Successfully reported this slideshow.
We use your LinkedIn profile and activity data to personalize ads and to show you more relevant ads. You can change your ad preferences anytime.
Active Directory on AWS
アマゾン データ サービス ジャパン株式会社
ソリューション アーキテクト
吉松 龍輝
自己紹介
名前
• 吉松 龍輝(よしまつ りゅうき)
所属
• アマゾン データ サービス ジャパン株式会社
• エンタープライズ ソリューション部
• ソリューション アーキテクト
経歴
• 某ソフトウェア ベンダーにて、Windows のエ...
アジェンダ
Active Directory の運用に関する留意点
• ドメイン コントローラー(DC)配置のデザイン パターン
• ドメイン構造
• サイトの設計
• DNS の設計
• バックアップ、リストア
• AWS と Active ...
ドメイン コントローラー(DC)配置の
デザイン パターン
AWS と自社環境とのハイブリッド運用
Availability Zone Availability Zone
Direct Connect
VPN Connection
DC
(FS...
ドメイン コントローラー(DC)配置の
デザイン パターン
AWS 上での運用
Availability Zone Availability Zone
Direct Connect
VPN Connection
DC
(FSMO)
クライアント...
ドメイン構造
子ドメイン、信頼関係の採用に関する留意点
• 特別な理由がない限り、AWS 上に配置する DC は、現在稼働中
の Active Directory ドメインの DC として構築する
• 「クラウドに DC を配置するから」という...
サイトの設計
考慮事項については、従来の設計方法と同様
• レイテンシーと複製にかかるコストを考慮
• VPN 接続を利用している場合には要注意
• 複製のトポロジー
AWS 用のサイトを作成して DC を配置した場合
• 複製トポロジーが意図...
DNS の設計
参照先 DNS の推奨設定
• 優先 DNS に自分自身が保有する DNS を参照
• 代替 DNS に他 DC が保有する DNS を参照
優先 DNS 優先 DNS
代替 DNS
参考情報:Windows 2000 および ...
DNS の設計
障害発生時にも名前解決ができる状態を
確保することが重要
Availability Zone Availability Zone
Direct Connect
VPN Connection
DC
(FSMO) DC
DC
(FS...
DNS の設計
障害発生時にも名前解決ができる状態を
確保することが重要
Availability Zone Availability Zone
Direct Connect
VPN Connection
DC
(FSMO) DC
DC
(FS...
DNS の設計
NIC の TCP/IP の設定
• 参照先 DNS には、DC 上の DNS を指定する
• AWS が提供する DNS は指定しない
• DC の参照ができなくなり、ログオン障害が発生する恐れ
• DC 間の複製障害が発生す...
DNS の設計
DHCP Options Set の利用
ドメインの FQDN を指定
DC 上の DNS を指定
ドメイン内は PDC エミュ
レーターと同期されるため、
設定しない
WINS を使用する際に指定
WINS を使用する際に 2...
補足:ドメインの時刻同期
PDC エミュレーターの時刻がドメイン内に展開される
DC (PDC エミュレーター)
DC
メンバー サーバー クライアント
外部の NTP サーバー
ドメイン内で時刻同期が適切
に行われていない場合、
Kerber...
バックアップ
従来のバックアップの手法を使用
• VSS (Volume Shadow Copy Service)に
対応したバックアップ ツールを使用する
• Windows Server バックアップ
• Wbadmin.exe
• Tom...
リストア
DC のシステム全体のスナップショットをリスト
アに使用しない
• USN ロールバックを誘発
• ロールバックが発生した DC はドメイン環境から隔離
され、複製パートナーとして見なされなくなる
仮想化ドメイン コントローラーのバッ...
リストア
USN ロールバック発生のメカニズム
DC の数は 1 台と認識
リストア
USN ロールバック発生のメカニズム
DC の数は 1 台と認識
DC の数は 2 台と認識 ドメインに追加
リストア
USN ロールバック発生のメカニズム
DC の数は 1 台と認識
DC の数は 2 台と認識 ドメインに追加
スナップショット取得
リストア
USN ロールバック発生のメカニズム
DC の数は 1 台と認識
DC の数は 2 台と認識 ドメインに追加
スナップショット取得
ドメインに追加DC の数は 3 台と認識 DC の数は 3 台と認識
リストア
USN ロールバック発生のメカニズム
DC の数は 1 台と認識
DC の数は 2 台と認識 ドメインに追加
スナップショット取得
ドメインに追加DC の数は 3 台と認識 DC の数は 3 台と認識
3 台目の DC を追加す
る前...
リストア
USN ロールバック発生時のイベント ログ
• イベント ID 2103 / 2095 / 1113 / 1115
リストア
ディレクトリ サービス復元モード(DSRM)の
利用
• 下記のリストアを行うための起動モード
• Authoritative Restore(権限のあるリストア)
• Non-Authoritative Restore(権限のないリ...
リストア
Active Directory ごみ箱の活用
• 誤って削除したオブジェクトをリストア可能
• DSRM から Authoritative Restore を実行する必要がない
• Windows Server 2012 の場合は ...
リストア
致命的な障害が発生した例
• 全ての DC が破損
Availability Zone Availability Zone
Direct Connect
VPN Connection
DC
(FSMO) DC
DC
(FSMO)
クラ...
リストア
DSRM を使用しないフル リストアの手順を実行
• 致命的な問題の例
• Configuration/Schema パーティションの破損
• Active Directory データベース(NTDS.dit)の破損
全台破損(前スラ...
AWS と Active Directory の認証連携
AWS IAM(Identify and
Access Management)の
SAML 2.0 サポート
Active Directory と SAML 2.0
による連携
• Ac...
デモ:IAM と AD の連携
インターネット
DC、CA
クライアントプライベート
サブネット
ADFS
パブリック
サブネット
ADFS
Proxy
IAM と AD を連携し、AD のセキュリティ グループに
応じた AWS の操作権限を...
AWS の新しいトレーニングと認定資格
役割/レベル 基礎 アソシエイト プロフェッショナル マスター
ソリューション
アーキテクト
SysOppsアドミ
ニストレーター
デベロッパー
AWS
実践
入門1
(1日)
AWS
実践
入門2
(1...
本書の内容は 2014 年 3 月現在のものです。本書に記載した情報は、将来予告なしに変更されることがあります。
Upcoming SlideShare
Loading in …5
×

