Windows Server 2012 R2によるガバナンス強化

グローバルナレッジネットワーク株式会社
横山哲也
Windows Server 2012 R2による
ガバナンス強化

Copyright Global Knowledge Network Japan, Ltd. All Rights Reserved.
自己紹介
2003年～マイクロソフトMVP (Directory Services)
2012年のみ「Virtual Machines」
好きなガバナンス機能
グループポリシー
最近の著書・雑誌記事
プロが教えるWindows Server 2012システム管理(監修・共著)
アスキーメディアワークス
グループポリシー逆引きリファレンス厳選92(監修・共著)
日経BP
ソーシャルメディア
ブログ: ヨコヤマ企画(http://yp.g20k.jp)
その他 Twitter & Facebook
2

はじめに
目標
想定するリスクに対して、
適切なクライアント管理計画を選択する
想定するリスクに対して、
適切なサーバーの障害・災害対策を選択する
個人的なお勧め度合い
 ……ぜひ導入しましょう
 ……コスト(費用と手間)がかかりますがお勧め
 ……要件を満たせばお勧め
簡単なデモは随時入れていきます
3

 機能制限・自動設定
 更新プログラムの自動構成
 WiFiアクセスポイント
 アクセス許可の拡張
 ファイルの分類管理
 ファイルの暗号化
 ネットワークの暗号化
クライアント管理計画

機能制限・自動設定: グループポリシー
グループポリシー
コンピューターの構成の自動化(強制)
ユーザーの構成の自動化(強制)
Active Directory必須
OU
OU
ドメイン GPO
グループポリシー
オブジェクト
GPO
GPO
GPO
サイト
5

機能制限・自動設定: グループポリシーの利用
グループポリシーオブジェクト
関連するポリシーの集合体
例: [スクリーンセーバーの強制]と[パスワード保護]
ポリシー数
コンピューターの構成: 約2,000
ユーザーの構成: 約1,500
グループポリシーの[基本設定]
Windows Server 2008からの新機能
従来のグループポリシーでできなかったことが簡単に
- 例: デスクトップにファイルを配布
自動設定したいことがあれば、
まずグループポリシーを探す
6

更新プログラムの自動構成: グループポリシーで自動化
Windows Update
WSUS (Windows Server Update Services)
7
Microsoft Update
Microsoft Update
必要なものだけ承認

更新プログラムの自動構成: 注意点
インターネット接続…WSUSにのみ必要
ネットワーク回線…BITSを使うので効率が良い
Background Intelligent Transfer Services
ディスク容量…配布したいものだけをダウンロード
承認作業…条件を指定した自動承認可能
注意
8
何らかの不具合があり、マイクロソフトが取り下げても
それがWSUSに反映されるまではインストールが可能

WiFiアクセスポイント: グループポリシーで自動化
透過的でセキュアな無線 LAN 環境を構築
ユーザーは一切の設定が不要
暗号化通信を強制 (暗号鍵の自動更新)
Windows認証または電子証明書による強固な認証
9
認証情報の転送
認証
証明書暗号化通信
グループポリシー
・接続先 SSID
・暗号化方式
・認証方式
・証明書の自動発行/更新
証明機関
Active Directory
RADIUS
(NPS)
WAP

アクセス許可の拡張
集約型アクセス制御
Windows Server 2012 ファイルサーバー
Windows Server 2012 Active Directory
ファイル分類管理 (FCI)
リソースプロパティの自動構成
10
要求の種類
リソース
プロパティ
集約型
アクセス規則
集約型
アクセス
ポリシー
集約型
アクセス規則
集約型
アクセス規則

デモ: 集約型アクセス制御
管理者: Active Directory管理センター
要求の種類の確認
リソースプロパティの確認
集約型アクセス規則の作成
集約型アクセスポリシーの作成
管理者: グループポリシー
集約型アクセスポリシーの展開
利用者
アクセス許可の指定
11

アクセス許可の拡張: 集約型アクセス制御の利点と課題
従来のアクセス許可の課題
利用者はビジネスを知っているがACLは分からない
集約型アクセス制御の利点
管理者がアクセス許可ポリシーを集中管理
利用者はアクセス許可ポリシーを1つ選ぶだけ
12
集約型アクセス制御の課題
設定階層が深い
従来のNTFSは無効にならない(累積する)
Windows Server 2012/Windows 8以降のみ利用可能

