IT ライブラリーより (pdf 100 冊 ) Windows Server 2008 R2 Active Directory 使い倒し術

Transcription

1 IT ライブラリーより (pdf 100 冊 ) Windows Server 2008 R2 Active Directory 使い倒し術

2 他の章は下記をクリックして PDF 一覧からお入り下さい IT ライブラリー (pdf 100 冊 ) 目次番号 270 番 Windows Server Enterprise 2008 R2 完全解説 ( 再入門 ) 全 26 冊 2

3 ファイルサーバーのユーザーを一ケ所で管理 課題 : ファイルサーバーのユーザー管理が大変 A サーバのユーザー B サーバのユーザー ユーザー数やファイルサーバーの増加により ID 管理は限界!! ID を一元管理し 適正なアクセス権を付与できないだろうか? 個々のファイルサーバーでそれぞれ ID が管理されている システム管理者 解決策 : Active Directory でユーザーの一元管理を実現 ユーザー 認証 ファイルサーバー : 読み取り専用 :Takada : 編集可能 :Yamazaki : 参照不可 :Sato Active Directory ユーザーの一元管理が行え ファイルサーバーのフォルダなど様々な共有リソースに対し適正なアクセス管理を実現また 各リソースへの認証基盤として利用が可能 :Takada :Yamazaki :Sato Active Directory に登録された ID でアクセス権を指定 3

4 実現! クライアント PC の統制 New 課題 : クライアント PC を一台一台管理するのが大変 パスワードの設定がバラバラだよ PC の設定がバラバラで皆 やりたい放題 を設定して って言ってるのに システム管理者壁紙 / スクリーンセーバーがすごいことに 情報漏洩?? 内部統制?? そんなこと 言われても 解決策 : グループポリシー / 基本設定の利用による一括設定 設定の一括適用! グループポリシーでパスワードポリシーや壁紙などの設定も強制できる! グループポリシーに似ているが 設定は強制されず 変更可能! 初期設定やこれまでバッチで実行していた処理の設定に便利! xx.bat グループポリシードメインのコンピューター ユーザーに設定を一括適用 / 設定の強制 基本設定コンピューター ユーザーに設定を一括適用! もう 面倒くさいバッチは不要! 4

5 簡単 グループ ポリシー活用でコスト削減 New 課題: 情報漏えい対策や PC の電力に掛かるコスト またそれに伴う展開コストを削減したい この PC に設定ができてない 各 PC への 展開が大変 PC 台数の増加で電力料金も 気になる 情報漏洩対策 ソフトの導入 新たに製品導入はもちろん 各 PC にインストールや 電源設定を行うと 予想以上にコストが かかってしまう 解決策: USB デバイスのポリシーによる情報漏えい対策 / 電源管理ポリシーによる一括省電力設定 USB デバイスのポリシーによる制御 一切使用不可 読み取りのみ許可 書き込み NG 電源管理ポリシーによる一括省電力設定 消費電力 グループポリシー で一括展開 A メーカー B メーカー 特定デバイス のみ利用可能 USB デバイスの制御ポリシー USB デバイスの使用に制限を設定できる 読み取りのみ許可するなど柔軟に管理可能 電源管理ポリシー 社内 PC の電力設定を統一し 消費電力を抑えること ができる Windows XP は グループポリシー 基本設定 で対応 5

