RADIUSサーバ設定ガイド

Transcription

1 RADIUS サーバ 設 定 ガイド Windows Server 2012 編 初 版 Copyright 2015, ALAXALA Networks Corporation. All rights reserved.

2 はじめに RADIUS サーバ 設 定 ガイド(Windows Server 2012 編 )は アラクサラネットワークス 社 の AX シリ ーズでサポートしているネットワーク 認 証 機 能 を 用 いたシステム 構 築 において RADIUS サーバに Windows Server 2012 及 び Windows Server 2012 R2 クライアント 端 末 に Windows 8 及 び Windows 8.1 を 使 用 する 場 合 の 設 定 方 法 を 示 します 関 連 資 料 AX シリーズ 認 証 ソリューションガイド AX シリーズ 製 品 マニュアル( 本 ガイド 使 用 上 の 注 意 事 項 本 ガイドに 記 載 の 内 容 は 弊 社 が 特 定 の 環 境 において 基 本 動 作 や 接 続 動 作 を 確 認 したものであり すべての 環 境 で 機 能 性 能 信 頼 性 を 保 証 するものではありません 弊 社 製 品 を 用 いたシステム 構 築 の 一 助 としていただくためのものとご 理 解 いただけますようお 願 いいたします 本 ガイドは Windows Server 2012 をベースに 記 述 しておりますが Windows Server 2012R2 におい ても 同 様 にお 使 いいただけます 詳 細 につきましては 本 文 中 に 示 しています Windows 製 品 に 関 する 詳 細 はマイクロソフト 株 式 会 社 のドキュメント 等 を 参 照 下 さい 本 ガイドの 内 容 は 改 良 のため 予 告 なく 変 更 する 場 合 があります 輸 出 時 の 注 意 本 製 品 を 輸 出 される 場 合 には 外 国 為 替 および 外 国 貿 易 法 の 規 制 ならびに 米 国 輸 出 管 理 規 制 など 外 国 の 関 連 法 規 をご 確 認 の 上 必 要 な 手 続 きをお 取 り 下 さい なお 不 明 な 場 合 は 弊 社 担 当 営 業 にお 問 い 合 わせ 下 さい 商 標 一 覧 Ethernetは 富 士 ゼロックス( 株 )の 登 録 商 標 です イーサネットは 富 士 ゼロックス( 株 )の 登 録 商 標 です Microsoftは 米 国 およびその 他 の 国 における 米 国 Microsoft Corp.の 登 録 商 標 です Windowsは 米 国 およびその 他 の 国 における 米 国 Microsoft Corp. の 登 録 商 標 です Windows Serverは 米 国 およびその 他 の 国 における 米 国 Microsoft Corp. の 登 録 商 標 です そのほかの 記 載 の 会 社 名 製 品 名 は それぞれの 会 社 の 商 標 もしくは 登 録 商 標 です Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 2

3 改 版 履 歴 版 数 rev. 日 付 変 更 内 容 変 更 箇 所 初 版 初 版 発 行 - Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 3

4 目 次 1. 概 要 概 要 設 定 例 環 境 使 用 機 器 一 覧 と AX コンフィグレーション 設 定 例 のネットワーク 構 成 図 Windows Server 2012 と Windows Server 2012 R2 の 差 分 について Windows Server 2012 / Windows Server 2012R2 の 構 成 準 備 ネットワークアダプタの 設 定 コンピュータ 名 の 変 更 役 割 の 追 加 Active Directory のインストール Web サーバ(IIS)のインストール Active Directory 証 明 書 サービス(AD CS)のインストール ネットワークポリシーとアクセスサービス(NPS)のインストール DHCP サーバのインストール インストール 内 容 の 確 認 IEEE802.1X 認 証 の 設 定 サーバの 設 定 ユーザー グループの 作 成 NPS の 設 定 Web サーバ(IIS)の 設 定 クライアント 端 末 の 設 定 IEEE802.1X 認 証 の 有 効 化 ドメイン 参 加 PEAP 設 定 TLS 設 定 IEEE802.1X 認 証 の 確 認 サーバでの 確 認 AX スイッチでの 確 認 Web 認 証 の 設 定 サーバの 設 定 ユーザーの 作 成 NPS の 設 定 クライアント 端 末 の 設 定 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 4

5 4.3. WEB 認 証 の 確 認 クライアントでの 確 認 サーバでの 確 認 AX スイッチでの 確 認 MAC 認 証 の 設 定 サーバの 設 定 グループポリシーの 編 集 (パスワードのポリシー 変 更 ) ユーザーの 作 成 NPS の 設 定 MAC 認 証 の 確 認 サーバでの 確 認 AX スイッチでの 確 認 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 5

6 1. 概 要 1.1. 概 要 本 ガイドでは 認 証 スイッチに AX シリーズ 認 証 端 末 に Windows 8 Windows 8.1 とし Windows Server 2012 /Windows Server 2012 R2 のネットワークポリシーサーバー(NPS)を RADIUS サーバ Active Directory をユーザーデータベースとして 下 記 認 証 方 式 を 使 用 したネットワーク 認 証 システム を 構 築 するための 設 定 方 法 を 記 載 しています IEEE802.1X 認 証 ( 1) (PEAP TLS)+SSO(Single Sign-On) Web 認 証 MAC 認 証 使 用 方 法 本 ガイドは 認 証 方 式 毎 に 設 定 方 法 を 記 載 しています 目 次 を 参 照 して 構 成 する 認 証 方 式 の 項 目 か ら 設 定 して 下 さい 第 2 章 では Windows Server 2012 での 役 割 のインストール 方 法 を 記 載 してい ます ここでインストールする 役 割 は Active Directory 証 明 書 サービス( 認 証 局 ) ( 2) を 除 き 各 認 証 方 式 で 必 須 となります AX のコンフィグレーションに 関 して 本 ガイドでは 詳 細 な 説 明 は 記 載 しておりません AX の 設 定 は 完 了 している 事 を 前 提 にサーバ クライアントの 設 定 方 法 を 記 載 しています 各 認 証 方 式 に 関 連 するコン フィグレーションは 以 下 の 資 料 を 参 照 して 下 さい AX シリーズ 製 品 マニュアル AX シリーズ 認 証 ソリューションガイド ( 1) 本 ガイドの IEEE802.1X 認 証 の 設 定 に 関 して サプリカントの 端 末 をドメインに 参 加 させる 手 順 で 記 載 しています サプリカント 端 末 をドメインに 参 加 させなくても IEEE802.1X 認 証 (PEAP TLS)は 構 成 可 能 ですが 若 干 手 順 が 異 なり ます ( 2) IEEE802.1X 認 証 のみ 証 明 書 を 発 行 するため Active Directory 証 明 書 サービス( 認 証 局 )のインストールが 必 要 となり ます また 本 ガイドでは CA RADIUS サーバ Active Directory を 一 台 のサーバにインストールしています Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 6

7 1.2. 設 定 例 環 境 使 用 機 器 一 覧 と AX コンフィグレーション 使 用 機 器 一 覧 RADIUS サーバ:Windows Server 2012 Standard Windows Server 2012R2 Standard 認 証 端 末 :Windows 8 Enterprise Windows 8.1 Enterprise update 認 証 スイッチ:AX1240S (Ver2.4) / AX2530S (Ver4.0.A) L3 スイッチ:AX3640S (Ver11.11.A) HUB:EAPOL 透 過 機 能 有 り AX コンフィグレーション 設 定 例 hostname "AX1240S"! vlan 1 name "VLAN0001"! vlan 30! vlan 100 mac-based! vlan 200 mac-based! vlan 1000! spanning-tree disable spanning-tree mode pvst! interface fastethernet 0/1 switchport mode mac-vlan switchport mac vlan 100,200 switchport mac native vlan 30 dot1x port-control auto dot1x multiple-authentication dot1x supplicant-detection auto web-authentication port mac-authentication port authentication ip access-group "auth" authentication arp-relay! ~ 未 使 用 インターフェイスは 省 略 ~! interface gigabitethernet 0/25 media-type auto switchport mode trunk switchport trunk allowed vlan 30,100,200,1000! interface vlan 1! interface vlan 30 ip address ! IEEE802.1X 認 証 関 連 コンフィグレーション MAC 認 証 関 連 コンフィグレーション Web 認 証 関 連 コンフィグレーション AX1240S のコンフィグレーション RADIUS サーバ 関 連 のコンフィグレーション( 各 認 証 方 式 共 通 ) interface vlan 100 ip address ! interface vlan 200 ip address ! interface vlan 1000 ip address ! ip route ! ip access-list extended "auth" 10 permit udp any any eq bootps 20 permit udp any any eq bootpc 30 permit udp any host eq domain! dot1x system-auth-control! mac-authentication system-auth-control mac-authentication id-format 1 mac-authentication password "alaxala"! web-authentication system-auth-control web-authentication ip address ! service dhcp vlan 30 ip dhcp pool "V30" network /24 lease default-router dns-server ! radius-server host key "alaxala" radius-server dead-interval 0! aaa authentication dot1x default group radius! aaa authentication mac-authentication default group radius! aaa authentication web-authentication default group radius Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 7

