PowerPoint プレゼンテーション

Transcription

1 Active Directory に関する参考資料 作成日 :2011/07/06 更新日 :2011/07/20 作成者 : 株式会社レップワン 1

2 1. Active Directory について Active Directory とは Active Directory とは Windows 2000 Server からサポートされているドメインの管理形態で Windows プラットフォームの認証基盤 セキュリティ基盤 ネットワーク上のリソースを扱うデータストアなどの機能を提供するサービス群のことです Active Directory サービス群 Active Directory は Windows Server 2008 以降 ID とアクセス管理の複雑さを緩和するため 関連する各種機能は Active Directory サービス群 として統合し 5 つのサービスとして提供されるようになりました Active Directory の 5 つのサービス 2 サービス 1Active Directory ドメインサービス (AD DS) 2Active Directory 証明書サービス (AD CS) 3Active Directory ライトウェイトディレクトリサービス (AD LDS) 4Active Directory フェデレーションサービス (AD FS) 5Active Directory Rights Management サービス (AD RMS) 説明 Active Directory ドメインの基本機能を提供するサービス ユーザーオブジェクトやコンピューターオブジェクトなどの一括管理 認証を行う 証明書の作成や発行 登録などの管理するサービス アプリケーション向けのディレクトリサービスを提供するサービス 異なる組織間の認証情報を連携してシングルサインオンを提供するサービス ドキュメントや電子メールの閲覧 編集 印刷を制限するなど 情報保護を提供するサービス

3 1 Active Directory ドメインサービス Active Directory ドメインサービスとは Active Directory ドメインサービス (AD DS) は Active Directory の基本機能を実行するサービスのことです AD DS の役割を追加したコンピューターをドメインコントローラといい ドメインコントローラーにはデータベースが作成され ユーザーやコンピューターなどのオブジェクト登録情報 共有フォルダやプリンタ情報 システムやアプリケーションの構成情報などが保存されます ドメインコントローラによってユーザーの認証やオブジェクトの一元管理 セキュリティ設定の一括した定義をすることができます ドメインコントローラ Active Directory データベース ユーザー情報 コンピュータ情報 アプリケーション情報 共有フォルダ情報 プリンタ情報 ユーザー認証 セキュリティ設定 3 Active Directory ドメインサービス

4 AD DS の構成要素 AD DS を構成する要素として頻繁に用いられる用語を以下に説明します ドメイン ドメインとはユーザーやコンピューターなどのオブジェクトを登録 管理する範囲のことです また オブジェクトの管理方法が複数ある場合に複数ドメインを作成することができます このとき親ドメインの下に子ドメインを作成し これを ドメインツリー いいます 親子関係のドメインはそれぞれのドメインのリソースを利用できる関係となり この関係性のことを 信頼関係 とよびます 親ドメイン信頼関係 example.local ドメインツリー 子ドメイン osaka.example.local 4

5 フォレスト Active Directory で管理できる最もおきな単位のことをフォレストといい フォレストは 1 つ以上のドメインで構成されます フォレストには複数のドメインやドメインツリーを含むことができます フォレストは新規ドメインを構築した時に自動で作成されます 親子ドメインのドメインツリー example.local costoso.local 親子ドメインのドメインツリー このフォレストには 4 つのドメインと 2 つのドメインツリーを含んでいる osaka.example.local tokyo.costoso.local フォレスト 5

6 サイトサイトは Active Directory における論理的なネットワークの範囲のことで 物理ネットワーク (TCP/IP の IP サブネット ) に基づいて構成されます 例えば AD DS で構成された 1 つのドメイン内に東京本社と大阪支社が所属しており それぞれドメインコントローラがあるとします 各ドメインコントローラは既定の Default-First-Site-Name サイトに所属しており物理的な場所で社内のリソースが区別されることはありません しかし大阪支社のユーザーがログオンする際に東京のドメインコントローラで認証を受ける場合があり ネットワークの状態によっては非常に時間が掛かる可能性があります こういった場合に大阪支社のユーザーを大阪支社のドメインコントローラで優先的に認証させるため 物理ネットワークに合わせて論理的に分割したサイトを構成します サイトに分割することによって ディレクトリデータベースのレプリケーショントラフィックの最適化やログオン認証トラフィックの最適化 グループポリシー適用範囲の変更などが可能になります 大阪支社のユーザーが東京本社のドメインコントローラで認証され ログオンに時間が掛かる 大阪支社のユーザーは優先的に大阪支社のドメインコントローラで認証される 大阪サイト Default-First-Site-Name サイト 東京サイト 6 東京本社のリソースと大阪支社のリソースに区別はない 物理ネットワークに合わせて東京サイトと大阪サイトを構成

