自己紹介名前渡邉源太所属アマゾンウェブサービスジャパン株式会社技術本部レディネスソリューション部ソリューションアーキテクト (Windows Specialist) 好きな AWS サービス Amazon WorkSpaces

Size: px

Start display at page:

Download "自己紹介名前渡邉源太所属アマゾンウェブサービスジャパン株式会社技術本部レディネスソリューション部ソリューションアーキテクト (Windows Specialist) 好きな AWS サービス Amazon WorkSpaces"

みいかよしくに
5 years ago
Views:

1 AWS Black Belt Online Seminar AWS 上での Active Directory 構築アマゾンウェブサービスジャパン株式会社ソリューションアーキテクト渡邉源太 IT トランスフォーメーションコンサルタント青柳柳雅之

自己紹介名前渡邉源太 (@gentaw0) 所属アマゾンウェブサービスジャパン株式会社技術本部レディネスソリューション部

2 自己紹介名前渡邉源太所属アマゾンウェブサービスジャパン株式会社技術本部レディネスソリューション部ソリューションアーキテクト (Windows Specialist) 好きな AWS サービス Amazon WorkSpaces

3 自己紹介氏名 : 青柳柳雅之 ( あおやぎまさゆき ) 所属プロフェッショナルサービス本部 IT トランスフォーメーションコンサルタント仕事 AWS 社内のマイクロソフト技術の SME(Subject Matter Expert) AWS へのデータセンターマイグレーション計画評価好きな AWS サービス S3 3

AWS Black Belt Online Seminar とは AWSJのTechメンバがAWSに関する様々な事を紹介するオンラインセミナーです火曜 12:00~ 13:00 主にAWSのソリューションや業界カットでの使いどころなどを紹介 (例例 IoT 金金融業界向け etc.

4 AWS Black Belt Online Seminar とは AWSJのTechメンバがAWSに関する様々な事を紹介するオンラインセミナーです火曜 12:00~ 13:00 主にAWSのソリューションや業界カットでの使いどころなどを紹介 (例例 IoT 金金融業界向け etc.) 水曜 18:00~ 19:00 主にAWSサービスの紹介やアップデートの解説 (例例 EC2 RDS Lambda etc.) 最新の情報は下記をご確認下さいオンラインセミナーのスケジュール&申し込みサイト aws/events/webinars/ 4

5 Agenda AWSにおけるActive Directoryの展開展開シナリオとアーキテクチャ設計上の考慮事項バックアップ / リストアフェデレーションまとめ 5

6 Agenda AWSにおけるActive Directoryの展開展開シナリオとアーキテクチャ設計上の考慮事項バックアップ / リストアフェデレーションまとめ 6

7 ディレクトリとはユーザに関わる各種情報を保管する仕組みユーザ名姓名部署電話番号メールアドレスパスワードグループなどツリー状の構成とする事が多いことからディレクトリと呼ばれる関連用語 :LDAP Active Directory OpenLDAP

8 Active Directory とは Windows ネットワークの基本的な認証とセキュリティ基盤 Windows 2000 から標準機能として実装されたディレクトリサービス NT ドメインからの反省省をふまえたアーキテクチャードメイン間の階層構造がとれない同一ネットワーク上に同じコンピュータ名が共存できない Security Account Manager(SAM) データベースの最大容量量が 40MB まで

9 Active Directory ドメインサービス (AD DS) 高可用性ドメインコントローラーは異異なるアベイラビリティゾーンにある VPC サブネットにデプロイされるロール Active Directory ドメインサービス (AD DS) グローバルカタログ (GC) Active Directory 統合ドメインサーバー (DNS) Remote Desktop ゲートウェイリモート管理理

