Azure AD に関するデバイス管理手法の説明と動作の解説、実際に対応したトラブルシュートの事例を紹介する内容になります。

1. Azure Active Directory によるデバ
イス管理の種類とトラブルシュー
ト事例について
2019年6月22日
.Net ラボ勉強会
日本マイクロソフト株式会社
山口 真也
AZURE & IDENTITY AZURE IDENTITY サポートエンジニア

2. 自己紹介と Azure のサポートについて
名前：山口 真也(やまぐち しんや)
・日本マイクロソフトで Azure AD のサポート エンジニア
・今年の7月で日本マイクロソフトにジョインして丸1年になります。
・前職までは、ゲーム会社やSIerでインフラ エンジニアをやっていました。
・Qiita やっています。https://qiita.com/Shinya-Yamaguchi
・Facebook (https://www.facebook.com/shinya.yamaguchi.92)
・Twitter @izuru_yamarara
---
・日本マイクロソフトのAzure のサポートは大きく、 IaaS・PaaS・
Identity(Azure AD)の3あります。
・その中で Identity のサポートメンバーは25人ほどで日本のお客様を中心に
サポートしています。(グローバルのお客様もサポートしています)

3. 目次
1. Azure Active Directoryとは
2. 条件付きアクセスとは
3. デバイスを管理するということ
4. Azure AD Registered (Azure AD 登録) について
5. Azure AD Join (Azure AD 参加) について
6. Hybrid Azure AD Join について
7. ３つのデバイス管理をどう使い分けるか
8. Dual State によるトラブルシュート事例
9. まとめ

4. Azure Active Directory とは

5. Azure Active Directory とは
弊社公開情報より抜粋
Azure Active Directory (Azure AD) は Microsoft が提供する
クラウドベースの ID およびアクセス管理サービスであり、
次のリソースへのサインインとアクセスを支援します。
 Microsoft Office 365、Azure portal、その他何千という
SaaS アプリケーションなど、外部リソース。
 企業ネットワークとイントラネット上のアプリや、自分
の組織で開発したクラウド アプリなどの内部リソース。

6. 🤔🤔🤔🤔🤔

7. Azure AD は Azure 上に Active Directoy をたてる事ではありません
Active Directory
Domain Service
(AD DS)
Azure Active Directory Azure Active Directory
Domain Services
・オンプレミスのみで構成 ・IaaS の Virtual Machine 上に
Domain Controller を構築する
・機能はオンプレミスと同じ
Virtual MachineDomain
Controller
Domain
Controller
Azure AD Domain
Controller
PC
Office 365
PC
・オンプレミス AD とは別もの
・ クラウド アプリケーションの認証で
利用される
・ Office 365 など
・PasS 版の Domain Controller
・諸々制限あり
・Azure VM 用 Active Directory
Active Directory
Domain Services
Server PCServer
(Virtual
Machine)
Mobile
(AD DS)
(Azure AD)
(Azure AD DS)
サーバーを自分で管理 サーバーがクラウドに

8. Azure AD ができること
・アプリケーション管理
・Authentication
・企業間 (B2B)
・企業 – 消費者間 (B2C)
・条件付きアクセス
・開発者のための Azure Active Directory
・デバイスの管理
・ドメイン サービス
・エンタープライズ ユーザー
・ハイブリッド ID
・ Identity Governance
・ Identity Protection
・ Azure リソースのマネージド ID
・ Privileged Identity Management (PIM)
・レポートと監視

9. 本セッションではこの２つを扱います
・アプリケーション管理
・Authentication
・企業間 (B2B)
・企業 – 消費者間 (B2C)
・条件付きアクセス
・開発者のための Azure Active Directory
・デバイスの管理
・ドメイン サービス
・エンタープライズ ユーザー
・ハイブリッド ID
・ Identity Governance
・ Identity Protection
・ Azure リソースのマネージド ID
・ Privileged Identity Management (PIM)
・レポートと監視

10. 条件付きアクセス とは

11. 条件付きアクセスとは
多要素認証を要求
アクセスを許可
アクセスを拒否
パスワードリセット
を要求
制御
ユーザー
デバイス
場所
クライアントアプリ
条件
機械
学習
ポリシー
リアルタイム
評価エンジン
セッションリスク
3
10TB
ポリシー
を評価
どんなアクセス だったら どうさせる
******
MS 製アプリ
3rd パーティ SaaS
オンプレアプリ
Azure AD に搭載されているクラウドベースのアクセスコントロールエンジン

