第一回 AAD BtoB 第二回 Azure AD Connect によるパススルー認証

1. ADセキュリティ
ワーキンググループ活動報告
パーソルプロセス＆テクノロジー株式会社
クラウドソリューション部
コンサルタント 萬濃 忠

2. 会社概要
【社 名】 パーソルプロセス＆テクノロジー株式会社
【社員数】 3166名（2017年4月1日時点）
【代表者名】 代表取締役社長 長井 利仁
【設 立】 1977年9月（昭和52年9月24日）
【事業拠点】 札幌、仙台、東京、幕張、名古屋、大阪、福岡、沖縄、
ベトナム（オフショア開発センター）
【連携事業】 株式会社パーソルプロセス＆テクノロジーベトナム
（グローバルチーム型オフショア開発）

3. クラウドソリューション部の主なビジネス
Microsoft のパブリッククラウドサービスを活用したクラウドインテグレーションサービスの提供
Enterprise Mobility + Security
Microsoft 365

4. 社外クラウド普及活動
■Microsoft Azure 自習書シリーズ 執筆
■Microsoft Azure SlideShare 執筆
■Microsoft Azure IaaSリファレンスアーキテクチャ 執筆

5. 5
AD セキュリティワーキンググループの取り組み
【取り組み】
Windows Server2016（Win10）の認証
ADとAADのハイブリッド構成と使い分け
AADによる条件付きアクセス 徹底解剖
AAD B2B/B2C活用術
AAD DSの活用術
【成果報告】
Blog等で掲載
【活動頻度】
月1回程度の定例会

6. 6
＜これまでのアウトプット＞
①Azure AD B2B でかなえる
組織外アカウントのIDマネジメント
②Azure AD Connectで
Desktop SSOをやってみました

7. 7
Azure AD B2B でかなえる
組織外アカウントのIDマネジメント
http://idb.cloudsteady.jp/2017/11/09/azuread-b2b/

8. 8
AzureAD B2Bとはどのようなサービスか？
自社のAzureADのテナントに外部の「組織アカウント」もしくは「Microsoftアカウント」を
招待する機能。
ユーザー単位で信頼関係を結ぶ仕組み

9. 9
・別組織ユーザーを自社システムへゲストユーザーとして招待
・別組織ユーザーをOffice365へゲストユーザーとして招待
※現状はSPO/OneDriveの外部共有など一部のみ？
B2Bの利用用途

10. 10
B2Bのコスト
・Freeプランから使える。
・元テナントユーザー1人（1AADライセンス）につきゲスト5ユーザーまで招待可能。
・元テナントで保有しているAADライセンスによってゲストに提供できる機能も変わる
無料 Basic Premium P1 Premium P2
※参考 AADエディション
https://azure.microsoft.com/ja-jp/pricing/details/active-directory/

11. 11
B2Bライセンス図解

12. 12
B2B考察
• 【ゲスト側の利点】
• ゲストユーザーがO365などAzureADを利用しているユーザーであれば、
普段利用しているIDとパスワードで認証できるため非常に便利。
• 【自社側の利点】
• ゲストユーザーを自社のAADに登録する必要がないので不用な管理がない。
• AAD Premiumの機能をゲストユーザーにも適用したい場合に、
ライセンスの追加購入をしなくても適用できる。

13. 13
Appendix（AADによるID管理）

14. 14
Appendix（AADによるID管理）

15. 15
Appendix（AADによるID管理）

16. 16
Appendix（AADによるID管理）

17. 17
Azure AD Connectで
Desktop SSOをやってみました
http://idb.cloudsteady.jp/2017/11/29/azure-ad-connect-によるパススルー認証/

18. ©2017 Intelligence Business Solutions ,Ltd. All Rights Reserved.18

19. これまでのDesktop SSOのおさらい・・・
19
サードパーティ製品
• SAML/OpenIDConnect
/Oauth/Kerberos
• 別途ライセンス料発生
• エージェントが必要
• デバイスによるアクセス制御
HDE One、One Login…etc
ADFS
• SAML/OAuth/WS-F/
• WAP/ADFS/ADとサー
バーが複数台必要
• 証明書が必要
• Edge/IE以外も使える
Passport認証
（＋ADFS）
• Passport認証
• Windows 10と
Windows2016が必要
• ブラウザがEdge/IEのみ
• Windows Hello for
Businness
AADConnect
(PHS+SSO/PTA+SSO)
• 統合Windows認証
（Kerberos）
• Windows 7/８/10
• エージェントレス
• Edge/IE以外も使える
NEW！
コスト小
単純
旧OS対応
コスト高 複雑 最新OS限定