ファイルの分類管理 (FCI: File Classification Infrastructure)
Step 1: 保存ファイルに属性を追加
フォルダーやファイル内容に対するルール設定
Step 2: 追加した属性を参照して実行
指定したフォルダーに移動
AD RMSによる暗号化
任意のコマンドを実行
利用例
1. 特定のフォルダーのファイルに[個人情報]の属性追加
2. [個人情報]ラベル指定のファイルをAD RMS暗号化
13
保存
分類管理

ファイルの暗号化
EFS…Windows 2000以降
目的: 個人ファイルの暗号化
欠点: 構築や回復手順が面倒(実質的に証明機関必須)
その他…集中管理が困難
Officeパスワード
ZIPパスワード
14
アプリケーション AD RMS…Office製品
ファイルシステム EFS…個人ファイルの保護
ディスク装置
BitLockerドライブ暗号化…内蔵
BitLocker to Go…メディア
暗号化は回復用の準備を忘れずに

ファイルの暗号化の利用例: AD RMS
適用アプリケーション
Word/Excel/PowerPoint/Outlook
利用可能なユーザー
社内ユーザー…社内RMSサーバーで認証
社外ユーザー…公開Web経由で認証
機能
暗号化 + 操作制限 = 権利制御 (印刷不可、再配布不可)
具体的には
メニューの無効化
クリップボードの無効化
15

ファイルの暗号化の利用例: BitLockerドライブ暗号化
BitLockerドライブ暗号化
目的: ドライブ盗難による情報漏えいリスクを軽減
利用形態
TPMのみ…PCごと盗まれた場合は無力
TPM + パスワード…手軽・長いパスワードは利用困難
TPM + USBメモリキー…安全・USBメモリ必須
回復キー
正常時に保存しておく(印刷したものを金庫に保管)
Active Directoryに保存可能
付加機能
TPMによる起動システムの整合性確認(改ざん防止)
16

ファイルの暗号化の利用例: BitLocker to Go
リムーバブルメディアの保護
パスワード利用
グループポリシーによる強制
17

ネットワークの暗号化
18
アプリケーション層
SMB暗号化
…共有フォルダー
プレゼンテーション層
S/MIME
…電子メールなど
セッション層
トランスポート層
TLS (SSL)
…アプリケーション対応
インターネットワーク層
IPセキュリティ
…プロトコルごとの選択
データリンク層
WiFi暗号化
…AESなど
物理層

ネットワークの暗号化の利用例
共有フォルダーのアクセスを自動的に暗号化
Windows Server 2012からの新機能
サーバーマネージャーで構成
IP Security
持ち込みPCを許可するが、サーバーアクセスを拒否
- Webプロキシーなど暗号化の例外設定も可能
暗号化キーをグループポリシーで配布
- ドメインに参加するだけで設定が完了
例: 2004年札幌市
http://download.microsoft.com/download/3/6/d/
36d1fb59-0ff0-420f-80e1-c87fb7f66ceb/4059-MT1.pdf
19

クライアント管理計画のまとめ
 機能制限・自動設定
 更新プログラムの自動構成
 WiFiアクセスポイント
 アクセス許可の拡張
 ファイルの分類管理
 ファイルの暗号化
 ネットワークの暗号化
20

 システム管理者のパスワードポリシー強化
 ブランチオフィスのドメインコントローラー管理
 ファイルサーバーの障害対策
 Hyper-VレプリカによるBCP
 AzureバックアップによるDR
サーバーの障害・災害対策

システム管理者のパスワードポリシー強化
従来のパスワードポリシー
ドメイン単位
きめ細かなパスワードポリシー
Windows Server 2008以降
セキュリティグループまたはユーザー単位のポリシー
Windows Server 2012からGUI設定可
22

ブランチオフィスのドメインコントローラー管理: 課題
ブランチオフィス(地方拠点)の問題点
低速WAN回線
少ないサーバーリソース
比較的低い物理セキュリティ
専任のシステム管理者不在
ブランチオフィスの現状
ドメインコントローラー兼ファイルサーバー
パートタイムシステム管理者
23
 DC盗難によるディレクトリ情報流出
 不慣れなファイルサーバー管理者がドメインを破壊