12. デバイスを管理するということ

13. Azure ADによるデバイス管理は年々増加
Access ReviewsConditional
Access
Multi-Factor
Authentication
Addition of
custom cloud
apps
Remote Access
to on-premises
apps
Privileged
Identity
Management
Dynamic Groups
Identity
ProtectionAzure AD DS
Office 365 App
Launcher
Group-Based
Licensing
Access
Panel/MyApps
Azure AD
Connect
Connect Health
Provisioning-
DeprovisioningAzure AD Join
Self-Service
capabilities
MDM-auto
enrollment /
Enterprise State
Roaming
Security
Reporting
Governance
HR App
Integration
B2B
collaboration
Azure AD
B2CSSO to SaaS
Microsoft
Authenticator -
Password-less
Access
40M 2.2M2.6M
+275%
YoY
+225%
YoY
+250%
YoY
+420%
YoY
+500%
YoY
6M107M

14. Windows 10 コンピューターのデバイス管理方法
Azure
AD
AD
Azure AD joined
(AADJ)
Azure
AD
AD
Hybrid Azure AD joined
(HAADJ)
AD
Azure
AD
Azure AD registered
(WPJ)

15. なぜ、Azure AD でデバイスを管理するのか
セキュリティ観点で最も大きな理由はデバイス
ベースのアクセスコントロールを用いてセキュ
アな環境をユーザーに提供するため
クラウド リソースに対してシングルサインオンで
きる環境を提供するため

16. 条件付きアクセスによるデバイス管理
条件付きアクセスを使うことで、柔軟なデバイ
ス管理が可能となる。
• Hybrid Azure AD Join
• Azure AD Join + MDM 準拠
• Azure AD Registered + MDM 準拠
• Hybrid Azure AD Join + MDM 準拠

17. Azure AD Registered
(Azure AD 登録) について

18. Azure AD Registered (BYODで活用)
MDM
(Intune)
MDM 登録
デバイスベースのアクセスコン
トロールを行う場合に必要
• 会社で管理されていないデバイス・組織外のデバイスを想定した機能
• PC へのログオン方法は従来と変わらない（ローカルアカウント or AD アカウント）
• Windows 10 のみ対応
• 主に外部組織のリソースへの SSO を得る場合に利用されるケースが多い
ローカル PC アカウント or
オンプレ AD のアカウント
でログオン
Azure AD
Azure AD
Register
デバイスオブジェクト
MDM ポリシー
Device を Compliant としてマーク
Win 10

19. Azure AD Join
(Azure AD 参加) について

20. Azure AD Join
• Windows PC をクラウドのみで管理するパターン。デバイスの情報は Azure AD に保持される
• PC へのログオンは Azure AD の ID で行う (test001@contoso.com など)
• Windows 10 のみがこの方式を利用可能
• 既にオンプレミス AD に参加している PC は重ねて Azure AD Join することはできない
• PC へのポリシー適用は MDM ツール (Intuneなど) により行われる
Azure AD の ID でログオン
(test001@contoso.com)
MDM
(Intune)
Azure AD
Azure AD Join
デバイスオブジェクト
MDM 登録
MDM ポリシー
Device を Compliant としてマーク
Win 10

21. Azure AD Join を構成するメリット
1. オンプレミス AD 廃止への第一歩
2. クラウドリソースにシングルサインオンできる
3. リモートワークをするユーザーに最適な PC 認証を提供でき
る
4. 精密なデバイスベースアクセスコントロールが可能

22. Azure AD Joinが構成される仕組み
Azure AD

23. Hybrid Azure AD Join について

24. Hybrid Azure AD Join
• 既存 Domain Joined 状態はそのままに Azure AD にも登録
• オンプレミス AD の ID を利用して PC にログオン (UPN, sAMAccountName など)
• Windows 7 / 8.1 /10 に対応
• オンプレ AD と Azure AD 両方にデバイス情報を保持
• PC へのポリシー適用は GPO にて実施
AD の ID でログオン
(test001@contoso.com,
domaintest001 など)
Win 7/8.1/10
Domain Join
Active Directory
Azure AD Connect
User 同期
Azure AD
デバイスオブジェクト
GPO 適用
MDM
(Intune)
MDM 登録
MDM 管理もできるが
オプショナル

25. Hybrid Azure AD Join が構成される仕組み
AD Azure AD
登録が成功すると、Azure AD のデバイス オブジェクトの AlternativeSecurityIds
属性にサムプリントが押された "MS-Organization-Access" という証明書が取得さ
れます。

26. Hybrid Azure AD Join を構成するメリット
1. クラウドリソースとオンプレミスのリソース両方に SSO できる
Azure AD Join と同様、基本的に PC ログインとクラウド/オンプレ両
方のアプリに SSO
2. Home Realm Discovery が不要になる
クラウドリソースへのアクセス時に UPN 入力が不要になる
3. Domain Joined をベースとしたアクセスコントロールが可能
Conditional Access – Domain Joined 条件が使える

