Agenda Active Directory on AWS 基礎からわかる Active Directory Active Directory on AWS 構成のシナリオ ADFS と IAM による ID 連携 AWS Directory Service ディレクトリタイプの選択 ディレクトリ

Transcription

1 AWS Directory Service AWS Black Belt Tech Webinar 2014 ( 旧マイスターシリーズ ) アマゾンデータサービスジャパン株式会社 ソリューションアーキテクト 渡邉源太

2 Agenda Active Directory on AWS 基礎からわかる Active Directory Active Directory on AWS 構成のシナリオ ADFS と IAM による ID 連携 AWS Directory Service ディレクトリタイプの選択 ディレクトリの管理理 多要素認証 (MFA) の設定

3 Active Directory on AWS

4 ディレクトリとは ユーザに関わる各種情報を保管する仕組み ユーザ名 姓 名 部署 電話番号 メールアドレス パスワード グループ など ツリー状の構成とする事が多いことから ディレクトリと呼ばれる 関連 用語 :LDAP Active Directory OpenLDAP

5 Active Directory とは Windows ネットワークの基本的な認証とセキュリティ基盤 Windows 2000 から標準機能として実装されたディレクトリサービス NT ドメインからの反省省をふまえたアーキテクチャー ドメイン間の階層構造がとれない 同 一ネットワーク上に同じコンピュータ名が共存できない Security Account Manager(SAM) データベースの最 大容量量が 40MB まで

6 Active Directory の必要性 ID とアクセス管理理 運 用効率率率の向上 コンプライアンスの推進 セキュリティの強化 エクストラネットへの拡張 アプリケーションによる使 用 Exchange/SharePoint/SQL Server ファイル共有 パッチ管理理など Windows システムでは Active Directory がほぼ必須

7 Active Directory サービス Active Directory ドメインサービス (AD DS) Active Directory フェデレーションサービス (ADFS) Active Directory 証明書サービス (AD CS) Active Directory ライトウェイトディレクトリサービス (AD LDS) Active Directory Rights Management サービス (AD RMS)

8 Active Directory ドメインサービス (AD DS) 名前解決 (DNS) ディレクトリサービス (LDAP) ユーザー認証 (Kerberosバージョン5) クライアント管理理 (SMB: ファイル共有 )

9 基本的な 用語 フォレスト DNS の名前階層に基づく 1 つ以上のドメインの階層的集合 ドメイン ユーザーとコンピュータの管理理単位 DNS の名前階層を LAN に応 用したもの 組織単位 (OU) ユーザーとコンピュータを管理理する論論理理的な階層 サイト 物理理ネットワークに基づく境界

10 ドメインとフォレスト Active Directory の論論理理構造 ドメイン ツリー間で信頼関係を結んだものがフォレスト フォレスト内のドメインでは 推移的な信頼関係 が結ばれる フォレスト 信頼関係 domain.local 信頼関係 信頼関係 domain.local 信頼関係 jp.domain.local us.domain.local ドメイン ツリー jp.domain.local us.domain.local ドメイン ツリー

11 OU( 組織単位 ) の構造 OU( 組織単位 ) の中にユーザー コンピュータ グループなどのオブジェクトが配置される グループポリシーの適 用範囲 Active Directory ドメイン 営業部 OU Member 001 Member 002 Member 003 Member 004 経理部 OU Member 101 Member 102 Member 103 Member 104

12 Flexible Single Master Operation(FSMO) Active Directory ドメインコントローラ (DC) には FSMO と呼ばれる特別な役割があります スキーマ マスタ Active Directory のデータベーススキーマを管理理 ドメイン名前付け操作マスタ フォレストにおけるドメインの追加 / 削除 RID マスタ オブジェクトの固有識識別に使 用する SID の 一部 RID を管理理 PDC エミュレータ NT ドメインのプライマリドメインコントローラをエミュレート インフラストラクチャ マスタ グループに所属しているユーザーアカウントの情報を管理理

13 ドメインコントローラー (DC) 配置 新規の Active Directory ドメインサービスの構築 ドメインコントローラーを EC2 上に構築 アプリケーションで集中化されたクラウドベースの認証が必要な場合 既存の Active Directory 環境を AWS に拡張 既存 ( オンプレミス ) のドメインコントローラーを利利 用

