INF-007_ハイブリッドな Active Directory の設計 ～Windows Server 2016 版～

1. ROOM
E

2. Agenda
• 2種類の Active Directory の違いと役割、
連携方法を理解しましょう
• Windows Server 2016 ADDS/ADFS で
できるようになることを理解しましょう
ハイブリッドな Active Directory を構成するうえで必要な知識
関連製品
• Azure Active Directory Free
• Windows Server 2016 Active Directory（AD DS/AD FS）
• Windows 10 Anniversary Update

3. やりたいことは生産性向上
そのためには
• どこからでも安全に企業のリソースにアクセスできるようにする
ユーザー データ
安全性を担保する
条件
認証なんて、無くて済むなら無いほうがいいんです

4. 条件とは何か？
• 許可されたユーザーである（ユーザー認証）
• 許可された認証方法である
• 許可されたデバイスである（デバイス認証）
• 許可された場所である
• 許可された状態である
• 許可されたアプリケーションである（アプリ認証）
• 許可された操作である（情報権限管理）

5. 統一された IdP によるアクセス制御
結果を引き継ぐ
Identity Provider（Authority）
結果を引き継ぐ 結果を引き継ぐ
デバイス（場所/状態） アプリケーション データ利用者
IdP が統一されているから必然的に結果が引き継がれる

6. 拒否できる
非

8. • 本人の正当性をどうやって検証するか
ユーザー認証
PIN
生体
誰でも知ってる 本人だけが知ってる 本人が持ってる
ネットワーク
を流れない
展開の必要なし
サーバーに渡す
展開が面倒

9. 管理者視点
• 展開が容易
• ネットワークにパスワードが流れない
• 誰もがアクセスできる場所にパスワードが保管されていない
利用者視点
• 忘れない
• 操作が簡単
理想的な認証方法

10. PC
PIN
家の鍵と同じ。別の家では使えない。
サインイン要求
署名
要求送信
署名チェック
Primary
Refresh
Token
Kerberos の TGT に相当
するトークン
対象キー

11. PC
PIN
サインイン要求
署名
要求送信
署名チェック
Primary
Refresh
Token
PC 固有
Kerberos の TGT に相当
するトークン
対象キー

12. Microsoft Passport は何を認証しているのか?
秘密鍵を所有しているユーザー
秘密鍵を取り出すための
PIN/生体情報 を持っている
秘密鍵を所有しているデバイス
秘密鍵を格納している
＊＊＊＊＊
ロック解除
認証機構

14. 秘密鍵を所有しているユーザー
秘密鍵を取り出すための
PIN/生体情報 を持っている
出張先のデバイス
（AAD/ADドメイン参加済）
＊＊＊＊＊
ロック解除ロック解除
認証機構

15. Windows 10 アプリとシングルサインオン」 にて
Enterprise
Container
Personal
Container
Web Account Manager
Custom Application
Web Account Provider

16. • Microsoft Account を使用する
or Azure AD に参加する（Azure AD Join）
or Windows Server 2016 {AD DS + AD FS} ドメインに参加する
or 「職場または学校アカウントを追加」する（旧 Workplace Join）
Microsoft Passport を使用するには
• Windows 10
• Microsoft Passport の利用が有効化されている（規定値は“有効”）
Passport for Work
今回はここをター
ゲットにします• グループポリシー
or System Center Configuration Manager
or Microsoft Intune
or 3rd party MDM
PINの管理を行う
管理ツール

17. Protocol AD DS AD FS Azure AD
Kerberos, NTLM, LDAP v3 2000 ～ Azure AD DS
WS-Federation 2012 ～ ○
SAML 2.0 2012 ～ ○
OAuth 2.0 auth code grant, public client 2012 R2 ○
OpenID Connect 2016 ○
OAuth 2.0 implicit grant 2016 ○
OAuth 2.0 auth code grant, confidential client 2016 ○
OAuth 2.0 client credential grant 2016 ○
OAuth 2.0 on behalf of 2016 ○
Microsoft Passport 2016 ○

18. 認証基盤シナリオ
PC オンプレミスアプリ クラウドアプリ
ドメイン ログオン 連携先 認証方式 連携先 認証方式
従来の
シナリオ
オンプレミス AD DS Kerberos AD DS WIA
オンプレミス AD DS Kerberos
AD DS WIA
AD FS WS-Fed, SAML2.0
AD FS WS-Fed, SAML2.0
ハイブリッド
・フェデレーション
AD DS Kerberos
AD DS WIA
Azure AD
WS-Fed, SAML2.0
OpenID Connect
Password Form 連携
Azure Application Proxy
AD FS WS-Fed, SAML2.0
Azure AD
WS-Fed, SAML2.0
OpenID Connect
Password 連携
Azure Application Proxy
Windows 10
クラウド Azure AD
Microsoft
Passport
Azure AD Microsoft Passport Azure AD Microsoft Passport
ハイブリッド
・フェデレーション
・デバイス同期
AD DS Kerberos Azure AD Microsoft Passport Azure AD Microsoft Passport
Windows 10
+
WS 2016
オンプレミス
AD DS
AD FS
Microsoft
Passport
AD FS
Microsoft Passport
OpenID Connect
AD FS
Microsoft Passport
OpenID Connect
ハイブリッド
・フェデレーション
・デバイス同期
Azure AD
Microsoft
Passport
AD FS
Microsoft Passport
OpenID Connect
AD FS
Microsoft Passport
OpenID Connect

20. Passport for Work の使用～Azure AD に参加する
課題
• パスワードが Azure AD に残ってしまう
• オンプレミスとは認証が分断される

21. （参考）デバイスを Azure AD に参加/登録するには権限が必要
Azure AD 管理ポータル
-[構成]-[デバイス]