27. ３つのデバイス管理をどう使い分
けるか

28. ３つのデバイス管理をどう使い分けるか
オンプレミス AD 環境・ OS により、利用可能な方式が決まります
Windows の OS バージョン
オンプレミス AD 環境
(Azure AD と同期済み)
Windows 7/8.1Windows 10 Yes
※Windows 7/8.1 は 10 にアップデート
オンプレミス AD 環境
(Azure AD と非同期)
ワークグループ PC
No
ドメイン参加解除
が可能

29. ３つのデバイス管理をどう使い分けるか
Azure AD Registered Azure AD Join Hybrid Azure AD Join
Windows 10 〇 〇 〇
Windows 7/8.1 × ×
〇
※ダウングレード用の設定が必要
Andoroid 〇 × ×
iOS 〇 × ×
Mac OS 〇 × ×

30. ３つのデバイス管理をどう使い分けるか(設計例)
Azure AD Register Hybrid Azure AD Join
Azure AD Join
海外子会社（ドメイン環境）
ADWin10 システムWin 7/8.1
海外出張所（ワークグループ環境）
Win10Win 7/8.1
Update
Update
国内事業所（ドメイン環境）
Win 7/8.1
既存 Win10
AD
AAD
Connect
Azure AD
新規 Win10

31. Dual State による
トラブルシュート事例

32. Dual State とは
・Azure AD Registered 状態の Windows 10 デバイスが存在する状態で、
Hybrid Azure AD Join を構成すること。
・同一の Windows 10 デバイス上に2重に Azure AD にデバイスを登録・参
加することは技術的には可能だが、注意が必要。
Azure
AD
AD

33. Dual State の問題
• Azure AD には単一のデバイスに対して二つのデバイスオブ
ジェクトが作られる
• Windows 10 は二つの PRT を Azure AD に送信するよう
動作する
• この状態となると、右のような条件付きアクセスを構成してい
るときに問題が生じる
• 二つ送られる PRT のうち、「Azure AD Registered」の
Device ID が先に送られた場合は条件付きアクセスを突破
できずブロックされてしまいます。
※どちらの Device ID を送るかは制御不可

34. Dual State の問題(イメージ図)
例えば条件付きアクセスの「ハイブリット Azure AD 参加済みのデバイスが必要」のポリ
シーが設定されている状態で Office 365 アプリケーションにシングルサインオンしたい場
合の動作。
AD の ID でログオン
(test001@contoso.com,
domaintest001 など)
Azure AD
Win 10
PRT
(Device Type=
Hybrid Azure AD Join)
PRT
(Device Type=
Azure AD Registered)
Office 365
条件付きアクセス
ブロック

35. Dual State の問題
• Windows 10 (1809) もしくは Windows 10 (1803) の KB4489894適用以降のデバイス
の場合、 2重登録を自動的に解除する機能が追加されています。
• ただし、2重登録自動解除の機能は、Intune に登録されている状態では機能しませ
ん。
(まずはIntuneの登録自体をリタイヤなどで解除する必要があります。)
Hybrid Azure AD Join ＋ Intune の要件の際には、2重構成は NG !!
グループ ポリシーを使い、 Hybrid Azure AD Join のデバイスに
Intune 登録するように構成しましょう。
URL: https://docs.microsoft.com/en-us/windows/client-management/mdm/enroll-a-windows-10-device-automatically-using-group-policy#configure-the-auto-
enrollment-for-a-group-of-devices

36. まとめ

37. まとめ
・クラウド環境にある Azure AD にデバイスを管理することは全くリスクはありませ
ん。むしろ、オンプレミス環境で管理するよりも安全です。
・環境にあったデバイスの管理方法を選択しましょう。
(今は Hybrid Azure AD Join のお問い合わせが本当に多くきています。つま
りそれだけ現在の主流であることを意味しています)
・Dual State状態にならないように、グループ ポリシーを活用するなど、設計段
階で2重構成にならないように注意しましょう。
(一度2重構成のまま環境を構築してしまうと、正しい状態に戻す作業は本当に
大変ですし人的コストがかかります)

38. ご清聴ありがとうございました

39. Appendix (用語集)
用語 意味
DRS Device Registration Service の略。Azure AD にデバイスを登録するときにアクセスしに行く
エンドポイントのこと。
SCP Service Connection Point の略。Azure AD のどのテナントにデバイスを登録しに行けばいい
か、SCPに情報が格納されている。SCPの構成がただしくできていないと、デバイスがどの
Azure AD テナントにデバイス登録すればいいかわからないため、 Hybrid Azure AD Join の構
成に失敗してしまう。
PRT Primary Refresh Token の略。 Azure AD が発行するトークンで、主にアプリケーションにシ
ングル サインオンするために必要。
https://docs.microsoft.com/ja-jp/azure/active-directory/devices/concept-primary-refresh-
token
MDM Mobile Device Management の略。デバイスセキュリティ管理ツール。Microsoft が提供して
いる MDM は Microsoft Intune 。