7 Active Directory オブジェクト Active Directory オブジェクトは ユーザーやグループ コンピュータアカウントなど Active Directory で管理される情報の最小単位のことです 以下は一番触れる機会の多い Active Directory オブジェクトです ユーザーアカウント ユーザーアカウントはユーザーがドメインにログオンするために使用するオブジェクトで ドメイン内で実行できる権限やアクセスできるリソースなどの情報を含んでいます グループアカウント グループアカウントは同じ権限やアクセス許可を与えるユーザーアカウントを 1 つにまとめるためのオブジェクトです グループアカウントを使うことによって 1 つ 1 つのユーザーアカウントに権限やアクセス許可を設定する手間を省いたり 権限やアクセス許可の有無をまとめて管理することができます コンピュータアカウント コンピュータアカウントはドメイン参加を許可されたコンピュータの登録情報のことです ユーザーがドメインにログオンするにはドメインのメンバであるコンピュータでログオンする必要があります OU( 組織単位 ) Active Directory オブジェクトの中にはオブジェクト内部に別のオブジェクトを含むことができるコンテナオブジェクトがあります OU はコンテナオブジェクトの 1 つで ユーザーの所属部署や立場 コンピュータの場所などの管理ポリシーに合わせて作成し その管理対象となるオブジェクトを配置するためのものです OU にユーザーアカウントやコンピュータアカウントを配置することによって それぞれの OU で異なる管理方針での運用が可能となります 7

8 2Active Directory 証明書サービス Active Directory 証明書サービスとは Active Directory 証明書サービス (AD CS) は公開キー証明書の発行 登録 管理をするためのサービスを提供します 証明書を利用することで高セキュリティの VPN ワイヤレスネットワーク S/MIME( 電子メールの暗号化 ) EFS( ファイル暗号化システム ) スマートカードログオンなどを使用することが可能になります メールシステム 証明書の発行 管理 AD CS AD DS S/MINE VPN 8 社外 無線 LAN スマートカードログオン 社内ネットワーク

9 3Active Directory ライトウェイディレクトリサービス Active Directory ライトウェイディレクトリサービスとは Active Directory ライトウェイディレクトリサービス (AD LDS) は特定のアプリケーションにディレクトリサービスとデータストアを提供するサービスです AD LDS は Active Directory ドメインから独立して機能し AD DS の様にドメインコントローラや DNS は必要せず ワークグループ環境でも構成することがきます そのため ファイアーウォールを超えた社外にあるポータルアプリケーションなどで利用することができます AD LDS と AD DS を組み合わせて セキュリティアカウントの一元管理を AD DS に アプリケーション構成データの管理は AD LDS に分離することでシステムのセキュリティと運用効率を向上することができます WEB アプリケーションは AD LDS のデータストアを参照して認証を行う WEB アプリケーション AD LDS ファイアーウォール AD DS 社外のアプリケーションに対してディレクトリサービスを提供する 外部顧客やパートナー企業などのユーザー ID を保持 企業内部のユーザー ID のを保持 9

10 4Active Directory フェデレーションサービス Active Directory フェデレーションサービスとは Active Directory フェデレーションサービス (AD FS) は組織を越えたシングルサインオンを提供するサービスです それぞれの組織で管理しているユーザーアカウントの認証情報を連携し 交換し合うことで 異なる組織のユーザーを認証することが可能となります 親会社 AD FS 4 ユーザー認証情報を送信 AD FS 子会社 AD DS 2 ユーザーの認証情報を要求 3 ドメインコントローラーから認証情報を取得 1 親会社の WEB アプリケーションに接続する 10