22. (参考）Passport for Work ポリシー

23. AAD 用 PRT
Passport for Work の使用～WS 2016 AD に参加する
Windows 10
課題
• クラウドとは認証が分断される
PINの管理
PINの管理、証明書管理

24. • 全てのドメインコントローラーを 2016 にする必要はない
• サイトあたり1台の WS 2016 AD があればよい
Windows Server 2016 AD DS/AD FS
Windows 10
DC List
Passport対応かどうか
を問いあわせ

25. AAD 用 PRT AD 用 PRT
Passport の使用～ハイブリッド（AD 参加）
• フェデレーションを構成し、パスワード認証はオンプレミスで行う
• デバイスを同期（オンプレミスAD DS → Azure AD）
• 手動：「組織または学校アカウントの追加」
• 自動：「デバイス自動登録」機能を有効化（グループポリシー）
デバイス同期
Azure AD Passport
セットアップ
Identity Federation
ドメイン参加
Passport セットアップ
Windows 10

27. Passport の使用～ハイブリッド（Azure AD Join）
• フェデレーションを構成し、パスワード認証はオンプレミスで行う
• デバイスを書き戻し（Azure AD ⇒ オンプレミスADDS）
デバイス書き戻し
Azure AD Join
Azure AD Passport
セットアップ
Identity Federation
Passport
セットアップ
AAD 用 PRT AD 用 PRT
Windows 10

28. （参考）Azure AD Connect 同期オプション

29. Windows Server 2012 R2 の場合
• Azure AD ： Microsoft Passport
• Active Directory ドメイン：Kerberos 利用
• デバイスを同期（オンプレミスADDS → Azure AD）
• 手動：「組織または学校アカウントの追加」
• 自動：「デバイス自動登録」機能を有効化（グループポリシー）
WS 2012 R2
デバイス登録
Azure AD Passport
セットアップ
Identity Federation Password
Azure AD Connect
ドメイン参加
AAD 用 PRT AD 用 TGT
Windows 10

30. LDAP
従業員用
LDAP
Virtual
Directory
パートタイマー用
SQL Server 等
Microsoft Passport には未対応
Kerberos
/EAP
LDAP v3
LDAP v3SQL

31. 対策
• Azure AD Connect Health による監視
AD FS
Web Application Proxy
Azure AD DS（予定）
• ファーム構成
• AD FS
• Web Application Proxy
落ちたらサービスが利用できません！
Azure AD
Domain Service
Azure VNET
Azure AD
Connect
Azure AD
Connect Health

32. • Azure AD MFA
• Azure AD MFA + MFA Server
Microsoft Passport が使えないデバイスはどうする？
認証強度を高めるための”多要素認証” 活用 」
多要素認証による“ユーザー認証の堅牢化“
ちなみに、Windows Server 2016 AD FS には MFA Server addin が標準装備されます。

33. Microsoft Passport を使用
した PC へのサインイン
・ユーザー認証
・デバイス認証
ユーザー
クレーム
デバイス
クレーム

35. Windows Server 2016 AD FS
クレームを使用したアクセス制御
• 特定のネットワーク
 イントラネット/インターネット/特
定のアドレスレンジ
• 特定のユーザーグループ
 セキュリティグループ/パラメタ指定
• デバイスの信頼レベル
 認証済み、管理対象、準拠済み
• 特定要求（クレーム）
 クレームの一致、検索
• MFAを要求する
 MFAを使用したかどうか
誰?何?どんな状態?が通過できるのか
例外

36. 指定された認証方式を使用していない場合、認可されない

37. イントラネット
Internet

38. FAQ:「会社支給デバイスのみにアクセスさせたいのですが」
※現時点ではデバイスの識別子等で識別することができない
方法1
• ユーザー証明書をデバイスにインストールし、クライアント識別に使用する
方法2
• Windows デバイス
• 「Azure AD または AD ドメインに参加」しており、
「セキュリティポリシー準拠」であることを条件にする
• iOS/Android デバイス
• 「Intuneにより管理」されており、
「セキュリティポリシー準拠」であることを条件にする

39. DeviceTrustType と DeviceTrustLevel
ドメインに参加しているデバイス AADにアカウント追加した
デバイス
Domain Joined Azure AD Joined
DeviceTrustType
Workplace Joined
DeviceTrustLevel
Managed
Authenticated
Compliant
ADDSまたはAzure AD にデバイスが登録されており
（上の状態）、デバイス認証された
N/A デバイスはADDSまたはAzure ADに登録されていない
Intune、SCCM（+GPO）にデバイスが管理されている
デバイスはコンプライアンスに準拠している

41. ※Azure AD Basic/Premium 必須
Azure MFA
オンプレミス
パブリッククラウド
Azure Active Directory
Azure AD Application Proxy
Azure Proxy
Connector
事前認証
代理認証
KCD

42. まとめ 疲れましたね
最後にまとめておきましょう

43. 新しいプロトコルのサポート
• OpenID Connect
• OAuth 2.0（詳細はP13）
• Microsoft Passport
LDAP V3 ディレクトリのサポート
アクセスコントロールポリシーによるコンディショナルアクセス
• アプリケーショングループへの適用
Microsoft Passport の強制
Azure MFA Server addin の組み込み（現在 Private Preview）

44. Kerberos

46. アンケートにご協力ください。
●アンケートに 上記の Session ID のブレイクアウトセッションに
チェックを入れて下さい。
●アンケートはお帰りの際に、受付でご提出ください。
マイクロソフトスペシャルグッズと引換えさせていただきます。

47. ROOM E
Ask the Speaker のご案内
●本セッションの詳細は、EXPO 会場内
『Ask the Speaker』コーナー
Room E カウンタにてご説明させて
いただきます。是非、お立ち寄りください。