8 上 記 コンフィグレーションは AX1240S の 設 定 コンフィグです 同 等 の 設 定 を AX2530S に 定 義 す る 場 合 は 関 連 資 料 の AX 認 証 ソリューションガイド を 参 照 して 下 さい 設 定 例 のネットワーク 構 成 図 L3 スイッチ:AX3640S 疎 通 確 認 用 端 末 RADIUS サーバ 認 証 スイッチ: AX1240S/AX2530S HUB Windows Server 2012 /Windows Server 2012 R2 Active Directory Active Directory 証 明 書 サービス NPS(RADIUS サーバ) DHCP IIS(We サーバ) 802.1X 認 証 端 末 Web 認 証 端 末 MAC 認 証 端 末 図 構 成 図 AX シリーズでは MAC VLAN を 使 用 した 動 的 な VLAN 切 り 替 えを 構 成 しています 認 証 に 成 功 した 端 末 は RADIUS サーバからの VLAN 情 報 (MAC VLAN の VLAN ID)に 従 い 動 的 に VLAN の 切 り 替 え を 行 います 設 定 例 では ユーザーID に 付 属 させる 各 情 報 について 以 下 のように 設 定 しています ユーザーID が 所 属 するグループ 名 : 認 証 方 式 に 関 わらず 共 通 にしています(グループ 名 :SALES) 認 証 後 に 所 属 させる VLAN: 認 証 方 式 によって 分 けています IEEE802.1X 認 証 で 認 証 成 功 VLAN100 Web 認 証 と MAC 認 証 で 認 証 成 功 VLAN200 VLAN ID や 認 証 方 式 による 所 属 VLAN の 振 り 分 けはネットワーク 構 成 に 沿 って 変 更 して 下 さい Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 8

9 1.3. Windows Server 2012 と Windows Server 2012 R2 の 差 分 について 本 ガイドを 参 照 して RADIUS サーバを 構 成 する 際 Windows Server 2012 と Windows Server 2012 R2 で 設 定 内 容 や 設 定 画 面 に 差 分 がある 箇 所 を 以 下 に 示 します (A) 画 面 表 示 の 違 いについて Active Directory のインストール 手 順 14の 図 にて Windows Server 2012 ではフォレストおよびドメインの 機 能 レベルに Windows Server 2012 R2 の 選 択 ができません Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 9

10 2. Windows Server 2012 / Windows Server 2012R2 の 構 成 本 章 では Windows Server 2012 を RADIUS サーバとして 構 成 するために 必 要 な 役 割 のインストール 方 法 を 記 載 しています 以 下 に 本 ガイドでインストールする 役 割 を 示 します なお Windows Server 2012R2 を RADIUS サーバとして 構 成 する 場 合 は 1.3 Windows Server 2012 と Windows Server 2012R2 の 差 分 について を 参 照 の 上 本 章 の 手 順 を 行 ってください Active Directory ドメイン サービス DNS サーバ Web サーバ(IIS) Active Directory 証 明 書 サービス ネットワークポリシーとアクセスサービス(NPS) DHCP サーバ 2.1. 準 備 ネットワークアダプタの 設 定 少 なくとも 1 つのネットワークアダプタの TCP/IP の 設 定 を 完 了 させ リンクアップ 状 態 としてくだ さい またその 際 DNS クライアントの 設 定 も 必 ずおこなってください ネットワークアダプタのリン クが 上 がっていなかったり DNS が 使 用 できる 状 態 になっていないと Active Directory サービスの 構 成 が 出 来 ません( 以 下 前 提 条 件 のチェックで 失 敗 します) コンピュータ 名 の 変 更 本 ガイドで 必 要 な 上 記 の 役 割 をインストールした 後 ではサーバのコンピュータ 名 の 変 更 が 容 易 にで きなくなる 為 必 要 であれば 事 前 に 設 定 して 下 さい 1 Windows ロゴキーを 押 すか チャームから[ス タート]を 選 択 しスタートのタイル 画 面 を 表 示 コントロールパネル システム を 選 択 コンピュータ 名 ドメインおよび ワークグループの 設 定 から 設 定 の 変 更 をク リックしてシステムのプロパティ 画 面 を 開 き 変 更 をクリックしてコンピュータ 名 を 変 更 する ( 本 ガイドでは dc-2012 ) 設 定 変 更 後 は 再 起 動 が 必 要 です コンピュータ 名 の 変 更 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 10

11 2.2. 役 割 の 追 加 Active Directory のインストール ユーザーデータベースに Active Directory を 使 用 します 1 windows ロゴキーを 押 し[スタート 画 面 ] サーバーマネージャー を 起 動 し 管 理 から 役 割 と 機 能 の 追 加 をクリッ クする 図 Active Directory のインストール 1 2 役 割 と 機 能 の 追 加 ウィザード での 開 始 する 前 に を 確 認 して 次 へ をクリ ックする 右 画 面 は 各 役 割 の 設 定 画 面 でその 都 度 出 てきますが 内 容 は 同 じであるため 不 要 な 場 合 は 中 段 部 分 にある 既 定 で このページを 表 示 しない にチェックを 入 れて 下 さい 図 Active Directory のインストール 2 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 11

12 3 インストールの 種 類 の 選 択 は 役 割 ベースまたは 機 能 ベースのインストー ル のまま 次 へ をクリックする 図 Active Directory のインストール 3 4 対 象 サーバーの 選 択 では サーバー プールからサーバーを 選 択 で 自 サー バーが 表 示 および 選 択 されていることを 確 認 し 次 へ をクリック 図 Active Directory のインストール 4 5 サーバーの 役 割 の 選 択 で Active Directory ドメインサービス を 選 択 する 図 Active Directory のインストール 5 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 12

13 右 のような Active Directory ドメインサ ービスに 必 要 な 機 能 を 追 加 しますか? のメッセージが 表 示 された 場 合 は 管 理 ツールを 含 める( 存 在 する 場 合 ) にチェッ クが 入 った 状 態 のまま 機 能 の 追 加 を クリックする 図 Active Directory のインストール 6 6 Active Directory ドメインサービス に チェックが 入 っていることを 確 認 し 次 へ をクリック 図 Active Directory のインストール 7 7 機 能 の 選 択 では 何 も 選 択 せずそのま ま 次 へ をクリック 図 Active Directory のインストール 8 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 13

14 8 Active Directory ドメインサービス の 画 面 を 確 認 し 次 へ をクリック 図 Active Directory のインストール 9 9 インストールオプションの 確 認 を 確 認 し インストール をクリック 必 要 に 応 じて 対 象 サーバーを 自 動 的 に 再 起 動 する のチェックは 入 れても 入 れなくても 良 いが チェックを 入 れると 右 のような 警 告 画 面 が 表 示 される 図 Active Directory のインストール インストールが 開 始 され インストール の 進 行 状 況 で 進 行 の 状 況 が 表 示 される インストールが 終 了 したら 右 のように その 旨 が 表 示 される 図 Active Directory のインストール 11 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 14

15 11 この 後 閉 じる もしくは 次 へ で 役 割 と 機 能 の 追 加 ウィザードを 閉 じても 良 いが その 場 合 サーバーマネージャに Active Directory ドメインサービスの 構 成 を 促 す 通 知 が 表 示 される 図 Active Directory のインストール もしくは11で このサーバーをドメイ ンコントローラーに 昇 格 する をクリッ クすると Active Directory ドメインサ ービス 構 成 ウィザード が 実 行 される 図 Active Directory の 構 成 1 13 配 置 操 作 を 選 択 してください で 新 しいフォレストを 追 加 する を 選 択 し 任 意 のフォレストルートドメイン 名 ( 本 ガイドでは example.co.jp )を 入 力 し て 次 へ をクリック 図 Active Directory の 構 成 2 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 15