Active Directory on AWS / JAWS Days 2014

11,963 views

Published on

2014/3/15 の JAWS Days 2014 セッション資料

Published in: Technology
  • Be the first to comment

Active Directory on AWS / JAWS Days 2014

  1. 1. Active Directory on AWS アマゾン データ サービス ジャパン株式会社 ソリューション アーキテクト 吉松 龍輝
  2. 2. 自己紹介 名前 • 吉松 龍輝(よしまつ りゅうき) 所属 • アマゾン データ サービス ジャパン株式会社 • エンタープライズ ソリューション部 • ソリューション アーキテクト 経歴 • 某ソフトウェア ベンダーにて、Windows のエンジニアを 12 年 ほど。高度障害解析エンジニア、小規模・大手企業へのソリュー ション提案、パートナー企業の案件支援などを担当。 好きな AWS のサービス • Windows インスタンス
  3. 3. アジェンダ Active Directory の運用に関する留意点 • ドメイン コントローラー(DC)配置のデザイン パターン • ドメイン構造 • サイトの設計 • DNS の設計 • バックアップ、リストア • AWS と Active Directory の ID 連携 ※ Active Directory に関する運用知識をお持ちの方を対 象にした内容です
  4. 4. ドメイン コントローラー(DC)配置の デザイン パターン AWS と自社環境とのハイブリッド運用 Availability Zone Availability Zone Direct Connect VPN Connection DC (FSMO) DC DC (FSMO) クライアント ・AZ を利用した冗長化が基本 FSMO の配置場所を決定 (AWS もしくは自社環境)
  5. 5. ドメイン コントローラー(DC)配置の デザイン パターン AWS 上での運用 Availability Zone Availability Zone Direct Connect VPN Connection DC (FSMO) クライアント DC (FSMO) ・AZ を利用した冗長化が基本 ・リストア方法について考慮
  6. 6. ドメイン構造 子ドメイン、信頼関係の採用に関する留意点 • 特別な理由がない限り、AWS 上に配置する DC は、現在稼働中 の Active Directory ドメインの DC として構築する • 「クラウドに DC を配置するから」という理由でドメインを 分割しない ドメインを分割する際の判断基準 • セキュリティの境界 • 企業・組織体の境界 • 地域の境界 • etc corp.local (現行のドメイン) aws.corp.local (AWS 上のドメイン) 親子関係もしくは 信頼関係 「AWS ドメイン」の 存在意義はあるのか?
  7. 7. サイトの設計 考慮事項については、従来の設計方法と同様 • レイテンシーと複製にかかるコストを考慮 • VPN 接続を利用している場合には要注意 • 複製のトポロジー AWS 用のサイトを作成して DC を配置した場合 • 複製トポロジーが意図した通りに作成されているか、 要確認 • 適切な複製パートナーが接続されているか? • サイト間複製の間隔は既定で 180 分 – 参考情報:サイト間レプリケーションの頻度を構成する http://technet.microsoft.com/ja-jp/library/cc730954.aspx • グローバル カタログ(GC)の配置を検討 • 特に Exchange Server のような GC へのアクセス頻度が高 いサーバーを AWS 上に配置する場合は必ず GC を設定
  8. 8. DNS の設計 参照先 DNS の推奨設定 • 優先 DNS に自分自身が保有する DNS を参照 • 代替 DNS に他 DC が保有する DNS を参照 優先 DNS 優先 DNS 代替 DNS 参考情報:Windows 2000 および Windows Server 2003 の DNS に関してよく寄せられる質問 http://support.microsoft.com/kb/291382/ja
  9. 9. DNS の設計 障害発生時にも名前解決ができる状態を 確保することが重要 Availability Zone Availability Zone Direct Connect VPN Connection DC (FSMO) DC DC (FSMO) クライアント