6 Active Directory のユーザー復元を容易に New 課題 : 誤って削除された Active Directory ユーザーの復元が大変 Active Directory のユーザーを誤って削除してしまった! GUI での操作は簡単だが オペレーションミスが発生しやすい 復元 バックアップデータから Active Directory の復元は大変 復元手順は? 復元するバックアップデータは? DC の再起動のタイミングは? バックアップデータ 解決策 : 削除されたオブジェクトも簡単復旧 / PowerShell を利用して管理を自動化 削除されたオブジェクトも簡単復旧 PowerShell のコマンド Restore-ADObject を実行 バックアップデータからの復元は不要 Active Directory 内 ごみ箱から復元 Recycle Bin による削除オブジェクトの復元削除されたオブジェクトも PowerShell で簡単に復元できる! PowerShell を利用して管理を自動化 定型業務をスクリプト化し バッチで実行 オブジェクト情報の取得 Active Directory オブジェクトの管理が自動化できる! また ADSI より簡単! PowerShell Active Directory モジュールユーザー情報の編集など管理する上で発生する定型作業を簡単にスクリプト化でき ミスなく作業ができ さらに作業コストの削減ができる! 有効期限が切れたユーザーの取得 一定期間ログインされていないユーザーの取得 ユーザーの一括登録 エクセルへグループ情報のエクスポートなど 6

7 Active Directory のログ取得 New 課題: Active Directory の操作を 誰が いつ どのように 行ったのかわからない いつのまにか Active Directory の ユーザーが削除されている 解決策: Active Directory の監査ログの取得 グループポリシーから設定 Active Directory の 監査ログなら 誰が いつ どこから 何を どのように 変更したのかを確認可能 新しいイベント ビューア (強化された監査ログ) Active Directory の監査機能 誰が いつ どこから 何を どのように といったログの取得ができ る Windows Server 2008 R2 では さらに変更前と変更後の情報が記録できる 7

8 Active Directory の構成確認と運用監視を簡単に New 課題 : ドメインコントローラーが正しく構成されているか不安 ドメインコントローラーがダウンすると大変共有ファイルなどの社内リソースにアクセスできない 社内ネットワーク ドメインコントローラーの構成状態が簡単に確認できないだろうか? どう監視すればいいか分からない ユーザー 解決策 : ドメインコントローラーの構成確認 / 監視 Active Directory 関連の情報を収集 リソースやネットワークの状態を表示 全体の構成からドリルダウンし エラーの原因 対処策が確認できる Active Directory ベストプラクティスアナライザードメインコントローラーの構成をチェックして 問題があれば対処方法が表示されるので 問題を迅速に解決できる! System Center Operations Manager メーカー純正の運用監視ツールで Windows Server を一元管理! Active Directory 用の監視テンプレートが提供されているので 運用監視も簡単にできる! 8

9 社外から社内ネットワークへ安全 / 簡単アクセス New 課題: より安全でシンプルなリモートアクセス環境を提供したい リモート接続を行いたいけど リモート アクセスの設定を行うのが大変 接続が切断されるたびに再接続が面倒 社内ネットワーク 社外からのアクセスをより安全に よりシンプルに提供したい インターネット システム管理者 ユーザー 解決策: インターネットに接続するだけで社内ネットワークに安全 / 簡単アクセス 社内で承認された PC からのみ 社内ネットワークの接続を許可 自動接続 DirectAccess と Forefront Unified Access Gateway (UAG) 連携 Windows 7 + Windows Server 2008 R2 で実現する 社外から社内ネットワークへ安全 簡単にアクセスできる 通信は自動的に 暗号化 スマートカード認証の 強制も可能 未承認の PC からの 接続は拒否 社内ネットワーク DirectAccess サーバー UAG を使うことで DirectAccess サーバーの冗長化と IP v4 の社内ネットワークへの接続が可能に 9

10 Windows 標準機能でデジタル証明書 使い放題! 課題 : デジタル証明書を使った機能を使いたいのだけれど コストがかかる IC カード WEB サーバー (SSL) メールの暗号化 無線 LAN デジタル証明書を使った機能は魅力的 でも デジタル証明書の発行 / 管理 / 更新には高いコストが 解決策 : Windows 標準搭載の証明機関を活用! 無料で証明書を使い放題! Step1. AD 証明書サービス (AD CS) 証明機関 Step2. ILM 2007 との連携 ILM の証明書管理機能により IC カード発行ができる! OS 標準搭載の証明機関だから証明書をどれだけ発行しても無料! 面倒な証明書の発行 / 更新もグループポリシーで自動化が可能! Active Directory 証明書サービス (AD CS) Windows Server 2008 R2 に標準で搭載されている証明機関 業界標準の x.509v3 準拠の証明書を発行可能 デジタル証明書を使った様々なセキュリティ (SSL S/MIME EAP-TLS IC カードなど ) 強化に利用できる! 10