16 14 ドメインコントローラーオプション でフォレストおよびルートドメインの 機 能 レベル ドメインコントローラーの 機 能 復 元 時 のパスワードをそれぞれ 設 定 し( 本 ガイドではフォレストおよびドメ インの 機 能 レベルに Windows Server 2012 を 選 択 DNS サーバーはチェック 入 ったままとします) 次 へ をクリック する 図 Active Directory の 構 成 3 15 DNS サーバーの 役 割 をインストールして いない 場 合 右 図 のような 警 告 が 出 ます が 確 認 して 次 へ 図 Active Directory の 構 成 4 16 追 加 オプション はそのまま 次 へ 図 Active Directory の 構 成 5 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 16

17 17 データベース ログファイル およ び SYSVOL の 保 存 先 を 変 更 する 必 要 がなければ 次 へ をクリックする 図 Active Directory の 構 成 6 18 設 定 した 内 容 を 確 認 し 次 へ をクリッ ク 図 Active Directory の 構 成 7 19 前 提 条 件 のチェックがおこなわれ チェ ックに 合 格 するとインストール 可 能 にな りますが チェック 結 果 に 警 告 が 表 示 さ れることもあるので 確 認 の 上 インスト ール をクリックします インストール 終 了 後 は 自 動 的 に 再 起 動 さ れます 図 Active Directory の 構 成 8 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 17

18 Web サーバ(IIS)のインストール Web からの 証 明 書 発 行 機 能 を 利 用 するために Active Directory 証 明 書 サービス( 認 証 局 )をインス トールする 前 に IIS をインストールします Active Directory 証 明 書 サービスをインストールしない 場 合 または 本 サーバをその 他 の 目 的 で Web サーバにしない 場 合 は 必 要 ありません 1 サーバーマネージャー の 管 理 か ら 役 割 と 機 能 の 追 加 をクリックして 役 割 と 機 能 の 追 加 ウィザードを 起 動 し インストールの 種 類 に 役 割 ベース または 機 能 ベースのインストール を 選 択 対 象 サーバの 選 択 に 自 身 のサー バ(デフォルトで 選 択 済 み)を 選 択 サー バの 役 割 の 選 択 で Web サーバ(IIS) にチェックを 入 れ 次 へ をクリックす る 図 Web サーバ(IIS)のインストール 1 2 機 能 の 選 択 では 何 も 選 択 せずそのま ま 次 へ をクリック 図 Web サーバ(IIS)のインストール 2 3 内 容 を 確 認 し 次 へ をクリックする 図 Web サーバ(IIS)のインストール 3 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 18

19 4 他 に 追 加 する 必 要 がなければ 次 へ を クリックする 図 Web サーバ(IIS)のインストール 4 5 内 容 を 確 認 し インストール をクリッ クする 図 Web サーバ(IIS)のインストール 5 6 インストールの 結 果 を 確 認 し 閉 じる をクリックする 図 Web サーバ(IIS)のインストール 6 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 19

20 Active Directory 証 明 書 サービス(AD CS)のインストール IEEE802.1X 認 証 で PEAP を 使 用 する 場 合 にはサーバ 証 明 書 TLS の 場 合 にはサーバ 証 明 書 とユーザ ー 証 明 書 が 必 要 です これらの 証 明 書 を 発 行 する Active Directory 証 明 書 サービスのインストール 手 順 を 以 下 に 示 します Active Directory 証 明 書 サービスを 別 サーバで 構 成 することも 可 能 ですが 本 ガイドではドメインコン ローラと 同 一 のサーバに Active Directory 証 明 書 サービスをインストールする 手 順 を 記 載 しています なお IEEE802.1X 認 証 を 行 わない 場 合 は Active Directory 証 明 書 サービスをインストールする 必 要 は ありません 1 サーバーマネージャー の 管 理 か ら 役 割 と 機 能 の 追 加 をクリックして 役 割 と 機 能 の 追 加 ウィザードを 起 動 し インストールの 種 類 に 役 割 ベース または 機 能 ベースのインストール を 選 択 対 象 サーバの 選 択 に 自 身 のサー バ(デフォルトで 選 択 済 み)を 選 択 サ ーバの 役 割 の 選 択 で Active Directory 証 明 書 サービス にチェックを 入 れて 次 へ をクリックする 図 AD CS のインストール 1 2 機 能 の 選 択 では 何 も 選 択 せずそのま ま 次 へ をクリック 図 AD CS のインストール 2 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 20

21 3 Active Directory 証 明 書 サービス では 内 容 を 確 認 し 次 へ をクリック 図 AD CS のインストール 3 4 役 割 サービスの 選 択 では 証 明 機 関 と 証 明 機 関 Web 登 録 にチェックを 入 れ 次 へ をクリックする 図 AD CS のインストール 4 5 インストールオプションの 確 認 では 内 容 を 確 認 し インストール をクリッ クする 必 要 に 応 じて 対 象 サーバーを 自 動 的 に 再 起 動 するにもチェックを 入 れる 図 AD CS のインストール 5 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 21

22 6 インストールが 開 始 され インストール の 進 行 状 況 で 進 行 の 状 況 が 表 示 される インストールが 終 了 したら 右 のように その 旨 が 表 示 される 図 AD CS のインストール 6 7 閉 じる もしくは 次 へ で 役 割 と 機 能 の 追 加 ウィザードを 閉 じても 良 いが その 場 合 サーバーマネージャに Active Directory 証 明 書 サービスの 構 成 を 促 す 通 知 が 表 示 される 図 AD CS のインストール 7 8 6もしくは7で 対 象 サーバーに Active Directory 証 明 書 サービスを 構 成 する を クリックすると AD CS の 構 成 ウィザ ード が 実 行 される 図 AD CS の 構 成 1 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 22

23 9 役 割 サービス で は 証 明 機 関 と 証 明 機 関 web 登 録 にチェックを 入 れ 次 へ をクリックする 図 AD CS の 構 成 2 10 セットアップの 種 類 では エンター プライズ をチェックして 次 へ をク リックする 図 AD CS の 構 成 3 11 CA の 種 類 では ルート CA をチェ ックして 次 へ をクリックする 図 AD CS の 構 成 4 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 23

24 12 新 しい 秘 密 キーを 作 成 する をチェッ クして 次 へ をクリックする 図 AD CS の 構 成 5 13 CA の 暗 号 化 形 式 で 変 更 する 必 要 がなけ れば 次 へ をクリックする 図 AD CS の 構 成 6 14 この CA の 共 通 名 を 確 認 し 変 更 す る 必 要 がなければ 次 へ をクリックす る 図 AD CS の 構 成 7 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 24

25 15 有 効 期 間 に 変 更 する 必 要 がなければ 次 へ をクリックする 図 AD CS の 構 成 8 16 変 更 する 必 要 がなければ 次 へ をクリ ックする 図 AD CS の 構 成 9 17 確 認 し 問 題 がなければ 構 成 をクリッ クする 図 AD CS の 構 成 10 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 25

26 18 インストールの 結 果 を 確 認 し 閉 じる をクリックする 図 AD CS の 構 成 11 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 26

27 ネットワークポリシーとアクセスサービス(NPS)のインストール 1 サーバーマネージャー の 管 理 か ら 役 割 と 機 能 の 追 加 をクリックして 役 割 と 機 能 の 追 加 ウィザードを 起 動 し インストールの 種 類 に 役 割 ベース または 機 能 ベースのインストール を 選 択 対 象 サーバの 選 択 に 自 身 のサー バ(デフォルトで 選 択 済 み)を 選 択 サー バの 役 割 の 選 択 で ネットワークポリ シーとアクセス サービス にチェックを 入 れて 次 へ をクリックする 図 NPS のインストール 1 2 機 能 の 選 択 では 何 も 選 択 せずそのま ま 次 へ をクリックする 図 NPS のインストール 2 3 内 容 を 確 認 し 次 へ をクリックする 図 NPS のインストール 3 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 27

28 4 ネットワークポリシーサーバー にチ ェックを 入 れて 次 へ をクリックする 図 NPS のインストール 4 5 インストール 内 容 を 確 認 し インストー ル をクリックする 図 NPS のインストール 5 6 インストールの 結 果 を 確 認 し 閉 じる をクリックする 図 NPS のインストール 6 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 28