20. ©2017 Intelligence Business Solutions ,Ltd. All Rights Reserved.
AzureAD
AADConnect
同期
AD
ST
ST AzureADのコンピュータアカウント
③ST要求
④
⑤
①UPN入力
②SSOドメインと認識、ADにST要求
アクセストークン
⑥
AADConnectによるSSOの仕組み
KerberosのSTを
使用できる

21. パスワード同期方式＋sSSO
（PHS:Password Hash Sync ）
Azure AD
AAD
Connect
パススルー方式＋sSSO
（PTA: Pass-Through Authentication ）
フェデレーション方式
（ADFS:Active Directory Federation Services ）
オンプレミス
AD
Windows認証
リモートPC
社内PC
同
期
同
期
AAD
Connect
オンプレミス
AD
Windows認証
社内PC
Web Application Proxy
AD FS
証明書信頼
（連携設定）
同
期
同
期
PHS
同
期
AAD
Connect
オンプレミス
AD
Windows認証
社内PC
同
期
同
期
パ
ス
ス
ル
ー
クラウドアプリケーション クラウドアプリケーション
クラウドアプリケーション
リダイレクト
Azure AD Azure AD
PHS
同
期
リモートPC
リモートPC
Kerberosチケット
/アクセストークン
連携 連携
連携
Microsoft Azure
Kerberosチケット
/アクセストークン
Microsoft Azure Microsoft Azure
Kerberosチケット
/アクセストークン
（sSSO認証） （sSSO認証）
（PHS認証） （PTA認証）
（AD FS認証）
（AD FS認証）
これまでの認証方式のおさらい・・・
NEW！

22. ©2017 Intelligence Business Solutions ,Ltd. All Rights Reserved.23
AADConnectによるPTAの仕組み
キューでやり取り

23. ©2017 Intelligence Business Solutions ,Ltd. All Rights Reserved.24
パススルー認証/SSOの作り方・・・

24. ©2017 Intelligence Business Solutions ,Ltd. All Rights Reserved.25
※注意点
パススルーにしても同期にチェックが
入ってしまうのではずしましょう…
パススルー認証/SSOの作り方・・・(続き)

25. ©2017 Intelligence Business Solutions ,Ltd. All Rights Reserved.26
イントラネットゾーンに以下URL追加
https://autologon.microsoftazuread-sso.com
https://aadg.windows.net.nsatc.net
SSO認証でクライアント側に必要な設定・・

26. ©2017 Intelligence Business Solutions ,Ltd. All Rights Reserved.28

27. ©2017 Intelligence Business Solutions ,Ltd. All Rights Reserved.29

28. ©2017 Intelligence Business Solutions ,Ltd. All Rights Reserved.30
AZUREADSSOACCという名前のコ
ンピューターオブジェクト向けのSTが
発行されている

29. ©2017 Intelligence Business Solutions ,Ltd. All Rights Reserved.31
次、可用性の話・・・

30. 32
Azure AD
認証
AAD Connect
AuthN Agent
パ
ス
ス
ル
ー
デ
ィ
レ
ク
ト
リ
同
期
AAD Connect
AuthN Agent
Active Directory
Azure AD
認証
AAD Connect
AuthN Agent
パ
ス
ス
ル
ー
デ
ィ
レ
ク
ト
リ
同
期
AAD Connect
AuthN Agent
Active Directory
PTAの冗長性について
AAD AuthN Agent だけ
インストール・設定する

31. ©2017 Intelligence Business Solutions ,Ltd. All Rights Reserved.33
Azure AD パススルー認証の2台目の作り方・・・

32. 34
＜パススルー認証を使用する主なメリット＞
• クラウドアプリケーションにオンプレミスのADと同じパスワードでサインインできる
• パスワードポリシーはオンプレミスADで統一できる
• 軽量のエージェントをインストールするだけでOK
• パスワードはクラウドに保存されない
• エージェントはオンプレミス内部からの送信方向の接続のみ。DMZ不要
FW要件も軽減できる
• 条件付きアクセスなど、AzureADのアクセスポリシーによる保護が可能になる
まとめ

33. まとめ
• SSOしたいだけであれば、AADConnect のSSOの選択はあり。
• 企業のセキュリティ要件や属性による高度な条件アクセスが必要な場合は、
ADFSやサードパーティ製SSOを検討
• AADConnect(同期/SSO)+Intune・AAD（デバイス制御・管理）＋
AzureAppProxy（オンプレアプリ公開）のようなAzureだけの組み合わせが
お客様への訴求ポイントになるのでは。
35
セキュリティ要件SSO

34. 36
ご清聴ありがとうございました。