日本マイクロソフト株式会社 セキュリティ技術本部 クラウドソリューションアーキテクト 村田 裕昭 ADFS と Azure AD の両方を利用されているお客様の多くは、認証基盤の統合を計画されているのではないでしょうか。単純な機能比較や既存のセキュリティポリシーの考え方から、既存の運用環境に対する最適解を導き出すことが難しい場面があると聞いています。自信をもって Azure AD を選択していただくために、ADFS から移行した後の認証基盤のあるべき姿を、代表的な活用シナリオと合わせてお伝えします。ADFS から脱却する必要性は理解しているものの、既存のアプリケーションを考慮しながらどのように IDaaS を構築すればよいか迷っている方へ最適なセッションです。 【Microsoft Japan Digital Daysについて】 Microsoft Japan Digital Days は、お客様が競争力を高め、市場の変化に迅速に対応し、より多くのことを達成することを目的とした、日本マイクロソフトがお届けする最大級のデジタル イベントです。4 日間にわたる本イベントでは、一人一人の生産性や想像力を高め、クラウド時代の組織をデザインするモダンワークの最新事例や、変化の波をうまく乗り切り、企業の持続的な発展に必要なビジネスレジリエンス経営を支えるテクノロジの最新機能および、企業の競争優位性に欠かせないクラウド戦略のビジョンなどデジタル時代に必要な情報をお届けいたしました。（2021年10月11日～14日開催）

1. Microsoft Japan Digital Days
*本資料の内容 (添付文書、リンク先などを含む) は Microsoft Japan Digital Days における公開日時点のものであり、予告なく変更される場合があります。
#MSDD2021
Azure AD 活用術！
アプリケーション認証を
ADFS から移行しましょう
日本マイクロソフト株式会社
セキュリティ技術本部
クラウドソリューションアーキテクト
村田 裕昭 CISSP(524825)
# S12

2. Agenda 1. ADFS 移行の理由 - アプリケーション観点
2. ADFS 移行において目指すべきゴールとは
3. ADFS アプリケーションの移行のヒント

3. Microsoft Japan Digital Days
1. ADFS 移行の理由
- アプリケーション観点 -

4. ADFS 移行の典型的なきっかけ
典型的な
きっかけ
サイバーセキュリティ
の脅威
IT予算・リソース
の不足
急増するアプリケーショ
ン需要への対応
キャッシュフロー
の問題
データセンター
の契約満了
事業継続性

5. 急増するアプリケーション需要への対応の背景
SaaS と呼ばれる多様なクラウドアプリの登場
コラボレーションツール、オンライン文書管理、リモートワークの業務管理
社外ネットワークからアプリケーションを利用したい

6. Microsoft が提供する IDaaS (IDentity as a Service)

7. 既存アプリの ADFS 運用環境に対する現実解とは
クラウドアプリ
オンプレミス クラウド
Active Directory
ロードバランサー
Azure AD
Corporate Network DMZ
WAP
Federation Servers
Active Directory Federation Service
認証の連携先
オンプレミス アプリケーション 先ずは ADFS の負荷を軽減す
る構成を目指す
その後で ADFS 撤廃を目指す
既存アプリケーション
アプリケーションの認証およびアクセス制御の主体を Azure AD へ移行していく

8. Microsoft Japan Digital Days
2. ADFS 移行において目指す
べきゴールとは

9. ADFS 移行の検討段階でよく遭遇する 2 つの壁
イントラネットの壁
アプリケーション認証をイントラネッ
ト内で完結させるポリシー
社給デバイス制限の壁
ADFS の証明書認証を行うための
証明書が入った端末のみに制限
本質的にやりたいこと
• 新しいニーズに対して、利便性とセキュリティの両面から実装をアップデート
⇒モバイル端末/BYOD 利用、エンドポイント セキュリティ 連携、など
• 安全なネットワーク、安全なデバイスからアクセスされるべきというセキュリティ
の考え方に基づいた実装であるべき

10. ADFS 移行において目指すべきゴール (1/2)
最小特権アクセスを
使用する
侵害があるものと考える
明示的に確認する
セキュリティと生産性を両立
しユーザーアクセスを制御
• リスクベース
• 適用型ポリシー
事故前提で被害の最小化
を目指す
• 脅威の検出、分析
• 対応自動化
すべてのアクセスを常に検証
• ユーザーID
• 場所
• デバイスの状態 など
ゼロトラストの原則に沿って、利便性とセキュリティの両面から実装をアップデートしましょう