29 DHCP サーバのインストール 本 ガイドでは クライアント 端 末 の IP アドレスの 設 定 に DHCP を 使 用 する 構 成 となっています こ こでは DHCP サーバのインストール 方 法 を 記 載 しています 既 に 他 の DHCP サーバ 等 が 動 作 している 場 合 以 下 DHCP サーバのインストールは 省 いて 下 さい 1 サーバーマネージャー の 管 理 か ら 役 割 と 機 能 の 追 加 をクリックして 役 割 と 機 能 の 追 加 ウィザードを 起 動 し インストールの 種 類 に 役 割 ベース または 機 能 ベースのインストール を 選 択 対 象 サーバの 選 択 に 自 身 のサー バ(デフォルトで 選 択 済 み)を 選 択 サー バの 役 割 の 選 択 で DHCP サーバー にチェックを 入 れて 次 へ をクリック する 図 DHCP サーバのインストール 1 2 機 能 の 選 択 では 何 も 選 択 せずそのま ま 次 へ をクリックする 図 DHCP サーバのインストール 2 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 29

30 3 内 容 を 確 認 し 次 へ をクリックする 図 DHCP サーバのインストール 3 4 インストール 内 容 を 確 認 し インストー ル をクリックする 図 DHCP サーバのインストール 3 5 インストールが 開 始 され インストール の 進 行 状 況 で 進 行 の 状 況 が 表 示 される インストールが 終 了 したら 右 のように その 旨 が 表 示 される 図 DHCP サーバのインストール 3 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 30

31 6 閉 じる で 役 割 と 機 能 の 追 加 ウィザー ドを 閉 じても 良 いが その 場 合 サーバー マネージャに DHCP サーバーの 構 成 を 促 す 通 知 が 表 示 される 図 DHCP サーバのインストール 3 7 6もしくは7で DHCP サーバー 構 成 を 完 了 する をクリックすると DHCP イ ンストール 後 の 構 成 ウィザード が 実 行 される 説 明 画 面 では 内 容 を 確 認 し 次 へ をクリックする 図 DHCP サーバのインストール 後 の 構 成 1 8 承 認 画 面 で 以 下 ユーザーの 資 格 情 報 を 使 用 する を 選 択 して コミット をクリックする 図 DHCP サーバのインストール 後 の 構 成 2 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 31

32 9 要 約 を 確 認 し 閉 じる をクリックする 以 上 で DHCP サーバのインストールは 終 了 です 図 DHCP サーバのインストール 後 の 構 成 3 DHCP スコープを 作 成 する 場 合 は サーバーマネージャー ツール DHCP を 開 き サーバ 名 以 下 の IPv4 または IPv6 を 右 クリックして 新 しいスコープ を 選 択 し 新 し いスコープウィザードを 実 行 して 下 さい また 既 存 のスコープを 右 クリックしてプロパティを 開 く 事 により 詳 細 なオプションを 設 定 する 事 が 可 能 です Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 32

33 インストール 内 容 の 確 認 サーバーマネージャのダッシュボード 画 面 にて 追 加 した 各 役 割 が 存 在 することを 確 認 します 図 インストールの 確 認 以 上 で Windows Server 2012 を RAIDUS サーバとして 使 用 するために 必 要 な 役 割 のインストールは 完 了 です Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 33

34 3. IEEE802.1X 認 証 の 設 定 本 ガイドにて 設 定 する 認 証 方 式 は EAP-TLS EAP-PEAP です またサプリカントでは Windows ドメ インに 参 加 し SSO(Single Sign-On)を 構 成 する 方 法 を 記 載 しています 3.1. サーバの 設 定 ユーザー グループの 作 成 1 サーバーマネージャー ツール Active Directory ユーザーとコンピュ ータ から 作 成 したドメインを 展 開 し Users を 右 クリックして 新 規 作 成 ユーザー を 選 択 する 図 ユーザーの 設 定 1 2 ウィザードが 開 始 されたら 下 記 の 値 を 入 力 し 次 へ をクリックする 姓 : 任 意 ( 本 ガイドでは user1 ) フルネーム: 任 意 ( 姓 を 入 力 すると 同 時 に 反 映 される) ユーザーログオン 名 : 任 意 ( 姓 と 同 一 にする) 図 ユーザーの 設 定 2 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 34

35 3 パスワードを 入 力 し 次 へ をクリック する 図 ユーザーの 設 定 3 4 確 認 し 完 了 をクリックする 図 ユーザーの 設 定 4 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 35

36 5 グループの 作 成 画 面 左 の Users を 右 クリックして 新 規 作 成 グループ を 選 択 する 図 グループの 設 定 1 6 グループ 名 ( 本 ガイドでは SALES ) を 入 力 し OK をクリックする 図 グループの 設 定 2 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 36

37 7 サーバーマネージャ 画 面 にて 先 程 作 成 したユーザー(user1)を 選 択 し 右 クリ ックしてプロパティを 開 く プロパティ 画 面 にて 所 属 するグループ タブを 選 択 し 追 加 をクリックする 図 グループの 設 定 3 8 グループの 選 択 画 面 にて 選 択 するオブ ジェクト 名 に 先 程 作 成 したグループ 名 ( 本 ガイドでは SALES )を 入 力 し 名 前 の 確 認 をクリックして OK をク リックする 図 グループの 設 定 4 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 37

38 9 所 属 するグループ 内 に 指 定 したグル ープが 追 加 されている 事 を 確 認 する 図 グループの 設 定 5 10 プロパティ 画 面 にて ダイヤルイン タ ブを 選 択 し リモートアクセス 許 可 を アクセス 許 可 にチェック OK を クリックする 図 グループの 設 定 6 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 38

39 NPS の 設 定 (1) サーバの 登 録 1 サーバーマネージャー ツール ネットワークポリシーサーバー を 開 く 左 画 面 の NPS(ローカル) を 右 クリッ クし Active Directory にサーバを 登 録 をクリックする 図 NPS の 設 定 1 2 下 記 メッセージが 表 示 される OK を クリックする 図 NPS の 設 定 2 3 下 記 メッセージが 表 示 される OK を クリックする 図 NPS の 設 定 3 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 39

40 (2) RADIUS クライアントの 作 成 1 サーバーマネージャ ツール ネットワークポリシーサーバー から NPS(ローカル) RADIUS クラ イアントとサーバー RADIUS クラ イアント を 右 クリックし 新 規 を 選 択 する 図 RADIUS クライアントの 設 定 1 2 新 規 RAIDUS クライアント 画 面 にて 下 記 3 項 目 を 入 力 して OK をクリック する フレンドリ 名 : 任 意 のフレンドリ 名 ( 本 ガイドでは AX24 ) アドレス: 認 証 スイッチの IP アドレス ( 本 ガイドでは ) 共 有 シークレット: 認 証 スイッチにて 設 定 したシークレットキー ( 本 ガイドでは alaxala ) 図 RADIUS クライアントの 設 定 2 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 40

41 (3) ネットワークポリシーの 作 成 ネットワークポリシーの 作 成 手 順 を 以 下 に 示 します (a) 条 件 の 設 定 (b) 認 証 方 法 の 構 成 (c) 設 定 の 構 成 (d) ネットワークポリシーの 確 認 (a) 条 件 の 設 定 1 サーバーマネージャ ツール ネットワークポリシーサーバー から NPS(ローカル) ポリシー ネットワークポリシー を 右 クリック し 新 規 をクリックする 図 条 件 の 設 定 1 2 任 意 のポリシー 名 ( 本 ガイドでは 802.1xSALES )を 入 力 必 要 に 応 じ てネットワークアクセスサーバーの 種 類 を 選 択 し 次 へ をクリックする 図 条 件 の 設 定 2 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 41

42 3 NAS ポートの 種 類 条 件 の 指 定 画 面 にて 右 下 追 加 を クリックし 条 件 の 選 択 画 面 にて NAS ポートの 種 類 を 選 択 し 追 加 をクリックする 図 条 件 の 設 定 3 4 NAS ポートの 種 類 画 面 にて 一 般 的 な 802.1X 接 続 トンネルの 種 類 の 中 から イーサネット をチェックして OK をクリックする 図 条 件 の 設 定 4 5 条 件 欄 に 条 件 =NAS ポートの 種 類 値 =イーサネット が 追 加 されているこ とを 確 認 する 図 条 件 の 設 定 5 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 42