  10. 10. DNS の設計 障害発生時にも名前解決ができる状態を 確保することが重要 Availability Zone Availability Zone Direct Connect VPN Connection DC (FSMO) DC DC (FSMO) クライアント この障害の例では、自分自身に DNS がイン ストールされていないと名前解決ができな い状態に陥る。名前解決ができる状態を確 保することで DC の孤立を防ぐ。
  11. 11. DNS の設計 NIC の TCP/IP の設定 • 参照先 DNS には、DC 上の DNS を指定する • AWS が提供する DNS は指定しない • DC の参照ができなくなり、ログオン障害が発生する恐れ • DC 間の複製障害が発生する恐れ DC 上の DNS のフォワーダーに AWS が提供す る DNS を設定する インターネットの名前解決は AWS が提供する DNS にフォワード
  12. 12. DNS の設計 DHCP Options Set の利用 ドメインの FQDN を指定 DC 上の DNS を指定 ドメイン内は PDC エミュ レーターと同期されるため、 設定しない WINS を使用する際に指定 WINS を使用する際に 2 を設定
  13. 13. 補足:ドメインの時刻同期 PDC エミュレーターの時刻がドメイン内に展開される DC (PDC エミュレーター) DC メンバー サーバー クライアント 外部の NTP サーバー ドメイン内で時刻同期が適切 に行われていない場合、 Kerberos 認証の動作に問題が 出る恐れがある
  14. 14. バックアップ 従来のバックアップの手法を使用 • VSS (Volume Shadow Copy Service)に 対応したバックアップ ツールを使用する • Windows Server バックアップ • Wbadmin.exe • Tombstone Lifetime の有効期限に注意 EC2 スナップショットの利用 • バックアップ ツールによって取得されたバックアップ データが保管されているボリュームのスナップショッ トを取得し、データを保全 • DC のシステム全体のスナップショットについては、 次ページの留意点について十分考慮する必要がある
  15. 15. リストア DC のシステム全体のスナップショットをリスト アに使用しない • USN ロールバックを誘発 • ロールバックが発生した DC はドメイン環境から隔離 され、複製パートナーとして見なされなくなる 仮想化ドメイン コントローラーのバックアップと復元に関する考慮事項 http://technet.microsoft.com/ja-jp/library/dd363545%28v=ws.10%29.aspx
  16. 16. リストア USN ロールバック発生のメカニズム DC の数は 1 台と認識
  17. 17. リストア USN ロールバック発生のメカニズム DC の数は 1 台と認識 DC の数は 2 台と認識 ドメインに追加
  18. 18. リストア USN ロールバック発生のメカニズム DC の数は 1 台と認識 DC の数は 2 台と認識 ドメインに追加 スナップショット取得
  19. 19. リストア USN ロールバック発生のメカニズム DC の数は 1 台と認識 DC の数は 2 台と認識 ドメインに追加 スナップショット取得 ドメインに追加DC の数は 3 台と認識 DC の数は 3 台と認識
  20. 20. リストア USN ロールバック発生のメカニズム DC の数は 1 台と認識 DC の数は 2 台と認識 ドメインに追加 スナップショット取得 ドメインに追加DC の数は 3 台と認識 DC の数は 3 台と認識 3 台目の DC を追加す る前のスナップショッ トをリストアすること で DB に不整合が発生 スナップショットには 3 台目の DC に関する情報が保存されていない
  21. 21. リストア USN ロールバック発生時のイベント ログ • イベント ID 2103 / 2095 / 1113 / 1115