14 AWS 上に DC を配置する場合 新規の Active Directory ドメインサービスの構築 DC (FSMO1) DC (FSMO2) Direct Connect AZ を利利 用した冗 長化 リストア 方法について要検討 Availability Zone Availability Zone VPN Connection クライアント

15 既存 DC を利利 用し ハイブリッド運 用する場合 既存の Active Directory 環境を AWS に拡張 DC (FSMO) DC Direct Connect DC (FSMO) AZ を利利 用した冗 長化 Availability Zone Availability Zone VPN Connection クライアント FSMO の配置場所を選定 (AWS もしくは 自社環境 )

16 DNS の配置 障害発 生時にも名前解決ができる状態を確保する DNS DNS DNS DC (FSMO) DC Direct Connect DC (FSMO) この障害の例例では 自分 自 身に DNS がインストールされていないと名前解決ができ Availability Zone Availability Zone ない状態に陥る 名前解決ができる状態を確保することで DC の孤 立立を防ぐ VPN Connection クライアント

17 参照先 DNS の指定 NIC の TCP/IP の設定 参照先 DNS には DC 上の DNS を指定する AWS が提供する DNS は ( 代替 DNS としても ) 参照しない DC の参照ができなくなり ログオン障害が発 生する恐れ DC 間の複製障害が発 生する恐れ DC 上の DNS のフォワーダーに AWS が提供する DNS を設定 インターネットの名前解決は AWS が提供する DNS にフォワード

18 TCP/IP の詳細設定 (DNS) 既定で DNS サフィックスに AWS 関連のものが追加されている 追加されているサフィックスの例例 ap- northeast- 1.ec2- utilities.amazonaws.com us- east- 1.ec2- utilities.amazonaws.com ec2- utilities.amazonaws.com ec2.internal ap- northeast- 1.compute.internal

19 DHCP Options Set の利利 用 ドメインの FQDN を指定 DC 上の DNS を指定 NTP サーバーは設定しない (PDC エミュレーター同期 ) WINS を使 用する際に指定 WINS を使 用する際に 2 を設定

20 バックアップ 従来のバックアップの 手法を使 用 VSS (Volume Shadow Copy Service) に 対応したバックアップツールを使 用する Windows Server バックアップ Wbadmin.exe Tombstone Lifetime の有効期限に注意 EC2 スナップショットの利利 用 バックアップツールによって取得されたバックアップデータが保管されているボリュームのスナップショットを取得し データを保全 DC のシステム全体のスナップショットについては 次ページの留留意点について 十分考慮する必要がある

21 リストア時の注意 DC のシステム全体のスナップショットをリストアに使 用しない USN ロールバックを誘発 ロールバックが発 生した DC はドメイン環境から隔離離され 複製パートナーとして 見見なされなくなる 仮想化ドメインコントローラーのバックアップと復復元に関する考慮事項

22 Active Directory フェデレーションサービス (ADFS) セキュリティで保護された ID 連携 ( フェデレーション ) と Web シングルサインオン (SSO) を提供 AD DS/AD LDS で認証されたユーザーに対してセキュリティトークンを発 行行 (SAML 1.1/2.0) Office 365 や Google Apps へのシングルサインオン (SSO) にも利利 用される jp/b/ office_ 365_ community_ blog/archive/2012/01/14/adfs- in- office- 365.aspx

23 IAM と Active Directory の認証連携 AWS IAM の SAML 2.0 サポート Active Directory と SAML 2.0 による ID 連携が可能 Active Directory フェデレーションサービスを利利 用 Active Directory の ユーザーとグループを認証と認可に使 用 参考情報 :Enabling Federation to AWS using Windows Active Directory, ADFS, and SAML Directory-ADFS-and-SAML-2-0

24 グループのマッピング AWS の操作権限の単位を セキュリティグループとして作成 IAM ロールを作成し AWS の操作権限を IAM ポリシーで定義 セキュリティグループ (AD) と IAM ロールをマッピングが可能

25 AWS Directory Service

26 AWS Directory Service でできること AWS クラウド上にスタンドアロンのディレクトリを新規に作成 既存の企業内の認証を利利 用して : AWS アプリケーションへのアクセス (Amazon WorkSpaces, Amazon Zocalo など ) IAM ロールによる AWS Management Console へのアクセス