43 6 Windows グループ さらに 条 件 の 指 定 画 面 で 追 加 を クリックし 条 件 の 選 択 画 面 にて Windows グループ を 選 択 し 追 加 をクリックする 図 条 件 の 設 定 6 7 Windows グループ 画 面 にて グループ の 追 加 をクリックする グループの 選 択 画 面 にて 選 択 するグル ープ 名 を 入 力 し 名 前 の 確 認 をクリッ クして OK をクリックする 図 条 件 の 設 定 7 8 Windows グループ 画 面 にて 選 択 した グループが 追 加 されていることを 確 認 し OK をクリックする 図 条 件 の 設 定 8 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 43

44 9 条 件 欄 に 条 件 =Windows グループ 値 = 選 択 したグループ 名 が 追 加 されて いることを 確 認 し 次 へ をクリック する 図 条 件 の 設 定 9 10 アクセス 許 可 の 指 定 アクセスを 許 可 する をチェックして 次 へ をクリックする 図 条 件 の 設 定 10 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 44

45 (b) 認 証 方 法 の 構 成 ここでは RADIUS サーバで 認 証 許 可 する EAP の 種 類 の 設 定 を 行 います 使 用 する EAP の 種 類 (1PEAP 2TLS)によって 手 順 を 進 めて 下 さい PEAP と TLS の 両 方 を 許 可 する 場 合 は 1 2の 手 順 両 方 を 実 施 して 下 さい 1 PEAP の 場 合 追 加 をクリックし EAP の 追 加 画 面 で Microsoft: 保 護 された EAP(PEAP) を 選 択 し OK 図 認 証 方 法 の 構 成 (PEAP) 1 2 EAP の 種 類 に 追 加 された Microsoft: 保 護 された EAP(PEAP) を 選 択 し 編 集 をクリックする 保 護 された EAP プロパティの 編 集 画 面 にて 該 当 するサーバ 証 明 書 が 選 択 され ている 事 を 確 認 し OK で 閉 じる 保 護 された EAP プロパティの 編 集 画 面 が 表 示 され ない 場 合 Active Directory 証 明 書 サービスからサー バ 証 明 書 の 取 得 に 失 敗 しているか もしくはサーバ 証 明 書 が 発 行 されていない 可 能 性 があります 図 認 証 方 法 の 構 成 (PEAP) 2 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 45

46 3 TLS の 場 合 追 加 をクリックし EAP の 追 加 画 面 で Microsoft:スマートカードまたはそ の 他 の 証 明 書 を 選 択 し OK 図 認 証 方 法 の 構 成 (TLS) 1 4 EAP の 種 類 に 追 加 された Microsoft:ス マートカードまたはその 他 の 証 明 書 を 選 択 し 編 集 をクリック スマートカードまたはほかの 証 明 書 のプ ロパティ 画 面 にて 該 当 するサーバ 証 明 書 が 選 択 されている 事 を 確 認 し OK を クリックする 図 認 証 方 法 の 構 成 (TLS) 2 5 EAP の 種 類 に 追 加 されていることを 確 認 し 次 へ をクリックする ( 本 ガイドでは 以 下 のように EAP の 種 類 に PEAP と TLS の 両 方 許 可 する 設 定 とし ています ) 図 認 証 方 法 の 構 成 3 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 46

47 4 制 約 の 構 成 必 要 な 設 定 がある 場 合 は 設 定 し 次 へ をクリックする 図 認 証 方 法 の 構 成 4 (c) 設 定 の 構 成 ここでは 下 記 3つの 認 証 後 アトリビュートの 設 定 を 行 います 固 定 VLAN モードの 場 合 は 本 手 順 を 省 略 して 下 さい Tunnel-Medium-Type= 802 Tunnel-Pvt-Group-ID= 100 ( 認 証 後 VLAN ID) Tunnel-Type= VLAN 1 追 加 をクリックする 図 設 定 の 構 成 1 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 47

48 2 標 準 RADIUS 属 性 の 追 加 画 面 にて Tunnel-Medium-Type を 選 択 し 追 加 をクリックする 図 設 定 の 構 成 2 3 属 性 の 情 報 画 面 にて 追 加 をクリック し 802.1x で 一 般 的 に 使 用 する にチ ェックし 802 を 選 択 して OK を クリックする 図 設 定 の 構 成 3 4 属 性 の 情 報 画 面 にて ベンダ= RADIUS Standard 値 =802 が 追 加 さ れていることを 確 認 し OK をクリッ クする 図 設 定 の 構 成 4 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 48

49 5 追 加 をクリックし 標 準 RADIUS 属 性 の 追 加 画 面 に て Tunnel-Pvt-Group-ID を 選 択 し 追 加 をクリックする 図 設 定 の 構 成 5 6 属 性 の 情 報 画 面 にて 追 加 をクリック し 認 証 後 の VLAN ID( 本 ガイドでは 100 )を 入 力 して OK をクリック する 図 設 定 の 構 成 6 7 属 性 の 情 報 画 面 にて ベンダ= RADIUS Standard 値 =100 が 追 加 さ れていることを 確 認 し OK をクリッ クする 図 設 定 の 構 成 7 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 49

50 8 標 準 RADIUS 属 性 の 追 加 画 面 にて Tunnel-Type を 選 択 し 追 加 をク リックする 図 設 定 の 構 成 8 9 属 性 の 情 報 画 面 にて 追 加 をクリック し 802.1x で 一 般 的 に 使 用 する をチ ェックし Virtual LANs(VLAN) を 選 択 して OK をクリックする 図 設 定 の 構 成 9 10 属 性 の 情 報 画 面 にて ベンダ= RADIUS Standard 値 =Virtual LANs (VLAN) が 追 加 されていることを 確 認 し OK をクリックする 図 設 定 の 構 成 10 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 50

51 11 追 加 したアトリビュートが 反 映 されて いることを 確 認 し 次 へ をクリック する 図 設 定 の 構 成 新 しいネットワークポリシーの 内 容 を 確 認 して 完 了 をクリックする 図 設 定 の 構 成 12 (d) ネットワークポリシーの 確 認 1 サーバーマネージャ 画 面 にて 新 しいポ リシーが 反 映 されていることを 確 認 す る 図 ネットワークポリシーの 確 認 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 51

52 Web サーバ(IIS)の 設 定 IEEE802.1X 認 証 に TLS を 使 用 する 場 合 クライアント 端 末 にユーザーの 証 明 書 が 必 要 です 本 ガイド ではクライアント 端 末 からのユーザー 証 明 書 取 得 方 法 として Web サ ー バ( IIS)の 証 明 書 サービス Web 登 録 機 能 を 使 用 します これによりクライアント 端 末 はブラウザを 用 いて CA からユーザー 証 明 書 を 発 行 してもらうことが 可 能 となります Windows Server 2012 および Windows Server 2012R2 の 証 明 書 サービス Web 登 録 でユーザー 証 明 書 を 取 得 する 場 合 HTTPS でのアクセスが 必 須 となっています 証 明 書 サービス Web 登 録 機 能 自 体 は 必 要 な 役 割 をインストールした 時 点 で 動 作 していますが ここでは 本 サービスが SSL を 使 用 して 動 作 するように 設 定 する 手 順 を 以 下 に 示 します なお 本 設 定 は IEEE802.1X 認 証 の EAP の 種 類 に TLS を 使 用 し 且 つ Web サーバ(IIS)を Windows Server 2012 または Windows Server 2012R2 にて 構 築 する 場 合 に 必 要 となります 1 サーバーマネージャー ツール インターネットインフォメーション サービス(IIS)マネージャー を 選 択 し てください 図 Web サーバ(IIS)の 設 定 1 2 接 続 画 面 を 展 開 して Default Web Site を 右 クリックして バインドの 編 集 をクリックしてください 図 Web サーバ(IIS)の 設 定 2 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 52

53 3 サイトバインド の 画 面 で 追 加 を クリックし サイトバインドの 追 加 画 面 を 以 下 のように 入 力 してください 入 力 後 閉 じる をクリックしてください サイドバインドの 追 加 設 定 項 目 種 類 : HTTPS を 選 択 IP アドレス: 未 使 用 の IP アドレス すべて を 選 択 ポート:443 を 指 定 SSL 証 明 書 :サーバー 証 明 書 ( 本 ガイドでは dc-2012.example.co.jp )を 選 択 図 Web サーバ(IIS)の 設 定 3 4 接 続 画 面 の Default Web Site を 展 開 し Cert Srv を 選 択 /CertSrv ホーム 画 面 の SSL 設 定 をダブルクリックし てください 図 Web サーバ(IIS)の 設 定 4 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 53