11. Azure AD に備わっている機能面のカバー範囲
ID ライフ
サイクル管理
B2B コラボ
レーション
カスタマーID
管理および
アクセス制御
適用型
アクセス
デバイス管理
アイデンティ
ティガバナンス
特権 ID
管理
Web アクセス
管理
多要素認証
行動分析
シングルサイン
オン

12. ADFS 移行において目指すべきゴール (2/2)
標準機能
ゼロトラストの実装と合わせて、アプリケーション認証基盤の一元化を進めましょう

13. Microsoft Japan Digital Days
3. ADFS アプリケーションの
移行のヒント

14. ADFS アプリケーションの移行のヒント
クラウドアプリ
オンプレミス クラウド
Active Directory
ロードバランサー
Azure AD
Corporate Network DMZ
WAP
Federation Servers
Active Directory Federation Service
認証の連携先
オンプレミス アプリケーション
既存アプリケーション
アプリケーションに対してどのようなアクセス制御が実装されているかを知ることが第一歩
認証の連携先
を変えていく

15. ADFS アプリケーションのレポート機能
AD FS アプリケーション
アクティビティ レポート
AD FS アプリケーション移行支援
のためのエクセル形式レポート
Azure ポータルから確認可能なレポート
自動で集計
Azure Connect Health の有効化
ADFS, WAP サーバーへのエージェント導入
HTTPS アウトバウンド通信が必要
PowerShell スクリプトで情報収集
手動で集計
AD FS サーバーに対する情報採取
AD FS アプリケーション アクティビティ
レポートと同程度の情報を確認可能
Deployment-Plans/ADFS to AzureAD App Migration
at master · AzureAD/Deployment-Plans (github.com)
アクティビティ レポートを使用して AD FS アプリを
Azure Active Directory に移行する
ライセンスをお持ちであれば AD FS アプリケーション アクティビティ レポートだけ利用すれば OK

16. AD FS アプリケーション アクティビティ レポートの例
③クリックして
詳細を確認
①[使用状況と分析情報]
のメニューから表示
②クリックして
一覧を表示
Pass であれば移行
できる可能性が高い
Warning は要確認

17. Stats Numbers % Model
Total Number of Applications 3 3
Applications that can't be migrated 0 0.00% 0
Application with Warnings 1 33.33% 1
Applications that can be migrated 2 66.67% 2 Refresh Data
Percentage of apps that can be migrated 66.67% 66.67%
Test Case Report Count Column1 Model Count Resolved?
Warning: On-Premises MFA Provider in Use 0 0 no
Fail: Additional WSFed Endpoints Defined 0 0 no
Fail: AllowedAuthenticationClassReferences Defined 0 0 no
Fail: Always Require Authentications Enabled 0 0 no
Warning: Auto Update Enabled on App 0 0 no
Fail: Claims Provider Names Defined 0 0 no
Fail: Delegation Authorization Ruless Defined 0 0 no
Fail: SAML Encrypt Claims Configured 0 0 no
Warning: Impersonation AuthZ Rules Defined 0 0 no
Warning: Issuance Authorization Rules Defined 1 1 no
Warning: Issuance Transform Rules Defined 1 1 no
Warning: Monitoring Enabled on App 1 1 no
Warning: Not Before Skews Defined 0 0 no
Warning: RequestMFAFromClaimsProviders Defined 0 0 no
Warning: SAML Request Signing Required 0 0 no
Fail: Custom Token Lifetime Defined 0 0 no
Fail: SAML NameID Encryption Configured 0 0 no
AD FS アプリケーション移行支援のためのエクセル形式レポートの例
クリックして
レポート生成
RP Name Result
Test-ADFSRPAdditionalAuthenticationRules
Test-ADFSRPAdditionalWSFedEndpoint
Test-ADFSRPAllowedAuthenticationClassReferences
Test-ADFSRPAlwaysRequireAuthentication
Test-ADFSRPAutoUpdateEnabled
Test-ADFSRPClaimsProviderName
Test-ADFSRPDelegationAuthorizationRules
Test-ADFSRPEncryptClaims
Test-ADFSRPImpersonationAuthorizationRul
Test-ADFSRPIssuanceAuthori
Active Directory Pass Pass Pass Pass Pass Pass Pass Pass Pass Pass Pass
Microsoft Office 365 Identity Platform Warning Pass Pass Pass Pass Pass Pass Pass Pass Pass Warning
WebApp_SAML Pass Pass Pass Pass Pass Pass Pass Pass Pass Pass Pass
アプリごとに結果の
確認が可能
チェック項目ごとに
シートが分割される