11 Windows 標準機能で LDAP サーバーを構築 課題 : LDAP サーバーを利用したい LDAP 対応アプリケーション LDAP 対応アプリケーション LDAP サーバー Active Directory 1 LDAP 対応のアプリケーションを導入するために LDAP サーバーを構築したい 2 ID 情報としては Active Directory を利用したいが アプリケーション用にスキーマ拡張はしたくない システム管理者 解決策 : Active Directory ライトウェイトディレクトリサービスによる解決 管理されたユーザー情報 アカウント情報の複製 AD LDS サーバー その他のアプリケーション ID を登録 Active Directory 以外の情報を拡張し アプリケーションデータとして利用 Active Directory ライトウェイトディレクトリサービス (AD LDS) 1 OS 標準機能として提供されている LDAP サービスで 低コストにて LDAP サーバーを構築 2 ベースは Active Directory (AD) と同じなので AD との親和性が高く AD の情報を拡張して様々な活用が可能 11

12 複数システムの ID / パスワードを統一! 課題 : システムごとの ID / パスワードがバラバラでどれがどれだか どれがどれだっけ?? ID : tanaka PWD:1041 ID :tana01 PWD: acse ID : salesu21 PWD: 243kb ID : man02 PWD: db94 システムごとに ID / パスワードが違うと不便 セキュリティも不安でも どうしたら 解決策 : Identity Lifecycle Manager 2007 でシステム間の ID を自動同期 どのシステムでも同じ ID / パスワードで利用可能! ILM 2007 ID 同期 AD Notes Oracle その他の業務システム Identity Lifecycle Manager 2007 (ILM 2007) ILM 2007 で異種分散ディレクトリ環境の ID / パスワードの統合管理を実現! これでユーザーが覚えなくてはならない ID / パスワードは一つに! ID : tanaka PWD:1041 ILM2007 の ID / パスワードの同期機能で複数のシステムの ID / パスワードを統一! 12

13 もう怖くない 人事異動 課題: 複数システムのアカウント情報 (ID やパスワード) のメンテナンスが大変 変更情報 人事異動の度に AD DS 人事マスタ 派遣社員の 登録依頼 各 ID データベースで 変更作業が発生 Oracle Notes 人事異動があると ID データベースの メンテナンスが 大変 会社を退職した 人のアカウントの 消し忘れがないか 心配 解決策: Identity Lifecycle Manager 2007 による ID 管理システムの構築 AD Notes Oracle ILM 2007 ID 同期 その他の業務システム Identity Lifecycle Manager 2007 (ILM 2007) 複数システムの ID / パスワードの 同期ができる 手作業による登録/変更/削除ではないの で 入力漏れやミスの心配は無用 人事マスタ ILM 2007 の ID / パスワードの同期機能で 複数システムの ID / パスワードを統一 13