54 5 SSL 設 定 画 面 にて SSL が 必 要 を チェックし クライアント 証 明 書 の 項 目 は 無 視 をチェックしてください 図 Web サーバ(IIS)の 設 定 5 設 定 は 以 上 です Default Web Site を 選 択 し 画 面 右 にある Web サイトの 管 理 から 再 起 動 をクリックしてください 以 上 で 証 明 書 サービス Web 登 録 機 能 は SSL で 動 作 します Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 54

55 3.2. クライアント 端 末 の 設 定 本 項 目 では Windows OS に 標 準 搭 載 されているサプリカント(IEEE802.1X 認 証 クライアント)の 設 定 方 法 について 示 します Windows 8 Windows 8.1 共 に 設 定 内 容 や 手 順 に 大 きな 違 いはありません そのため 本 ガイドでは Windows 8 の 設 定 画 面 にそって 手 順 を 示 し 差 分 がある 箇 所 のみ Windows 8 Windows 8.1 両 方 の 設 定 方 法 を 示 しています なお Windows 7 および Windows Vista での 設 定 方 法 につ いては RADIUS サーバ 設 定 ガイド(Windows Server 2008 編 ) を 参 照 下 さい IEEE802.1X 認 証 の 有 効 化 Windows 8 および Windows 8.1 など クライアント 向 け Windows OS では IEEE802.1X 認 証 は 既 定 で 無 効 になっています ネットワーク 接 続 での イーサネット のプロパティで 認 証 タブが 無 い 場 合 は 以 下 の 手 順 にて 有 効 にして 下 さい 1 デスクトップ からチャームの 設 定 コントロールパネル を 開 き 管 理 ツール を 選 択 します 図 IEEE802.1X 認 証 の 有 効 化 1 2 管 理 ツールの サービス を 実 行 し サービスの 名 前 Wired AutoConfig をダブルクリック 図 IEEE802.1X 認 証 の 有 効 化 2 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 55

56 3 全 般 タブ 内 のスタートアップの 種 類 を 自 動 サービスの 状 態 を 開 始 とするとサービスが 起 動 します その 後 OK をクリックします 図 IEEE802.1X 認 証 の 有 効 化 ドメイン 参 加 本 ガイドでは ユーザー コンピュータをドメインにて 一 元 管 理 する 構 成 で 認 証 を 実 施 しています なお ワークグループ 構 成 でも IEEE802.1X 認 証 を 行 うことは 可 能 です (1) 事 前 準 備 1 サーバ(ドメインコントローラ)と 通 信 が 可 能 なネットワークに 対 象 のクライアント 端 末 を 接 続 する 2 TCP/IP の 設 定 を 行 う IP アドレス ネットマスク およびデフォルトゲートウェイの 設 定 を 行 う 優 先 DNS サーバにはドメインコントローラの IP アドレスを 指 定 する 3 ドメインコントローラへ PING を 実 行 して 通 信 可 能 であることを 確 認 する また DNS 設 定 の 確 認 として ドメイン 名 指 定 での PING も 実 行 する Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 56

57 (2) ドメイン 参 加 手 順 1 デスクトップ からチャームの 設 定 コントロールパネル システム よりシステムウインドウを 表 示 させ コ ンピュータ 名 ドメインおよびワークグル ープの 設 定 にある 設 定 の 変 更 をクリ ックしてシステムのプロパティ 画 面 を 表 示 して 下 さい さらに システムのプロパ ティ 画 面 内 の 変 更 をクリックして 下 さい 図 ドメイン 参 加 1 2 コンピュータ 名 /ドメイン 名 の 変 更 画 面 の 次 のメンバ にて ドメイン にチェックし ドメイン 名 を 入 力 詳 細 をクリックする 図 ドメイン 参 加 2 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 57

58 3 DNS サフィックスと NetBIOS コンピ ュータ 名 画 面 にて このコンピュータ のプライマリ DNS サフィックス にド メイン 名 を 入 力 し OK をクリックし て 画 面 を 閉 じる ドメイン 参 加 3 4 まもなく 右 記 の 画 面 が 表 示 される で 作 成 したユーザー 名 およびパス ワードを 入 力 し OK をクリックする 右 記 の 画 面 が 表 示 されない 場 合 ドメインコントロ ーラとの 接 続 性 を 確 認 して 下 さい 図 ドメイン 参 加 4 5 端 末 のドメイン 参 加 が 許 可 された 場 合 右 記 のメッセージが 表 示 される OK をクリックして 画 面 を 閉 じると 再 起 動 が 促 されます 図 ドメイン 参 加 5 6 再 起 動 後 端 末 のログオン 画 面 にて 矢 印 から 他 のユーザーを 選 択 し ログオン 先 のドメイン 名 を 確 認 し( 本 ガイドでは EXAMPLE ) で 作 成 したユーザ ー 名 およびパスワードを 入 力 してログオ ンする 図 ドメイン 参 加 6 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 58

59 (3) 確 認 方 法 CA の 証 明 書 を 取 得 している 事 を 確 認 します 1 デスクトップ からチャームの 設 定 コントロールパネル インターネ ットオプション を 開 き コンテンツ タブを 選 択 して 証 明 書 をクリックする (カテゴリ 表 示 されている 場 合 は 一 覧 表 示 に 変 更 すると インターネットオプショ ン のアイコンが 表 示 されます ) 証 明 書 画 面 にて 信 頼 されたルート 証 明 機 関 タブを 選 択 し 発 行 者 = example-dc-2012-ca(ca) の 証 明 書 を 確 認 する 図 CA 証 明 書 の 確 認 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 59

60 PEAP 設 定 本 項 目 では PEAP を 使 用 した IEEE802.1X 認 証 の 設 定 方 法 を 示 します なお 本 ガイドではPEAP-MSCHAPv2 を 使 用 した SSO(Single Sign-On) 構 成 で 認 証 を 実 施 しています 今 回 作 成 したドメインユーザー( 本 ガイドでは user1 ) に は IEEE802.1X 認 証 の 設 定 を 変 更 する 権 限 が 無 いため 一 度 サインアウトしてください 次 にドメインユーザー( 本 ガイドでは user1 )で はなくこのコンピュータの 管 理 者 権 限 のあるローカルユーザーでサインインしてください 1 チャームの 設 定 コントロールパ ネル ネットワークと 共 有 センター アダプター 設 定 の 変 更 を 開 き 該 当 するネットワーク 接 続 を 右 クリックし て プロパティ を 開 く プロパティ 画 面 にて 認 証 タブを 選 択 し IEEE802.1X 認 証 を 有 効 にする に チェックを 入 れ EAP の 種 類 に Microsoft: 保 護 された EAP(PEAP) を 選 択 設 定 をクリックする 図 PEAP の 設 定 1 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 60

61 2 保 護 された EAP のプロパティ 画 面 にて 証 明 書 を 検 証 してサーバーの ID を 検 証 する にチェックし 信 頼 されたル ー ト 証 明 機 関 の 中 か ら example-dc-2012-ca をチェックす る 認 証 方 法 を 選 択 する の 中 から セキ ュリティで 保 護 されたパスワード (EAP-MSCHAPv2) を 選 択 し 構 成 をクリックする 図 PEAP の 設 定 2 3 EAP MSCHAPv2 のプロパティ 画 面 にて Windows のログオン 名 とパスワード (およびドメインがある 場 合 はドメイ ン)を 自 動 的 に 使 う をチェックして OK をクリックし プロパティ 画 面 を 閉 じる 図 PEAP の 設 定 3 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 61

