仕組みがわかるActive Directory

仕組みがわかるActive Directory
株式会社ソフィアネットワーク
国井傑 (くにいすぐる)
スライドは↓こちら↓からダウンロード
http://www.slideshare.net/sugurukunii/

自己紹介
Copyright 2013 Sophia Network Ltd.2
Microsoft MVP for Directory Services
(2006～2014)
マイクロソフト認定トレーナー
(1997～)
ブログ
Always on the clock
＠sophiakunii
株式会社ソフィアネットワーク所属
ブログ + 連載

こんな人に聞いてもらいたい
Active Directoryという言葉はよく聞くけど、それ以上は... な人
会社の偉い人に頼まれて、ユーザーを作ったことはあるけど、
それが何を意味するのか、よくわからない人
会社のIT担当になったけど、どうすればよいか、わからない人

これからお話しすること
1. ドメインの仕組み
2. 認証/承認のシステムとしてのActive Directory
3. ディレクトリサービスとしてのActive Directory
4. 一元管理を実現する仕組みとしてのActive Directory

Active Directoryに
対するイメージ
2013年国井調べによる

ドメインの仕組み

ドメインとは？Active Directoryとは？
ドメインとは何か？と聞かれたら、私は大まかにこのように答えています。
相手が「管理者」だったら
相手が「利用者」だったら

ドメインとは？Active Directoryとは？
ドメイン＝機能の名称
Active Directory＝マイクロソフトの登録商標
つまり、、

Active Directoryの仕組み～概要編
Active Directoryは「ドメイン」という単位で管理する
ドメインには、1台以上の「ドメインコントローラー」というサーバーが必要
ドメインに管理されるコンピューターは「ドメインに参加する」という設定が必要

Active Directoryの仕組み～概要編
ドメインに参加するコンピューターはドメインコントローラーに格納された
ユーザー情報を利用してサインインすることができる
ドメインにサインインしたユーザーはドメインに参加する、ほかのコンピューターに
アクセスできる (ただし、アクセス許可がないユーザーはアクセスできない)

Active DirectoryではKerberos(ケルベロス)と呼ばれるテクノロジーを
使って、認証と承認を行う
Active Directoryの仕組み～ちょっと細かい話

ドメインコントローラーは重要なサーバーなので複数台で運用することが多い
事業所ごとにドメインコントローラーを設置して運用することも可能
Active Directoryの仕組み～ドメインコントローラー編

事業所ごとにドメインコントローラーを設置して運用する場合、「サイト」を
設定することで、PCは近くのドメインコントローラーにアクセスできる
Active Directoryの仕組み～サイト編

認証/承認のシステムとしてのActive Directory

ワークグループではそれぞれのサーバーにアクセスするごとに認証が必要。
だから、ドメインを利用して1回の認証(サインイン)で、すべてのサーバーに
アクセスできるような仕組みが重宝される
ドメインとは1回のサインインでアクセスできる範囲

1回のサインインでアクセスできる範囲を「ドメイン」と呼ぶが、2つ以上の
ドメインを「信頼関係」という設定で連携させることで、アクセスできる範囲を
拡張可能
信頼関係＝1回のサインインでアクセスできる範囲を拡張

信頼関係が使われるケース
会社の構造に合わせてドメインを分割して運用するケースがよく見られる

クラウドとの信頼関係
クラウドはドメインに参加していないので、別途サインインが必要
Active Directoryフェデレーションサービス(ADFS)を活用すれば、
クラウドを「1回のサインインでアクセスできる範囲」にできる
Copyright 2013 Sophia Network Ltd.

Active Directoryでは認証時に、ユーザーの認証だけでなく、
コンピューターの認証も行っている
コンピューター認証用パスワードは30日に一度変更し、クライアントとの間で同期
ところで…ドメインに参加する設定はなぜ必要？

コンピューターパスワードは片方だけで変更されると認証できなくなる
長期間ドメインにサインインしていないコンピューター
仮想マシンをスナップショットで以前の状態に戻したとき

必要に応じてコンピューターパスワードは変更しないように設定すること
グループポリシーから設定可能 (グループポリシーについては後述)

ディレクトリサービスとしてのActive Directory

ディレクトリサービスとは？
会社の様々な情報をまとめて記憶し、
いつでも参照できるようにするための仕組み
オブジェクトとプロパティという関係で情報が保存される

Active Directoryに登録できるオブジェクトとプロパティ

【参考】プロパティに表示される名前は属性名と一致しない

一般のプロパティには表示されない属性もある
Get-ADUser -Filter * -Properties logonCount | ft name,logoncount