11 5Active Directory Rights Management サービス Active Directory Rights Management サービスとは Active Directory Rights Management サービス (AD RMS) は Office ドキュメントや WEB データ 電子メールなどを情報漏洩や改ざんから保護するためのサービスです AD RMS で設定されたアクセス制御はデータ自体に組み込まれます そのため データが外部に持ち出されてもアクセス制御が維持されたままとなりデータを保護します またドキュメントとドキュメントを使用するユーザーの関係を管理し きめ細かな権限設定を行うことができます AD RMS 閲覧 編集可能 閲覧のみ ドキュメントを保護 印刷禁止 転送禁止 アクセス不可 11 ドキュメントや電子メール 社外へ流出

12 2. Active Directory の導入をしていない会社の問題点 管理の問題点 PCが複数台あるが 1 台 1 台を設定 管理を行っているため管理コストが掛かる 社員がPCを好き勝手に使えるのでトラブル対応が大変である PCや社内システムにアカウントが乱立して管理者が把握しきれない セキュリティの問題点 PC のアプリケーションの追加や削除は社員が自由にできるので ウィルス対策ソフトがインストールされていな PC やファイル共有ソフトがインストールされた PC から機密情報が漏洩する可能性がある PC のセキュリティプログラム更新は社員 1 人 1 人が個別に行っているため セキュリティプログラム更新がされていない PC を経由して情報漏洩や悪意のある侵入を許す可能性があります Active Directory を導入すると上記の様な問題を一括して解決できます 12

13 3. Active Directory 導入のメリット 1 アカウントの一元管理 Active Directory を導入し ユーザーや社内リソースを Active Directory のドメイン配下に集約することでアカウントの一元管理を行うことができます 2 クライアントコンピューターの均一化 Active Directory を導入し クライントコンピューターを集中管理することによって 1 台 1 台のコンピューターに対して個別の設定作業やトラブル対応が不要となり 管理コストの削減が可能になります 3 セキュリティ向上と情報漏洩対策 インストールされているアプリケーションやアンチウィルスソフト USB メモリや CD/DVD メディアの使用許可などを状況に応じて正確に管理 把握することができます 4 シングルサインオンによる業務の効率化 社内にある複数のシステム ( 会計 経理システム 顧客管理システム 人事管理システム グループウェアなど ) に独自アカウントで個別にログオンしている場合の非効率性を改善し ユーザーは 1 アカウントで全てのシステムへのログオンが可能となります 13

14 4. Active Directory でできること アカウントの一元管理とシングルサインオン ユーザーアカウントをまとめて管理し 社内システムと連携してのシングルサインオンが可能になります 今までの社内システム AD 導入後 システム毎に個別のユーザー ID とパスワードの認証が必要で面倒だ 1 つのユーザー ID とパスワードで全てのシステムのログオンできるので便利になった ユーザー ID パスワード ユーザー ID1 パスワード 1 ユーザー ID2 パスワード 2 ユーザー ID3 パスワード 3 Active Directory 顧客管理システム勤怠システムグループウェア 顧客管理システム勤怠システムグループウェア 14

15 ユーザーごとのアクセス権限管理 部門や役職 または個人に紐づいたアクセス権の設定をすることができます 営業部フォルダには営業部全員がアクセスできるが他部署の社員はアクセスできない < ファイルサーバー > < 営業部フォルダ > < 総務部フォルダ > 総務部フォルダには総務部の社員はアクセスできるが派遣社員はアクセスできない 管理職フォルダには管理職はアクセスできるが一般社員はアクセスできない < 管理職フォルダ > 営業部社員 部長 総務部社員 派遣社員 15 < 営業部 > < 総務部 >