62 TLS 設 定 本 項 目 では TLS を 使 用 した Windows 標 準 搭 載 IEEE802.1X 認 証 の 設 定 方 法 を 示 します なお 本 ガイドでは 認 証 端 末 におけるユーザー 証 明 書 の 取 得 方 法 に 証 明 書 サービス Web 登 録 機 能 を 使 用 しています (1) ユーザー 証 明 書 のダウンロード 1 サーバとの 通 信 が 可 能 なネットワークにクライアント 端 末 を 接 続 する Internet Explorer を 起 動 し 名 /certsrv/ に Web アクセスする ( 本 ガイドでのサーバのホスト 名 は dc.example.co.jp です ) 認 証 画 面 が 表 示 されたら で 作 成 したユーザー 名 およびパスワードを 入 力 しログオンする 図 TLS の 設 定 1 2 Microsoft Active Directory 証 明 書 サービ ス 画 面 が 表 示 される タスクの 選 択 より 証 明 書 を 要 求 す る をクリックする 図 TLS の 設 定 2 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 62

63 3 証 明 書 の 要 求 で ユーザー 証 明 書 をクリックする 図 TLS の 設 定 3 4 Web アクセスの 確 認 画 面 が 表 示 されま すので はい をクリックする 図 TLS の 設 定 4 5 送 信 をクリックする 図 TLS の 設 定 5 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 63

64 6 下 記 の 警 告 が 表 示 されるが はい をク リックする 図 TLS の 設 定 6 7 この 証 明 書 のインストール をクリッ クする 図 TLS の 設 定 7 8 ユーザー 証 明 書 のインストール 完 了 図 TLS の 設 定 8 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 64

65 9 チャームの 設 定 コントロールパ ネル インターネットオプション を 開 き コンテンツ タブを 選 択 して 証 明 書 をクリックする 証 明 書 画 面 にて 個 人 タブを 選 択 し 発 行 者 =example-dc-2012-ca(ca) 発 行 先 =ユーザー 名 が 追 加 されている ことを 確 認 する 図 TLS の 設 定 9 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 65

66 (2) TLS 設 定 手 順 今 回 作 成 したドメインユーザー( 本 ガイドでは user1 ) に は IEEE802.1X 認 証 の 設 定 を 変 更 する 権 限 が 無 いため 一 度 サインアウトしてください 次 にこのコンピュータの 管 理 者 権 限 のあるユーザーでドメ イン( 本 ガイドでは example.co.jp )ではなくこのコンピュータにサインインしてください 10 チャームの 設 定 コントロールパ ネル ネットワークと 共 有 センター アダプターの 設 定 の 変 更 を 開 き 該 当 するネットワーク 接 続 を 右 クリックし て プロパティ を 開 く プロパティ 画 面 にて 認 証 タブを 選 択 し IEEE802.1X 認 証 を 有 効 にする にチェ ックを 入 れ EAP の 種 類 に Microsoft: ス マートカードまたはその 他 の 証 明 書 を 選 択 設 定 をクリックする 図 TLS の 設 定 10 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 66

67 11 スマートカードまたはほかの 証 明 書 のプ ロパティ 画 面 にて 接 続 のための 認 証 方 法 に このコンピュータの 証 明 書 を 使 う を 選 択 する サーバーの 証 明 書 を 検 証 する にチェックし 信 頼 されたルート 証 明 機 関 の 中 から example-dc-2012-ca を チェックし OK をクリックして 画 面 を 閉 じる 図 TLS の 設 定 11 (Windows Vista) Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 67

68 3.3. IEEE802.1X 認 証 の 確 認 サーバでの 確 認 全 ての 設 定 が 完 了 しクライアント 端 末 を 認 証 スイッチに 接 続 して IEEE802.1X 認 証 を 行 ってください サーバーマネージャー ツール イ ベントビューア カスタムビュー ServerRoles ネットワークポリシーと アクセスサービス で NPS のログを 確 認 す ることができます 図 サーバログ(PEAP) 図 サーバログ(TLS) Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 68

69 AX スイッチでの 確 認 show dot1x port xx detail コマンドにて IEEE802.1X 認 証 に 成 功 しているユーザー 情 報 を 確 認 するこ とができます 図 show dot1x port 0/1 detail (AX1240S にて 実 行 ) Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 69

70 4. Web 認 証 の 設 定 4.1. サーバの 設 定 ユーザーの 作 成 Web 認 証 用 のユーザーを 作 成 します ユーザーID パスワードが 6 文 字 以 上 でないと AX スイッチ にて 受 け 付 けない 事 に 留 意 して 下 さい 1 サーバーマネージャー ツール Active Directory ユーザーとコンピュ ータ を 開 き 作 成 したドメインを 展 開 して Users を 右 クリックし 新 規 作 成 ユーザー を 選 択 する 図 Web 認 証 用 ユーザーの 作 成 1 2 ウィザードが 開 始 されたら 下 記 の 値 を 入 力 し 次 へ をクリックする 姓 : 任 意 ( 本 ガイドでは webuser1 ) フルネーム: 任 意 ( 姓 を 入 力 すると 同 時 に 反 映 される) ユーザーログオン 名 : 任 意 ( 姓 と 同 一 にする) 図 Web 認 証 用 ユーザーの 作 成 2 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 70

71 3 パスワードを 入 力 して 次 へ 内 容 を 確 認 して 完 了 をクリックする 図 Web 認 証 用 ユーザーの 作 成 3 4 作 成 したユーザー(webuser1)を 選 択 し 右 クリックしてプロパティを 開 く プロ パティ 画 面 にて 所 属 するグループ タ ブを 選 択 し 追 加 をクリックする 図 Web 認 証 用 ユーザーの 作 成 4 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 71

72 5 グループの 選 択 画 面 にて 選 択 するオブ ジェクト 名 に で 作 成 したグループ 名 (SALES)を 入 力 して 名 前 の 確 認 をクリックし OK をクリックする 図 Web 認 証 用 ユーザーの 作 成 5 6 所 属 するグループ 内 に 指 定 したグループ が 追 加 されている 事 を 確 認 する 図 Web 認 証 用 ユーザーの 作 成 6 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 72

73 7 次 に ダイヤルイン タブを 選 択 し リ モートアクセス 許 可 を アクセス 許 可 にチェック OK をクリックする 図 Web 認 証 用 ユーザーの 作 成 7 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 73

74 NPS の 設 定 RADIUS クライアントの 設 定 をする RADIUS クライアントの 設 定 に 関 しては (2)を 参 照 して 下 さい 1 サーバーマネージャ ツール ネットワークポリシーサーバー から NPS(ローカル) ポリシー ネ ットワークポリシー を 右 クリックし 新 規 をクリックする 図 NPS の 設 定 1 2 任 意 のポリシー 名 ( 本 ガイドでは Web 認 証 SALES )を 入 力 し 次 へ をクリ ックする 図 NPS の 設 定 2 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 74

75 3 条 件 の 指 定 追 加 をクリックする 図 NPS の 設 定 3 4 条 件 の 選 択 画 面 にて NAS ポートの 種 類 を 選 択 し 追 加 をクリックする 図 NPS の 設 定 4 5 NAS ポートの 種 類 画 面 にて 仮 想 (VPN) をチェックし OK をクリッ クする 図 NPS の 設 定 5 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 75

76 6 条 件 一 覧 に 条 件 =NAS ポートの 種 類 値 = 仮 想 (VPN) が 追 加 されていること を 確 認 し 追 加 をクリックする 図 NPS の 設 定 6 7 条 件 の 選 択 画 面 にて Windows グルー プ を 選 択 し 追 加 をクリックする 図 NPS の 設 定 7 8 Windows グループ 画 面 にて グループ の 追 加 をクリックする 図 NPS の 設 定 8 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 76

77 9 グループの 選 択 画 面 にて 選 択 するグル ープ 名 を 入 力 して 名 前 の 確 認 をクリ ックする OK をクリックする 図 NPS の 設 定 9 10 Windows グループ 画 面 にて 選 択 したグ ループが 追 加 されていることを 確 認 し OK をクリックする 図 NPS の 設 定 条 件 一 覧 に 条 件 =Windows グループ 値 = 選 択 したグループ 名 が 追 加 されて いることを 確 認 し 次 へ をクリックす る 図 NPS の 設 定 11 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 77

78 12 アクセス 許 可 の 指 定 アクセスを 許 可 する にチェックして 次 へ をクリックする 図 NPS の 設 定 認 証 方 法 の 構 成 暗 号 化 されていない 認 証 (PAP SPAP) にチェックして 次 へ をクリックする 接 続 要 求 ポリシーのヘルプトピックが 表 示 された 場 合 は いいえ で 先 に 進 め てください 図 NPS の 設 定 13 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 78