27 ディレクトリタイプの選択 Simple AD フルマネージドのディレクトリサービス Samba 4 Active Directory 互換サーバーを利利 用 AWS 上に独 立立したドメインを作成 AD Connecter 既存のディレクトリサービスへの接続 オンプレミスまたは VPC 上のドメインを指定 多要素認証 (MFA) をサポート

28 ディレクトリのサイズ Simple AD Small: 最 大で 1,000 のユーザー コンピュータ グループ その他のオブジェクト Large: 最 大で 10,000 のユーザー コンピュータ グループ その他オブジェクト AD Connector Small: 最 大で 10,000 のユーザー コンピュータ グループ その他のオブジェクトへの接続 Large: 最 大で 100,000 のユーザー コンピュータ グループなどのオブジェクトへの接続

29 Simple AD スタンドアロンのマネージド型ディレクトリ Samba 4 Active Directory 互換サーバーを利利 用 AWS アプリケーション (Amazon WorkSpaces/Amazon Zocalo) の利利 用をサポート 一般的な Active Directory の機能をサポート ユーザーアカウント / グループのメンバーシップ /EC2 Windows インスタンスのドメイン参加 /Kerberos ベースの SSO/ グループポリシー 既存の Active Directory 管理理ツールを利利 用した管理理が可能 Microsoft 管理理コンソール (MMC) スナップイン Active Directory Services Interface (ADSI) ADSIEdit および dsadd や dsmod コマンドラインツール

30 Simple AD の作成 ドメインと管理理者アカウントを作成する Directory DNS NetBIOS Name Administrator Password Directory Size ディレクトリを作成する VPC を選択 VPC には異異なる Availability Zone に 2 つ以上の Subnet が 存在する必要がある

31 ディレクトリを作成する アジアパシフィック ( 東京 ) リージョンに変更更してディレクトリを作成します 1. リージョン選択メニュー 2. [Asia Pacific (Tokyo)] を選択 3. [Get Started Now] を選択

32 ディレクトリタイプの選択 Create a Simple AD を選択 [Create Simple AD] を選択

33 Simple AD の作成 (1/2) 1. [Directory DNS] を 入 力力 2. [NetBIOS name] を 入 力力 ( オプション ) 4. [Small] を選択 3. [Administrator password] を 入 力力

34 Simple AD の作成 (2/2) 既存の VPC を選択 または新規に VPC と Subnet を作成 1. [VPC] を選択 2.2 つの [Subnets] を選択 3. [Next Step] をクリック

35 入 力力内容の確認 [Create Simple AD] をクリック

36 Simple AD の確認 (1/2) [Status] が [Active] になれば作成完了了

37 Simple AD の確認 (2/2) [Directory ID] をクリックして [Directory Details] を確認

38 作成された Simple AD ドメインコントローラは Multi- AZ 構成で複数の Subnet に展開される EC2 インスタンスとしては表 示されない 標準的な Active Directory の管理理ツールから操作可能 イベントビューア Active Directory ユーザとコンピュータ Domain Controller Availability Zone Virtual Private Cloud Domain Controller Availability Zone

39 ディレクトリの管理理 ドメインに参加させた EC2 インスタンスに Active Directory 管理理ツールをインストールすることによりディレクトリの管理理が可能 %SystemRoot%\system32\dsa.msc

40 スナップショットの管理理 デフォルトで 日時のスナップショットによるバックアップを実 行行し ポイントインタイムリカバリーが可能 5 日分のスナップショットが保存される マニュアルでのスナップショットにも対応 [Create Snapshot] をクリック

41 Access URL の設定 Access URL は AWS アプリケーションとの連携のために利利 用される 設定するURLはグローバルでユニーク ( 一意 ) である必要がある 一度度設定すると変更更 削除はできない 1. Access URL を設定 2. [Create Access URL] をクリック

42 AWS Management Console 連携の設定 作成した Access URL を利利 用した AWS Management Console へのアクセスを設定 1. Manage Access を選択 2. [Enable Access] をクリック

43 ユーザー / グループと IAM ロールのマッピング 適切切な権限を設定するために ユーザー / グループと IAM ロールのマッピングを 行行う この例例では EC2ReadOnly ロールと PowerUser ロールにそれぞれグループとユーザーを割り当て [New Role] をクリック