14 Windows Server 2008 / R2 Active Directory の新機能 新機能 内容 ドメイン機能のサービス化 読み取り専用ドメインコントローラ ふりがな属性の追加 きめ細かなパスワードポリシー Active Directory のスナップショット参照 オフラインドメイン参加 (Windows Server 2008 R2 新機能 ) PowerShell 2.0 と Recycle Bin の対応 (Windows Server 2008 R2 新機能 ) ドメイン機能のサービス化により 更新プログラムの適用やオフライン最適化など ドメインコントローラの定期的な保守作業を サーバーを再起動せずに実施できます 読み取り専用ドメインコントローラー (RODC) を使用すると 組織は 物理的なセキュリティを保証できない場所でもドメインコントローラを簡単に展開できます RODC では Active Directory ドメインサービス (AD DS) データベースの読み取り専用パーティションがホストされます ふりがな属性が追加され ふりがなでソート 検索が可能になりました ふりがな属性が追加された項目は以下の通りです 姓 / 名 / 表示名 / 会社名 / 部署 細かい設定が可能なパスワードポリシーを使用すると 1 つのドメイン内に複数のパスワードポリシーを指定でき ドメイン内のユーザーセットごとに パスワードとアカウントロックアウトのポリシーに指定した異なる制限を適用できます Active Directory データベースマウントツール (Dsamain.exe) により 組織の回復手順を強化できます このツールを使用すると 別々の時間に取得したスナップショットやバックアップに存在するデータを比較できるので データの損失があった場合にどのデータを復元するかをより適切に判断できます そのため Active Directory データを比較するときに データを含む複数のバックアップを復元する必要がなくなります オフラインドメイン参加を使用するとオフライン状態からコンピューターをドメインに参加させることができます コンピューターをドメインに参加させることができるのは オペレーティングシステムのインストール後にコンピューターを初めて起動するときです また コンピューターを再起動しなくても ドメイン参加を完了させることができます これにより データセンターなどの場所でコンピューターの大規模展開を完了するのに必要な時間と手間を減らすことができます Windows Server 2008 R2 では Active Directory module を PowerShell 2.0 に組み込むと Active Directory のオブジェクトやドメインコントローラー およびパスワードポリシーを管理したり これらを新しく作成でき スクリプトベースでの管理が可能です Windows Server 2008 R2 ネイティブ環境で Recycle Bin を有効化すると 削除されたオブジェクトをバックアップデータを利用する事なく PowerShell から簡単に復元ができます 14

15 構成例と価格 ( 1/2 ) 1,000 ユーザーを AD で管理した構成 構成例 ( 冗長性を考慮した構成 ) 構成例 ( 最小構成 ) ILM 2007 で ID 同期を行う構成 ドメインコントローラ Windows Server 2008 R2 Standard x64 2 台 クライアント PC x 1,000 台 ILM 台 Windows Server 2008 Enterprise (x86) 1 台 SQL Server 2005 Standard 1 台 利用ユーザー 1,000 人 Windows Server 2008 R2 Standard 2, Windows Server CAL 1,000 参考価格 : 6,609,000- Windows Server 2008 Enterprise 1, ILM , SQL Server 2005 Standard (1 プロセッサ ) 1 参考価格 : 4,885,200- ハードウェア SI 費用 Active Directory 構築費用は含まれておりません 記載の価格は 2009 年 9 月の参考価格です ( 参考価格は Select の価格レベル A の新規ライセンス (L) + SA 3 年分で算出しております ) お客様の実際のお支払額は お客様のご注文先である LAR 様 販売会社様との間で決定されます 実環境に沿った設計 見積りが別途必要となります 15

16 構成例と価格 (2/2) 1,000 ユーザー ( 同時接続数 : 500 ユーザー ) で DirectAccess を利用する構成 構成例 (DirectAccess を用いたリモート接続 ) クライアント PC x 1,000 台 ダイレクトアクセスサーバー Windows Server 2008 R2 Standard 2 ドメインコントローラー Windows Server 2008 R2 Standard Windows Server 2008 R2 Standard 2, Windows Server CAL 1,000 参考価格 : 6,609,000- ハードウェア SI 費用 Active Directory 構築費用 Active Directory 用の Windows Server ライセンスは含まれておりません Forefront Unified Access Gateway は 2009 年 10 月現在リリースされていない為 本構成の価格に含まれておりません 記載の価格は 2009 年 10 月の参考価格です ( 参考価格は Select の価格レベル A の新規ライセンス (L) + SA 3 年分で算出しております ) お客様の実際のお支払額は お客様のご注文先である LAR 様 販売会社様との間で決定されます 実環境に沿った設計 見積りが別途必要となります 16