79 14 制 約 の 構 成 必 要 な 設 定 がある 場 合 は 設 定 し 次 へ をクリックする 図 NPS の 設 定 14 設 定 の 構 成 IEEE802.1X 認 証 の 手 順 と 同 じ (3.1.2(3)(c)を 参 照 ) 15 新 しいネットワークポリシーの 完 了 設 定 した 内 容 を 確 認 し 完 了 をクリッ クする 図 NPS の 設 定 サーバーマネージャ 画 面 にて ネットワ ークポリシー 一 覧 に Web 認 証 が 追 加 されていることを 確 認 する 図 NPS の 設 定 16 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 79

80 4.2. クライアント 端 末 の 設 定 クライアント 端 末 の 設 定 は 特 にありません ブラウザが 使 用 できることを 確 認 してから 認 証 ポ ートに 接 続 してください 4.3. WEB 認 証 の 確 認 クライアントでの 確 認 1 クライアント 端 末 のブラウザから Web 認 証 専 用 IP アドレスに HTTP アクセス すると Web 認 証 画 面 が 表 示 されます Web 認 証 用 に 作 成 したユーザーとその パスワードを 入 力 し Login をクリック する ( 本 ガイドでは User ID = webuser1 ) 図 Web 認 証 の 確 認 1 2 Login success と 認 証 成 功 画 面 が 表 示 される 図 Web 認 証 の 確 認 2 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 80

81 サーバでの 確 認 サーバーマネージャー ツール イ ベントビューア カスタムビュー ServerRoles ネットワークポリシーと アクセスサービス で NPS のログを 確 認 す ることができます 図 サーバログ(Web 認 証 ) AX スイッチでの 確 認 show web-authentication login コマンドにて Web 認 証 に 成 功 しているユーザー 情 報 を 確 認 すること ができます 図 show web-authentication login (AX1240S にて 実 行 ) Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 81

82 5. MAC 認 証 の 設 定 5.1. サーバの 設 定 AX の MAC 認 証 で 使 用 するユーザーを 作 成 する 場 合 パスワードの 設 定 について 2 通 りの 方 法 があり ます (1) ユーザーID パスワードにクライアント 端 末 の MAC アドレスを 使 用 する Active Directory を 構 成 した 場 合 パスワードは 複 雑 さの 要 件 を 満 たす 必 要 がある というグループ ポリシーが 適 用 されるためユーザーの 作 成 ができません そのためグループポリシーの 編 集 が 必 要 と なります (2) 装 置 単 位 で MAC 認 証 のパスワードを 統 一 する AX のコンフィグレーションコマンド(mac-authentication password)を 使 用 します 構 築 する 環 境 に 応 じてパスワードの 設 定 方 法 を 選 択 して 下 さい グループポリシーの 編 集 (パスワードのポリシー 変 更 ) MAC 認 証 のパスワードに 端 末 の MAC アドレスを 使 用 する 場 合 グループポリシーを 編 集 する 方 法 を 示 します 本 ガイドでは デフォルトドメインポリシーを 編 集 する 手 順 を 記 載 しています 1 サーバーマネージャー ツール グループポリシーの 管 理 から グ ループポリシーの 管 理 を 開 き グルー プポリシーの 管 理 フォレス ト :example.co.jp ドメイン - example.co.jp グループポリシー オブジェクト と 展 開 し Default Domain Policy を 右 クリックし 編 集 を 選 択 グループポリシー 管 理 エディタ ーを 起 動 する 図 MAC 認 証 の 設 定 1 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 82

83 2 Default Domain Policy コンピュ ータの 構 成 ポリシー Windows の 設 定 セキュリティの 設 定 ア カウントポリシー パスワードのポ リシー を 選 択 し 右 画 面 の 複 雑 さの 要 件 を 満 たす 必 要 があるパスワード を 右 クリックし プロパティ を 開 く 図 MAC 認 証 の 設 定 5 3 無 効 を 選 択 して OK をクリック する 図 MAC 認 証 の 設 定 6 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 83

84 4 複 雑 さの 要 件 を 満 たす 必 要 があるパス ワード が 無 効 になっている 事 を 確 認 し グループポリシー 管 理 エディターを 閉 じ る 図 MAC 認 証 の 設 定 7 5 ポリシーの 変 更 を 反 映 させるためコマン ドプロンプトを 開 き gpupdate コマン ドを 投 入 する もしくはサーバを 再 起 動 する 図 MAC 認 証 の 設 定 8 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 84

85 ユーザーの 作 成 本 項 目 では Active Directory に MAC 認 証 用 のユーザーを 作 成 します AX1200S, AX2200S, AX2500S シリーズは 初 期 値 の MAC アドレス 設 定 形 式 はユーザー 名 とパスワードが の 形 式 と なりますが コンフィグレーションコマンド(mac-authentication id-format)で や 00:01:02:03:04:05 などの 形 式 及 び 英 字 の 大 文 字 小 文 字 が 変 更 可 能 となっています AX2400S, AX3600S シリーズでは MAC アドレスは - や : 等 の 記 号 を 含 まない の 16 進 数 12 桁 ( 英 字 は 小 文 字 )の 形 式 で 登 録 して 下 さい AX1200S, AX2200S, AX2500S と AX2400S, AX3600S シリーズ 混 在 環 境 では AX1200S, AX2200, AX2500S 側 のコンフィグレーションで の 16 進 12 桁 ( 英 字 は 小 文 字 )の 形 式 (mac-authentication id-format 1)に 統 一 して 下 さい 6 スタート 管 理 ツール サー バーマネージャ 役 割 Active Directory ドメインサービス Active Directory ユーザーとコンピュータ を 開 き 作 成 したドメインを 展 開 して Users を 右 クリックし 新 規 作 成 ユーザ ー を 選 択 する 図 MAC 認 証 の 設 定 9 7 ウィザードが 開 始 されたら 下 記 の 値 を 入 力 し 次 へ をクリックする 姓 : 認 証 したい 端 末 の MAC アドレス フルネーム: 任 意 ( 姓 を 入 力 すると 同 時 に 反 映 される) ユーザーログオン 名 : 認 証 端 末 の MAC アドレス 図 MAC 認 証 の 設 定 10 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 85

86 8 パスワードを 入 力 し 次 へ をクリック する 図 MAC 認 証 の 設 定 11 9 完 了 をクリックする 図 MAC 認 証 の 設 定 12 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 86

87 10 先 程 作 成 したユーザー(MAC 認 証 用 のユ ーザー)を 選 択 し 右 クリックしてプロ パティを 開 く プロパティ 画 面 にて 所 属 するグループ タブを 選 択 し 追 加 をクリックする 図 MAC 認 証 の 設 定 グループの 選 択 画 面 にて 選 択 するオブ ジェクト 名 に で 作 成 したグループ 名 を 入 力 して 名 前 の 確 認 をクリック し OK をクリックする 図 MAC 認 証 の 設 定 14 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 87

88 12 所 属 するグループ 内 に 指 定 したグル ープが 追 加 されている 事 を 確 認 する 図 MAC 認 証 の 設 定 プロパティ 画 面 にて ダイヤルイン タ ブを 選 択 し リモートアクセス 許 可 を アクセス 許 可 にチェック OK を クリックする 図 MAC 認 証 の 設 定 16 Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 88

89 NPS の 設 定 MAC 認 証 での NPS の 設 定 は Web 認 証 での 設 定 (4.1.2 章 )と 全 く 同 じです わかりやすくする 為 に ポリシー 名 変 更 を 行 うことを 推 奨 します 5.2. MAC 認 証 の 確 認 サーバでの 確 認 サーバーマネージャー ツール イベントビューア カスタムビュー ServerRoles ネットワークポリシ ーとアクセスサービス で NPS のログを 確 認 することができます 図 サーバログ(MAC 認 証 ) AX スイッチでの 確 認 show mac-authentication login コマンドにて MAC 認 証 に 成 功 しているユーザー 情 報 を 確 認 するこ とができます 図 show mac-authentication login (AX1240S にて 実 行 ) Copyright (c) 2015 ALAXALA Networks Corporation. All rights reserved. 89

90 2015 年 2 月 13 日 初 版 発 行 資 料 No. NTS-14-R-030 アラクサラネットワークス 株 式 会 社 ネットワークテクニカルサポート 川 崎 市 幸 区 鹿 島 田 一 丁 目 1 番 2 号 新 川 崎 三 井 ビル 西 棟