10 クイックスタートリファレンス AWS ではマイクロソフト製品を AWS で展開するのに有益な情報をクイックスタートリファレンスデプロイで提供ホワイトペーパーとリファレンスアーキテクチャを構成する CloudFormation テンプレートを提供当 Webinar ではこの中で以下の 2 つのクイックスタートリファレンスのホワイトペーパーの内容を中心に説明 Active Directory Domain Services on the AWS Cloud Web Application Proxy and AD FS on the AWS Cloud AWS クイックスタートリファレンスデプロイ 10

11 Agenda AWSにおけるActive Directoryの展開展開シナリオとアーキテクチャ設計上の考慮事項バックアップ / リストアフェデレーションまとめ 11

12 展開シナリオ Active Directory ドメインサービス (AD DS) を展開する 4 つのシナリオをこの章では説明シナリオシナリオ 1: オンプレミスのみに AD DS を展開オンプレミス AD DS の配置シナリオ 2: オンプレミスの AD DS を AWS クラウドに拡張シナリオ 3: 新規の AD DS を AWS に展開シナリオ 4:AD DS を AWS Directory Service で AWS クラウドに展開 AWS 12

13 シナリオ 1: オンプレミスのみに AD DS を配置すべての AD のサービスがオンプレミスに存在 AWS とオンプレミスの接続を横切切るため認証にレイテンシが発生テスト / 開発環境に向いておりプロダクション環境には不不向きメンバーサーバーメンバーサーバー認証 DC Availability Zone Availability Zone アクセスオンプレミスのデータセンター 13

14 シナリオ 2: オンプレミスの AD DS を AWS クラウドに拡張既存のオンプレミスのAD DSをAWSのVPCに拡張するシナリオ VPC 上のサーバーは VPC 上にあるドメインコントローラーやDNSに接続可能 Remote Management & Administration Elastic IPs Elastic IPs RDGW RDGW Public Subnet DC/ GC/ DNS Private Subnet Public Subnet DC/ GC/ DNS Private Subnet DC オンプレミスのデータセンター 14

15 シナリオ 3: 新規の AD DS を AWS に展開 EC2 に AD DS を新しくインストールするシナリオオンプレミスに AD DS は存在せず VPC のみにフォレスト / ドメインが存在 Elastic IPs Elastic IPs RDGW RDGW Public Subnet Public Subnet DC/ GC/ DNS Private Subnet DC/ GC/ DNS Private Subnet 15

16 シナリオ 4:AD DS を AWS Directory Service で AWS クラウドに展開 EC2 に AD DS を構築するのではなく AWS Directory Service (Microsoft AD) を利利用 Microsoft AD は Windows Server 2012 R2 をベースとするフルマネージドのディレクトリサービス Elastic IPs Elastic IPs RDGW RDGW Public Subnet Public Subnet AWS Directory Service Private Subnet AWS Directory Service Private Subnet 16

17 Microsoft AD: オンプレミスとの信頼関係信頼関係 DC1 Seattle C-DCA Private Subnet company.cloud C-DCB Private Subnet Direct Connect company.local Availability Zone A Availability Zone B DC2 Tacoma Corporate Network

18 AWS Directory Service を使用する場合の考慮事項 (Microsoft AD) Domain Admins の権限は AWS 側が保持しているため制約ありオンプレミスとの信頼関係構築他のドメインへの参加スキーマの拡張機能レベル Microsoft AD のフォレストと信頼関係を構築可能 Microsoft AD の機能 / 制約既存のドメインにMicrosoft ADのDCを参加させることは不不可フォレスト間で信頼関係を構築するのは可能 URLで申請する事で可能 extensions/ Windows Server 2012 R2 機能レベル権限の委譲 DNS Group Policyの利利用ユーザー数権限の委譲が可能 DNS 構成 ( 追加削除レコードゾーンフォワーダの更更新 ) の管理理 DNS イベントログの参照セキュリティイベントログの参照が可能それ以外のログは参照不不可グループポリシーオブジェクトの作成と OU へのリンクが可能ただしドメインレベルのリンクは不不可能ドメインユーザーのパスワードポリシーの変更更は不不可 ( ドメインレベルの GPO で設定する必要があるが権限なし ) 最大で 50,000 ユーザー 200,000 のオブジェクト ( ユーザーコンピュータその他 )