ブランチオフィスのドメインコントローラー管理: 解決策
読み取り専用ドメインコントローラー (RODC)
パスワードを原則保存しない
ブランチ勤務の一般ユーザーのみ保存するように構成
ブランチ勤務の管理者のパスワードを保存する場合は
パスワードポリシーを強化すること
サーバー管理者とドメイン管理者を分離
24
DC盗難によるディレクトリ情報流出が最小限
不慣れなファイルサーバー管理者からドメインを保護

ファイルサーバーの障害対策
操作ミスによる削除からの回復
ディスク障害対策
サーバー障害対策
25

ファイルサーバーの障害対策: 操作ミスからの回復
以前のバージョン = 定期的なスナップショット
実際の変更分のみディスク消費
26
サーバー設定クライアント操作

ファイルサーバーの障害対策: ディスク障害対策
記憶域プールと仮想ディスク
ミラー (2方向 & 3方向)
パリティ (RAID 5 & RAID 6)
物理ディスク
仮想ディスク
3方向ミラーRAID-6
記憶域プール
27

ファイルサーバーの障害対策: サーバー障害対策(1/2)
分散ファイルシステム
DFS名前空間
DFS-R (複製)
特徴
差分圧縮転送
スケールアウト可能(LAN/WAN)
データの一貫性を保証しない
- 読み取り専用DFSも検討
28
DFS
ルート
DFS
ルート
共有
フォルダ
共有
フォルダ
共有
フォルダ
共有
フォルダ
DFS
ルート
DFS
ルート
共有
フォルダ
共有
フォルダ
共有
フォルダ
共有
フォルダ
複製
複製
複製

ファイルサーバーの障害対策: サーバー障害対策(2/2)
従来の高可用性ファイルサーバー
アクティブなノードは1台
Active / Passive
スケールアウトファイルサーバー
メタデータの更新を特定のノードで管理
データ転送は複数のノードから行う
Active / Active
特徴
データの一貫性
スケールアウト可能(通常はLAN内)
透過フェールオーバー(SMB 3.0)
汎用サーバーには向かない
(仮想マシンやSQL Server用)
クラスター
クラスター
メタデータのみ
特定ノードが管理
29

Hyper-VレプリカによるBCP
Hyper-Vへの複製
Microsoft Azureへの複製
複製先のTCP/IP構成
DHCPクライアントとして構成
Hyper-V管理ツールで固定アドレスを割り当て
30
複製プライマリVM レプリカVM
差分を複製

Hyper-VレプリカによるBCP: 利用パターン
複製間隔…30秒 / 5分 / 15分…常に差分複製
回復方法…いずれも手動
BCP状態からの復元方法…いずれも手動
31
状況操作対象データ損失
フェールオーバープライマリ停止非計画停止レプリカ可能性あり
計画フェールオーバープライマリ停止計画停止プライマリなし
テストフェールオーバー正常稼動並行稼動レプリカなし
以前の状態に戻したいそのまま使いたい
フェールオーバー取り消し反転
計画フェールオーバー計画フェールオーバー N/A(操作不要)
テストフェールオーバー中止(テスト仮想マシン削除) N/A(想定外)
※テストフェールオーバーでは、仮想マシンの複製が別の仮想ネットワークを使って起動

AzureバックアップによるDR(災害対策)
Widows Serverバックアップの保存先を変更
Azureバックアップ (オンラインバックアップ)
システム状態のバックアップ不可
32

サーバーの障害・災害対策のまとめ
 システム管理者のパスワードポリシー強化
 ブランチオフィスのドメインコントローラー管理
 ファイルサーバーの障害対策
 Hyper-VレプリカによるBCP
 AzureバックアップによるDR
33

まとめ: 主なテクノロジー
クライアント管理
グループポリシー
WSUS
集約型アクセス制御
ファイルの分類管理
AD RMS
BitLocker
SMB暗号化
IP Security
サーバー管理
RODC
以前のバージョン
記憶域プール
DFS-R
スケールアウト
ファイルサーバー
Hyper-Vレプリカ
Azureバックアップ
35

まとめ
36
 http://www.globalknowledge.co.jp/reference/ms/
詳しくは
マイクロソフト認定トレーニング
 グループポリシー逆引きリファレンス厳選92(日経BP)
お勧め参考書

Windows Server 2012 R2によるガバナンス強化

Recommended

Recommended

More Related Content

Similar to Windows Server 2012 R2によるガバナンス強化

Similar to Windows Server 2012 R2によるガバナンス強化 (20)

More from Tetsuya Yokoyama

More from Tetsuya Yokoyama (8)