16 クライアントコンピューターの制御 クライアントコンピューターの設定を一括で設定して均一化できます また PC ごとにスタートメニューの項目やデスクトップの設定などを細かく制御することができます 社員 A さんの PC 開発者 B さんの PC 社員が使う PC の基本設定 業務に必要な機能のみに制限するし 不要なアプリケーションは使えない 特殊な業務に就く社員の PC 開発ツールなどを自由にインストールできるが一定のセキュリティは確保する 16 設定例 利用可能アプリケーションの制限 Office 関連ソフト インターネットブラウザ コマンドプロンプト 新規アプリケーションの追加 インストール済みアプリケーションの削除 PC の機能制御 デスクトップに業務アプリケーションのショートカットを表示 コントロールパネルの プログラムと機能 へのアクセス禁止 スタートメニューからシステムツールを非表示 10 分間操作がないと PC を自動でロック USB メモリの使用を禁止 インターネットブラウザを起動するとはじめに自社 WEB サイトが開く レジストリ エディタの使用禁止 設定例 利用可能アプリケーションの制限 Office 関連ソフト インターネットブラウザ コマンドプロンプト 新規アプリケーションの追加 PC の機能制御 USB メモリの使用時は自動で暗号化 10 分間操作がないと PC を自動でロック インターネットブラウザを起動するとはじめに自社 WEB サイトが開く レジストリ エディタの使用禁止

17 ユーザー毎 PC 環境をログオン時に適応 移動プロファイルやフォルダリダイレクト機能を使えば どの PC でログオンしても各ユーザーごとのデスクトップ環境が適応されます シフト勤務で使う PC が毎回違う A さん どの PC がでログオンしても同じ環境で仕事ができます PC は変わったのにデスクトップやマイドキュメントは今までと同じだ 出張先でも本社で使っている自分 PC と同じ環境で仕事ができます 人事異動で PC が変わった B さん 地方拠点に出張中の C さん 本社ネットワーク ログオン毎に社内ネットワークのファイルサーバーに保存された個人の設定を適応する 拠点ネットワーク 拠点間 VPN <A さんの PC 環境 > <B さんの PC 環境 > <C さんの PC 環境 > 17 Active Directory 社内ファイルサーバー

18 セキュリティ更新プログラム配布 Active Directory と Windows Server Update Services (WSUS) を利用することで クライアントコンピューターに複数バージョンの OS やアプリケーションが混在する環境に対し 最適なセキュリティ更新プログラムの配布や更新プログラム適用状況レポートが可能になります 各ユーザーが手動でセキュリティプログラムを更新 AD と WSUS 導入後は管理者が更新プログラムを一括管理 新しいセキュリティプログラムの更新を適応して下さい 社内にセキュリティプログラムの更新依頼を通知する必要がなくなった OS やアプリケーションごとに最適な更新プログラムが適応されるのでセキュリティリスクが大幅に減った システム管理者 社内に通達 システム管理者 わかりました わかりました Active Directory WSUS 面倒なので今度やろう 18 セキュリティプログラムの更新がされなかった PC から不正アクセスの対象になったり情報漏洩を引き金になる可能性が! OS が Windows XP の PC OS が Windows 7 の PC

19 5. Active Directory の Windows Server 2008/2008R2 への移行 最新の Windows Server 2008/2008R2 へ移行するメリット Windows Server 2008/2008R2 より追加された新機能により 大幅な運用の改善と管理性能の向上が可能となります 読み取り専用ドメインコントローラ (RODC) を利用することで管理者不在の拠点でも安全な管理を行うことが可能になります きめ細かなパスワードポリシーを利用することで 1つのドメイン内でも複数のパスワードポリシーを定義することができます 今まで 9 個だった監査ポリシーが 53 個に増えたことによって 詳細な監査が可能になります OS を停止させずにドメインサービスのみの停止 再起動が行えるようになり 容易なメンテナイスが可能となります PowerShell の Active Directory モジュールによって管理作業の自動化を行うことができます (2008R2 からの機能 ) GUI 管理ツール Active Directory 管理センター によって管理性の向上が可能です (2008R2 からの機能 ) Active Directory のごみ箱を利用することで削除してしまったオブジェクトを容易に復活させることができます (2008R2 からの機能 )