18. レポートから知ることが出来る情報 – 設計担当向け
• アプリケーションごとのアクセス制御の状況確認
• 認可ルールで典型的な制御をしているか（IP アドレス、グループ）
• クレームルールが移行可能な典型的パターンに合致するか
• アプリケーションごとのクレーム情報の取得可否
• Azure AD へ同期済みの属性が利用されているか
• カスタムクレーム属性を利用しているか
• Azure AD でサポートされない構成がないか
• スマートカード認証、オンプレミス MFA サーバー
• 外部クレームプロバイダーの参照
Pass であれば移行設計を進めて良い、Warning は要確認と考えるべき

19. ADFS アプリケーション移行計画サンプル（事例より）
企業名
（匿名）
アプリケーション数 期間 作業リソース 備考
A 社 10 個 4 週間 自社のみ 1 つのアプリ移行に
数週間を消費
B 社 80 個 6 ヶ月 自社のみ アプリの種類ごとに
段階的な移行
C 社 400 個 1 年以上 自社および
マイクロソフトコンサル
ティングサービス利用
すべてのアプリは移
行しない
オンプレ MFA はユー
ザー移行を伴う

20. ADFS アプリケーションのサンプル利用
AD FS アプリケーション
.NET MVC サンプル
ADFS アプリケーションを Azure AD
へ移行する際の一連の流れを確認可能
Visual Studio 2019
.NET Framework 4.7.2
Azure-Samples/ms-identity-dotnet-adfs-
to-aad: Guide to migrate applications from
AFDS to AAD (github.com)
DEMO の流れ
1. ADFS ユーザー認証
2. Azure AD アプリケーション登録
3. アプリケーションへユーザー割り当て
4. シングルサインオン構成
5. アプリケーション コンフィグ編集
6. AAD ユーザー認証

22. Azure AD へアプリケーションを移行した後に行う作業
Azure AD のシングルサインオンおよびアクセス制御をポータル操作によって素早く設定可能
さらに運用の効率化を図るためのプロビジョニングやセルフサービスの構成が可能

23. Microsoft Japan Digital Days
まとめ

24. まとめ
1. ADFS を移行しなければならない理由
• 急増するアプリケーション需要への対応の背景を整理しました
• 既存アプリの ADFS 運用環境に対する現実解をイメージしましょう
2. ADFS 移行によって目指すべきゴールとは
• ゼロトラストの原則に沿った実装のアップデートを提言しました
• Azure AD を活用したアプリケーション認証の統合を推進しましょう
3. ADFS アプリケーションの移行のヒント
• 既存のアプリケーションに対してどのようなポリシーが適用されているか知るこ
とが移行の鍵となります。レポート機能やサンプルを活用しましょう

25. こちらの情報もぜひチェックしてください
Azure AD Webinar Goodbye ADFS 2021
http://aka.ms/azureadwebinar
日本の Azure AD Program Manager チームが動画で解説します。
時間の都合上、本セッションには盛り込めなかった内容の解説もこちら
から参照いただけます。もっと詳しく知りたいという方はぜひ！

26. 参考リンク
Azure Active Directory
ゼロ トラストによる ID のセキュリティ保護
アプリを Azure Active Directory に移行するためのリソース
すべてのアプリを Azure AD と統合するための 5 つの手順
アプリを Azure Active Directory アプリ ギャラリーで発行する
アクティビティ レポートを使用して AD FS アプリを Azure Active Directory に移
行する
アプリケーション認証を AD FS から Azure Active Directory に移動する

27. © 2021 Microsoft Corporation. All rights reserved.
本情報の内容 (添付文書、リンク先などを含む) は、公開日時点のものであり、予告なく変更される場合があります。
本コンテンツの著作権、および本コンテンツ中に出てくる商標権、団体名、ロゴ、製品、サービスなどはそれぞれ、各権利保有者に帰属します。