17 導入事例 (Active Directory) 部門サーバーの運用コスト削減を目指し Active Directory を導入 ( 製造業 A 社 ) それぞれの部門毎に個別管理されていた約 6,000 台のファイルサーバーを Active Directory に統合 各管理者の運用コストを集約する事により 1 億 8,000 万円の隠れたコストを削減 RODC ( 読み取り専用ドメインコントローラー ) を活用し 資産の有効活用と拠点管理者の管理コスト削減 ( 年間 500 万円 ) をさらに目指す ユーザー管理に関する課題解決 システム管理工数の削減 ( 金融業 B 社 ) 権限に応じた複数のパスワードポリシーを利用する事で セキュリティの確保と利便性向上の両立を実現 WDS (Windows 展開サービス ) を利用し 108 支店の PC を一括展開 管理工数の削減 NAP ( ネットワークアクセス保護 ) により 約 2,000 台の PC に対して更新プログラムや最新ウィルス定義ファイルの適用状況のチェックを行い管理工数を削減 Windows Server 2008 導入事例はこちらからアクセス 17

18 サポートライフサイクル マイクロソフトは ビジネス製品および開発用製品について 最短でも 10 年間 ( メインストリームサポートフェーズ 5 年間 および延長サポートフェーズ 5 年間 ) サポートを提供します 1 年 2 年 3 年 4 年 5 年 6 年 7 年 8 年 9 年 10 年 メインストリームサポート 延長サポート メインストリームサポート 延長サポート オンラインセルフヘルプサポート オンラインセルフヘルプサポート 上記はビジネス製品および開発用製品についての情報です コンシューマ製品 ハードウェア製品 マルチメディア製品 および Microsoft Dynamics 製品については 最短でも 5 年間のメインストリームサポートを提供します 詳細については マイクロソフトのサポートライフサイクルの Web サイトをご覧ください 製品の仕様変更 機能追加 セキュリティ更新プログラム提供 セキュリティ以外の更新プログラムのリクエスト 無償サポート 有償サポート セキュリティ更新プログラム提供 セキュリティ以外の更新プログラムのリクエスト ( 別途契約が必要 ) 有償サポート マイクロソフトの Web サイトでの製品情報提供 Windows Server のサポートライフサイクルは以下のとおりです Windows 2000 Server はまもなく延長サポート終了です 新バージョン移行へのご計画を早期にお願いいたします 2009 年 2010 年 2011 年 2012 年 2013 年 2014 年 2015 年 2016 年 2017 年 延長サポート 2010 年 7 月終了 メインストリームサポート 延長サポート 2015 年 7 月終了 + メインストリームサポート 延長サポート Windows Server 2008 R2 をお勧めします 18

19 関連リソース Windows Server 2008 Webcast Active Directory ドメインサービス新機能と機能強化 Web Cast 本 Webcast では Windows Server 2008 の Active Directory の新機能 強化点をデモンストレーションを交えながらおよそ 30 分程度でご紹介します ご都合のよい時間に視聴下さい デモンストレーションでよくわかる Windows Server 2008 R2 Webcast Active Directory ドメインサービス / ファイルサーバーの強化点 Webcast Windows Server 2008 R2 で強化された Active Directory ドメインサービス (AD DS) とファイルサーバー関連の新機能を紹介をさせていただきます ご都合のよい時間に視聴下さい 技術情報 Windows Server 2008 TechCenter 本 Web サイトには Windows Server 2008 の評価 導入に役立つ技術情報が掲載されています 機能説明 ステップバイステップガイドなど Windows Server 2008 / Windows Server 2008 R2 の評価 導入にお役立てください ステップバイステップガイド Windows Server 2008 の Active Directory ドメインサービスのインストールおよび削除 読み取り専用ドメインコントローラなど Windows Server 2008 TechCenter で検索 19

20 他の章は下記をクリックして PDF 一覧からお入り下さい IT ライブラリー (pdf 100 冊 ) 目次番号 270 番 Windows Server Enterprise 2008 R2 完全解説 ( 再入門 ) 全 26 冊 20

21