE99.ADFSTAN.COM
sudo realm join --verbose COMIKE99.ADFSTAN.COM -U
'dsadmin@COMIKE99.ADFSTAN.COM' --membership-software=adcli

12. Azure Linux VM設定(Cont.)
6. sssd.confの修正
sudo nano /etc/sssd/sssd.conf
sudo systemctl restart sssd.service
sudo nano /etc/sssd/sssd.conf
sudo systemctl restart sssd.service

13. Azure Linux VM設定(Cont.)
7. ホームディレクトリ自動設定(Ubuntu)
8. AAD DC管理者グループをsudo listに追加
sudo nano /etc/pam.d/common-session
sudo visudo
sudo visudo

14. 設定後の動作確認
1. RDPリモートログインは、問題なく動作可能。
UbuntuはSPNが不要、CentOSはSPNが必須。
(sssd.conf設定に依存)
2. Terminalでのコマンド結果も問題はない。ただし
パスワード変更は、AAD DSの仕様上不可。
3. 他のサーバー(ファイルサーバー等)へのSSOは、
UbuntuはNG、CentOSはOK。
4. GPO設定(User Rights)で「リモートデスクトップ接
続を拒否」に追加したアカウントは、RDPログイ
ンが不可になることも確認。

15. 日本語版OS+英語KBD環境の対応
1. xrdpログイン時のキーボード配列は、接続元OSのリー
ジョンに依存する。日本語版OSならば日本語キーボー
ド、英語版OSならば英語キーボードとして自動認識さ
れるが、日本語版OS+英語キーボードの環境だと、正
しいキーアサインが行えない。
2. 上記を修正する簡単な方法は、
[設定]-[言語]設定に英語を追加すること
(最上位にする必要はありません)、IMEの
表示で[英語(米国) USキーボード]に指定して、接続を
行う。
3. 詳細については、以下のページが非常に詳しい。
xrdpでクライアントのキーボード種別を認識させる方
法 (tamapoco.com)

16. まとめ
 Azure AD Domain ServicesのSSO機能やGPO機能な
ど、WindowsのみならずLinuxに対しても、セキュ
リティ設定に関して機能することがわかった。世の
中進んだものである。
 LinuxのRDP接続については、xrdpで簡単に実装でき
る。インフォメーションワーカーがLinuxを使いたい
ケースでは、安心して使えるソリューションになる
ように思われる。
 WindowsとLinuxの「垣根」はかなり少ない状況に
なっており、Minimum OSとしてのLinuxだけでなく、
フルグラフィックスな利用方法についても、引き続
き有用なように、筆者は考えている。

17. 参考情報
 Ubuntu VM を Azure AD Domain Services に参加させる | Microsoft Docs
 CentOS VM を Azure AD Domain Services に参加させる | Microsoft Docs
 Linux で xrdp を使用する - Azure Virtual Machines | Microsoft Docs
 Azure Lab Services の Linux 向けグラフィカル リモート デスクトップを有効
にする - Azure Lab Services | Microsoft Docs
 Quickstart: Create an Ubuntu Data Science Virtual Machine - Azure Data
Science Virtual Machine | Microsoft Docs
 Azure: Installing GNOME desktop and xRDP to access an Ubuntu 17.10 Server –
TechKB.onl
 How to Install Xrdp Server (Remote Desktop) on CentOS 8 | Linuxize
 xRDP – Remote Connection to Ubuntu Using Active Directory Authentication
(HowTo) – Griffon's IT Library (c-nergy.be)