ディレクトリサービスとしてActive Directoryを有効活用
Active Directoryは単純にユーザー名・パスワードを登録するだけでは
もったいない！
情報を登録しておけば、登録された情報をもとにアクセス制御ができる

【参考】ダイナミックアクセス制御
Windows Server 2012から
利用可能なアクセス制御方法
ユーザーの属性とフォルダーの
属性をそれぞれ設定し、
条件に一致する場合だけ、
アクセス許可を与える
コンピューターの属性を条件に
アクセス許可を設定することも
可能 (Win8のみ)

トークンベースのアクセス制御
Active Directoryフェデレーションサービス(ADFS)の活用

Active Directoryではユーザー情報をもとに承認を行うのに対して、
ADFSではサーバーが必要とする情報をもとに承認(認可)を行う
→ 必ずしもユーザー情報は必要でないので、
個人情報を晒すことなくサーバーにアクセスできる
トークンベースのアクセス制御

一元管理を実現する仕組みとしての
Active Directory

会社で管理すること、それは「制限」することである
Active Directoryに登録された情報(ユーザー/コンピューター)が
会社にとって良くないことをしないように制限したい

グループポリシーを利用して制限
グループポリシーとはActive Directoryに付属する機能で、ドメインに
参加するコンピューターやユーザーに対して、様々な制限を行う機能

グループポリシーを使う
[サーバーマネージャー]から[表示]-[グループポリシーの管理]で管理ツールに
アクセス

複数のGPOを割り当てられる。だけどシンプルが基本。

グループポリシーの特徴を踏まえてOUを設計
GPOはドメインまたはOUに割り当てられる
OUはドメインのユーザーやコンピューターなどを「まとめる」役割がある

GPOの設定

グループポリシーで、よく「使われる」設定/よく「使いたい」設定
アプリケーション実行の制限
[コンピューターの構成]-[ポリシー]-[Windowsの設定]-[セキュリティの設定]-[アプリ
ケーション制限ポリシー]-[AppLocker]
コントロールパネル利用の制限
[ユーザーの構成]-[ポリシー]-[管理用テンプレート]-[コントロールパネル]-[コントロー
ルパネルとPC設定へのアクセスを禁止する]
ゲーム利用の制限
[ユーザーの構成]-[ポリシー]-[管理用テンプレート]-[タスクバーと[スタート]メニュー]-
[[スタート]メニューから[ゲーム]アイコンを削除する]
指定したWi-Fi接続のみ許可
[コンピューターの構成]-[ポリシー]-[Windowsの設定]-[セキュリティの設定]-[ワイ
ヤレスネットワークポリシー]

ドライブ文字の割り当て
[ユーザーの構成]-[基本設定]-[Windowsの設定]-[ドライブマップ]

アクセス監査の設定
[コンピューターの構成]-[ポリシー]
-[Windowsの設定]
-[セキュリティの設定]
-[監査ポリシーの詳細な構成]
-[監査ポリシー]
監査結果はイベントビューアの
セキュリティログより確認可能

グループポリシーの項目数は3438！でもどうやって調べる？
グループポリシーの設定項目がたくさんあっても、存在を知らなければ
宝の持ち腐れ。そこで、調べ方を覚えておきましょう。
方法1:GPOの検索

グループポリシーの項目数は3438！でもどうやって調べる？
方法2:Excelシートで一覧の確認
Group Policy Settings Reference for Windows and Windows Server
http://www.microsoft.com/
en-us/download/details.aspx?displaylang=en&id=25250

まとめ
Active Directoryは単純にユーザーを登録するデータベースではない！
認証/承認システムとして、
認証・承認を集中管理できるだけでなく、拡張が可能
ディレクトリサービスとして、
様々な属性を登録することで、後から参照したり、アクセス制御の仕組み
として流用できる
一元管理を実現する仕組みとして、
グループポリシーによるドメイン参加のPCに対する制限・制御ができる

Microsoft Confidential45
We don’t even have to try,
It’s always a good time.
from “good time” by owl city & carly rae jepsen

仕組みがわかるActive Directory

Recomendados

Recomendados

Más contenido relacionado

La actualidad más candente

La actualidad más candente (20)

Destacado

Destacado (20)

Similar a 仕組みがわかるActive Directory

Similar a 仕組みがわかるActive Directory (20)

Último

Último (10)

仕組みがわかるActive Directory