20 1 読み取り専用ドメインコントローラ (RODC) 読み取り専用ドメインコントローラ (RODC) は 管理者が不在の支店や地方拠点などで役に立つ機能です 物理的に離れたネットワークにある拠点でユーザーがログオンする際に本社のドメインコントローラで認証していると WAN や VPN 経由ではログオンに時間がかかり ネットワークにも負荷を与えます このような場合はサイトを構成して 拠点にドメインコントローラを設置することになります しかし管理スキルのある社員が不在である拠点や セキュリティに不安がある拠点に書き込み可能なドメインコントローラを設置することはリスクになります RODC ではドメインレベルの管理権限を与えずに限定された権限のみで運用ができ 他のドメインコントローラとのレプリケーションは一方通行であるため拠点での誤った変更が全社に複製されることもなく リスクを回避することが可能になります 本社サイト 拠点サイト DC DC RODC パスワードキャッシュによってログオンを高速化 パスワードキャッシュを拠点サイトのみに制限して 情報漏洩時の被害を最小限に抑制する 一方通行の複製により 拠点での変更を全社に伝搬させない また 複製によるネットワークの負荷を軽減する 管理者にドメインの管理権限を与える必要はなく 新規オブジェクト作成が不可であったりと 機能も制限されているため管理者不在の拠点に適している 20

21 2 きめ細かなパスワードポリシー Windows Server 2003 以前の Active Directory では パスワード設定とアカウントロックの設定はドメインに 1 つしか設定できませんでした Windows Server 2008 以降はパスワード設定の機能が強化され 1 つのドメイン内で複数のパスワード設定とアカウントロック設定が可能になりました これらの設定は個別のユーザーか セキュリティグループに適応する事ができます 3 強化された監査ポリシー Windows Server 2003 以前は アカウントログオンイベントの監査 など 9 個のセキュリティ監査イベントがありました Windows Server 2008 では 監査可能イベントの数が 9 個から 53 個に増え 更に細かく監査が可能になりました ただし 以前からあった 9 個の監査イベントはグループポリシーとして適応可能ですが 新規追加された監査イベントに関しては Auditpol.exe コマンドラインツールを使用する必要があります Windows Server 2008R2 では 53 個のすべての監査イベントがグループポリシーで適応可能となりました 強化された監査ポリシーを利用することで 誰が アクセスしているのか どのリソースに アクセスしているか どこから アクセスしているのか いつ アクセスしたのか どのような方法で アクセスしたか などを 管理者が把握することが出来ます 21

22 4 再起動可能な Active Directory ドメインサービス Windows Server 2008 では AD DS が Windows サービスとして動作するようになったため 停止や再起動が可能になりました これにより AD DS を停止してドメインコントローラに関するセキュリティ更新プログラムをインストールしたり サーバーを再起動することなく Active Directory データベースの最適化をオフラインで実行可能になります 5 PowerShell の Active Directory モジュール Windows Server 2008 R2 の新機能として Active Directory 専用の PowerShell モジュールが実装されました この機能によって PowerShell スクリプトによる Active Directory 管理作業の自動化をより簡単に行うことが可能になります 6 管理ツール Active Directory 管理センター Windows Server 2008 R2 では GUI 管理ツールとして Active Directory 管理センターが新機能として追加されました Active Directory 管理センターを利用すればユーザーアカウント管理やセキュリティグループ管理など 最低限の運用管理タスクを複雑なオペレーションなしに直感的に実行するこが出来ます また 強力な検索機能も備えており 今まで特定の条件のユーザーを VB スクリプトで抽出する といったタスクも GUI で簡単に行えるようになります 22