19 Agenda AWSにおけるActive Directoryの展開展開シナリオとアーキテクチャ設計上の考慮事項バックアップ / リストアフェデレーションまとめ 19

20 Active Directory のベストプラクティスの適用 Active Directory のベストプラクティスの適用マイクロソフト社が提供する設計ガイドの多くを適用することが可能特に以下の点は有用フォレスト / ドメイン /OU の設計サイトトポロジ例例 )AD DS 設計ガイド ( マイクロソフト社の TechNet) us/library/817d84f0- a0c ea f342a70 20

21 ベストプラクティス適用の例例アベイラビリティゾーン (AZ) を 1 つの個別のデータセンターとみなした配置可能な限りシンプルな構成を検討 VPC に AD DS を拡張してもオンプレミスの AD DS とあわせてシングルフォレストシングルドメインを構成拠点 1 拠点 2 DC DC DC DC DC DC 拠点 3 DC DC 拠点 4 DC DC Availability Zone Availability Zone 21

22 設計上の考慮事項 VPC の構成セキュリティグループサイト DNS と DHCP Remote Desktop Gateway Elastic IPs Elastic IPs Remote Management & Administration RDGW Public Subnet RDGW Public Subnet ネットワーク FSMO の配置 DC/ GC/ DNS DC/ GC/ DNS DC Private Subnet Private Subnet Active Directory サイトのトポロジサイト高い可用性を持つ AD DS(DC/GC/DNS) バックアップとリストアオンプレミスのデータセンター 22

23 VPC の構成ドメインコントローラーをマルチアベイラビリティゾーンに配置これにより高可用性と耐障害性を提供ドメインコントローラーとインターネットに接続しないサーバーは Private Subnet に配置リモート管理理のために Remote Desktop Gateway を Public Subnet に配置必要な IP アドレスの増加に備えサブネットに十分なアドレス数を確保特にオンプレミスのみに AD DS を配置した場合はオンプレミスと AWS の間のネットワークの間に冗長構成を検討 23

24 セキュリティグループの Ingress トラフィックセキュリティグループによりネットワークトラフィックを制御可能デフォルトで Egress トラフィックはすべて許可 Ingress トラフィックは適切切な設定が必要 AD DS を AWS に構築する際はドメインコントローラーやメンバーサーバーに対していくつかのセキュリティグループのルール設定が必要 Active Directory が必要とするポートのリストは以下を参照ホワイトペーパー :Microsoft Active Directory Domain Services on the AWS Cloud Active Directory and Active Directory Domain Services Port Requirements Active Directory and Active Directory Domain Services Port Requirements (Microsoft TechNet Library) us/library/8daead2d- 35c1-4b58- b123- d32a26b1f1dd 24

VPC 内の DNS と DHCP Amazon VPC 内で起動されたインスタンスは DHCP Option SetによりデフォルトではAmazon provided DNSが設定 ( パブリックDNS 名前解決のみに使用 ) 別のDNSを用意し各メンバーサーバーのDNS 設定でそのDNSを設定するか DHCP Option SetにそのDNSを設定する必要あり

25 VPC 内の DNS と DHCP Amazon VPC 内で起動されたインスタンスは DHCP Option SetによりデフォルトではAmazon provided DNSが設定 ( パブリックDNS 名前解決のみに使用 ) 別のDNSを用意し各メンバーサーバーのDNS 設定でそのDNSを設定するか DHCP Option SetにそのDNSを設定する必要あり VPCではDHCPが提供されている DHCPサービスは停止できないため独自に DHCPを構築するのではなく提供されたDHCPを使用 DC/ GC/ DNS 同じ Subnet 内の優先 DNS サーバーとして設定 Availability Zone メンバーサーバー Amazon Provided DNS DNS 設定の例例インターネットの名前解決をフォワード他の Subnet の DNS サーバーやオンプレミスの DNS サーバーを代替 DNS サーバーとして設定 DNS 25