44 AWS Management Console へのシングルサインオン (SSO) <access_ url>.awsapps.co m/console/ にアクセスしてログオンすることにより Management Console への Web ベースでのシングルサインオン (SSO) が可能

45 AD Connector オンプレミスの Active Directory への接続 既存の VPN 接続 もしくは AWS Direct Connect 経由 既存の認証による AWS アプリケーションへのユーザーアクセス Amazon WorkSpaces/Amazon Zocalo AWS Identity & Access Management (IAM) との統合による AWS Management Console へのアクセス 多要素認証 (MFA) をサポート

46 AD Connector の作成 既存の Active Directory ドメイン情報を 入 力力 Directory DNS NetBIOS Name Account username Account Password DNS Address ディレクトリを作成する VPC を選択 VPC には異異なる Availability Zone に 2 つ以上の Subnet が存在する必要がある

47 作成された AD Connector VPC 上に認証 用プロキシが作成される リクエストベースによりプロキシを経由してドメインコントローラーに対して接続 既存のユーザー認証およびポリシーを適 用可能 AD Connector Availability Zone Virtual Private Cloud AD Connector Availability Zone VPN Gateway Customer Domain Controller Gateway Corporate Data center

48 多要素認証 Multi- Factor Authentication(MFA) AD Connector で利利 用可能 RADIUS サーバーを経由した MFA に対応 ワンタイムパスワード等に対応 スマートカードや証明書には未対応 Symantec Validation and ID Protection Service (VIP) および Microsoft RADIUS Server でテスト済 既にお使いのワンタイムトークンがそのまま 使える可能性もあり

49 ( 例例 ) Google Authenticator を使った 方法 スマートフォンに無料料でインストールできる Google Authenticator をソフトウェアトークンとして使 用する サーバ側は オープンソースの FreeRADIUS と Google Authenticator の PAM(Pluggable Authentication Module) を連携させて実現させる authenticator.html ユーザ登録時の GUI は無くコマンドライン操作が必要になります

50 MFA の設定 [Multi- Factor Authentication] タブに RADIUS サーバーの情報を 入 力力して [Update Directory] を選択 チェック RADIUSサーバーのIPアドレス ポート番号 パスワード パスワード ( 確認 ) プロトコル タイムアウト ( 秒 ) リトライ回数 [Update Directory] を選択

51 AWS Directory Service の料料 金金 作成したディレクトリのタイプとサイズにもとづいて課 金金 アジアパシフィック ( 東京 ) ディレクトリのタイプ サイズ 時間料料 金金 AD Connector Small 0.08 USD(58.40 USD/ 月 *) AD Connector Large 0.24 USD( USD/ 月 *) Simple AD Small 0.08 USD(58.40 USD/ 月 *) Simple AD Large 0.24 USD( USD/ 月 *) * 月ごとの利利 用料料 金金は 1 か 月を 730 時間として算出します

52 無料料利利 用枠 無料料トライアル ディレクトリをはじめて作成する場合は 750 時間分の Small ディレクトリ (Simple AD または AD Connector) が無料料 ディレクトリの作成後 30 日間で無効になる Amazon WorkSpaces と Amazon Zocalo Small ディレクトリでは 1 アクティブユーザー Large ディレクトリでは 100 アクティブユーザーが存在していればその 月の AWS Directory Service の料料 金金は無料料

53 利利 用可能なリージョン 利利 用可能な AWS リージョン : US East (N.Virginia) US West (Oregon) EU (Ireland) Asia Pacific (Sydney) Asia Pacific (Tokyo) その他のリージョンは今後予定

54 まとめ Active Directory は Windows システムにおいてほぼ必須となる ID とアクセス管理理の基盤 適切切な設計と監理理により Active Directory を AWS 上で構築 運 用することが可能 AWS Directory Service は既存の Active Directory との連携 またはフルマネージドのディレクトリサービスを提供 AWS アプリケーション (Amazon WorkSpaces Amazon Zocalo) および AWS Management Console との連携

55 参考資料料 AWS Directory Service Administration Guide adminguide/what_ is.html AWS Directory Service のよくある質問 料料 金金表