23 7 Active Directory Recycle Bin( ごみ箱 ) 機能 これまで AD のオブジェクトを誤って削除してしまった場合 ディレクトリ復元モードや専用のバックアップソフト Deleted Objects コンテナなどから復旧する必要がありました ただ これらの方法で復旧した場合 復旧作業に時間がかかったり その間ドメインコントローラを停止する必要があったり 復旧後にオブジェクトの属性値が削除されているため再設定が必要であったりと非常に手間がかかる作業でした しかし Windows Server 2008R2 で追加された Active Directory Recycle Bin( ごみ箱 ) 機能を利用すれば ドメインコントローラを停止することなく 全ての属性値を正常に復旧することが可能になります ユーザーアカウントを削除した場合の動作例 削除されるとごみ箱へ移動 一定期間内 ( 既定では 180 日 ) を過ぎると属性値が削除されて保管される 一定期間内 ( 既定では 180 日 ) を過ぎると完全に削除される ユーザー ID SID 氏名 部署名 所属グループ メールアドレス ホームディレクトリ 移動 ユーザー ID SID 氏名 部署名 所属グループ メールアドレス ホームディレクトリ 移動 ユーザー ID SID 消滅 アカウントが有効な状態 AD のごみ箱 Tombstone 23 一定期間内 ( 既定では 180 日 ) であれば属性値を含めて復旧可能 注 : 削除してしまったオブジェクトを同じ名前でつくり直しても AD のオブジェクトは SID ( セキュリティ識別子 ) で管理されているため 別のオブジェクトとして認識されます

24 OS ごとの Active Directory ドメイン / フォレストの機能レベル比較 機能レベルについて機能レベルにはフォレストの機能レベルとドメインの機能レベルという 2 種類があり Windows サーバ OS ごとの機能レベルによって利用可能な機能に違いがあります 新しい Windows サーバ OS では新しい機能レベルがサポートされますが 古い OS のドメインコントローラが存在する場合はドメインやフォレスト全体で古い OS のドメインコントローラに合わせた機能レベルを選択する必要があります 項番ドメインの機能レベル有効になる機能サポートする OS 1 Windows Windows Server Windows Server Windows Server 2008R2 既定の Active Directory の機能すべて ユニバーサルグループ グループの定義 グループの種類の変換 SID( セキュリテ識別子 ) の履歴 項番 1 の機能と以下の機能 ドメイン管理ツール (Netdom.exe) ログオンタイムスタンプの更新とレプリケート 承認マネージャーの承認ポリシーの Active Directory ドメインサービス (AD DS) への格納 制約付き委任 認証の選択のサポート 項番 1,2 の機能と以下の機能 SYSVOL の DFS-R によるレプリケーション Kerberos の AES128 ビットと AES256 ビット暗号化 対話型の最終ログオン情報の記録 きめ細かな設定が可能なパスワードポリシー 項番 1,2,3 の機能と以下の機能 認証メカニズム保証 SPN( サービスプリンシパル名 ) の自動管理 Windows 2000 Windows Server 2003 Windows Server 2008 Windows Server 2008R2 Windows Server 2003 Windows Server 2008 Windows Server 2008R2 Windows Server 2008 Windows Server 2008R2 Windows Server 2008R2 24

25 項番フォレストの機能レベル有効になる機能サポートする OS 1 Windows 2000 既定の Active Directory の機能すべて 2 Windows Server 2003 項番 1 の機能と以下の機能 フォレスト間の信頼 ドメイン名の変更 リンクされた値のレプリケーション Windows Server 2008 を実行する読み取り専用ドメインコントローラ (RODC) の展開 KCC( 知識整合性チェッカー ) の強化されたゕルゴリズム 強化された ISTG アルゴリズム 動的な補助型クラス (dynamicobject) inetorgperson オブジェクトインスタンスの User オブジェクトインスタンスへの変換 新しい種類のグループのインスタンスを作成する機能 スキーマの属性およびクラスの非アクティブ化と再定義 Windows 2000 Windows Server 2003 Windows Server 2008 Windows Server 2008R2 Windows Server 2003 Windows Server 2008 Windows Server 2008R2 3 Windows Server Windows Server 2008R2 項番 1,2 の機能と同様 ただしこのフォレストに今後追加されるドメインはすべて 既定で Windows Server 2008 ドメインの機能レベルで動作する 項番 1,2,3 の機能と以下の機能 Active Directory のごみ箱このフォレストに今後追加されるドメインはすべて 既定で Windows Server 2008 R2 ドメインの機能レベルで動作する Windows Server 2008 Windows Server 2008R2 Windows Server 2008R2 25