  22. 22. リストア ディレクトリ サービス復元モード(DSRM)の 利用 • 下記のリストアを行うための起動モード • Authoritative Restore(権限のあるリストア) • Non-Authoritative Restore(権限のないリストア) • 参考情報:AD DS をバックアップおよび回復するための手順 http://technet.microsoft.com/ja- jp/library/cc753359%28v=ws.10%29.aspx • Windows Server のブート中に F8 を入力し、起動メ ニューから DSRM を選択してサーバーを起動する • ハイブリッド運用の場合、自社環境の DC から DSRM を利用 • AWS 上の DC の場合、DSRM でブートすることができない – 参考情報:Restart the Domain Controller in Directory Services Restore Mode Remotely http://technet.microsoft.com/ja-jp/library/cc794729(v=ws.10).aspx
  23. 23. リストア Active Directory ごみ箱の活用 • 誤って削除したオブジェクトをリストア可能 • DSRM から Authoritative Restore を実行する必要がない • Windows Server 2012 の場合は GUI から実行 • Windows Server 2008 R2 の場合は PowerShell か ら実行
  24. 24. リストア 致命的な障害が発生した例 • 全ての DC が破損 Availability Zone Availability Zone Direct Connect VPN Connection DC (FSMO) DC DC (FSMO) クライアント
  25. 25. リストア DSRM を使用しないフル リストアの手順を実行 • 致命的な問題の例 • Configuration/Schema パーティションの破損 • Active Directory データベース(NTDS.dit)の破損 全台破損(前スライド)場合のリストア シナリオの一例 1. AWS 上の DC で取得したバックアップ データを用意 2. バックアップ データを用いて、自社環境で仮 DC を構築 3. ntdsutil metadata cleanup で存在しない DC を削除 4. AWS 上に DC を新規で構築し、仮 DC からデータを複製 5. 複製完了後、FSMO を仮 DC から AWS 上の DC に移動 (ntdsutil transfer) 6. 仮 DC を降格し、AWS 上の DC を稼動 参考情報:Ntdsutil.exe を使用してドメイン コントローラーに FSMO の役割を強制または転送する http://support.microsoft.com/kb/255504
  26. 26. AWS と Active Directory の認証連携 AWS IAM(Identify and Access Management)の SAML 2.0 サポート Active Directory と SAML 2.0 による連携 • Active Directory Federation Services を利用 Active Directory のユーザーと グループを認証と認可に使用可 能
  27. 27. デモ:IAM と AD の連携 インターネット DC、CA クライアントプライベート サブネット ADFS パブリック サブネット ADFS Proxy IAM と AD を連携し、AD のセキュリティ グループに 応じた AWS の操作権限をユーザーに付与 • EC2 の操作権限 • 所属組織に応じた S3 バケットの読み取り・書き込み権限
  28. 28. AWS の新しいトレーニングと認定資格 役割/レベル 基礎 アソシエイト プロフェッショナル マスター ソリューション アーキテクト SysOppsアドミ ニストレーター デベロッパー AWS 実践 入門1 (1日) AWS 実践 入門2 (1日) Architecting on AWS (3日) Systems Operations on AWS (3日) Developing on AWS (3日) 日本未提供 Advanced Operations on AWS (3日) Architecting on AWS Advanced Concepts 認 定 試 験 認 定 試 験 認 定 試 験 認 定 試 験 認 定 試 験 認 定 試 験 認 定 試 験 提供コース 提供予定コース 認 定 Coming Soon コース:5月 認定:6月 コース:3月 認定:4月AWS 実践 入門1 (1日) AWS 実践 入門1 (1日) オプション コース
  29. 29. 本書の内容は 2014 年 3 月現在のものです。本書に記載した情報は、将来予告なしに変更されることがあります。

×