26 Remote Desktop Gateway Remote Desktop Gateway は Remote Desktop Protocol (RDP) over HTTPS を使用してインターネットのリモート管理理者と Windows ベースの Amazon EC2 インスタンスを VPN 接続なしにセキュアで暗号化された接続を確立立 AZ の障害の際には他の AZ にフェールオーバーしたリソースに Remote Desktop Gateway からアクセス可能 Internet Gateway Remote Management & Administration Elastic IPs Elastic IPs RDGW RDGW Public Subnet Public Subnet

27 高可用性を持つ AD DS ドメインコントローラーをマルチ AZ に配置マルチ AZ は高可用性と耐障害性を提供グローバルカタログサーバー (GC) と DNS を各 AZ に配置もし各 AZ にこれらのサーバーを配置しない場合は AD DS クエリと認証のトラフィックは AZ をまたぐことになるまた AZ 障害の場合はこれらのサーバーが機能しなくなる DC/ GC/ DNS DC/ GC/ DNS Availability Zone Availability Zone 27

28 Active Directory サイトのトポロジ AWS ではアベイラビリティゾーンをサイト ( 個別のデータセンター ) とみなすサイト内の PC やメンバーサーバーは同じサイトにある DC に優先的にリクエストを投げる Elastic IPs Elastic IPs サイト間レプリケーション RDGW RDGW Public Subnet DC/ GC/ DNS Private Subnet サイト Public Subnet DC/ GC/ DNS Private Subnet サイト DC/GC/ DNS サイト 28

29 操作マスタ (FSMO) の配置 FSMO は冗長構成を取ることができないため代替構成が可能なスタンバイ操作マスターを用意これを VPC 内の DC に配置可能 DR の観点からオンプレミスから離離れた場所である VPC に配置するのは有効もちろんオンプレ側にバックアップの FSMO を置くのもあり DC (FSMO) DC DC DC Availability Zone Availability Zone 29

30 Agenda AWSにおけるActive Directoryの展開展開シナリオとアーキテクチャ設計上の考慮事項バックアップ / リストアフェデレーションまとめ 30

31 DC のバックアップ Volume Shadow Copy サービス (VSS) により Active Directory サービスの起動中にバックアップをとることが可能 Windows Server バックアップその他の Active Directory 互換のバックアップツールを使用している場合はそのまま使用可能バックアップツールによって取得されたバックアップデータが保管されているボリュームのスナップショットを取得しデータを保全 DC VSS でバックアップを EBS に保存スナップショットを取得 31 Amazon EBS Snapshot

リストア :DC のシステム全体のスナップショットは取得しない DC のシステム全体のスナップショットを取得しない USN ロールバックを誘発するロールバックが発生した DC はドメイン環境から隔離離され複製パートナーとして見見なされなくなるスナップショットには 3 台目の DC に関する情報が保存されていない DC

32 リストア :DC のシステム全体のスナップショットは取得しない DC のシステム全体のスナップショットを取得しない USN ロールバックを誘発するロールバックが発生した DC はドメイン環境から隔離離され複製パートナーとして見見なされなくなるスナップショットには 3 台目の DC に関する情報が保存されていない DC の数は 1 台と認識識 DC ドメインに追加これをリストアすることでDBに不不整合 DC の数は 2 台と認識識 DC DC DC の数は 3 台と認識識スナップショット取得 DC ドメインに追加 32 jp/library/dd363545(v=ws.10).aspx

33 リストア : ディレクトリサービス復復元モード (DSRM) の利利用 EC2 Windows インスタンスで DSRM をサポート DC をディレクトリサービス復復元モード (DSRM, Directory Service Resiliency Mode) でブートし権限のあるリストアを実行行権限のあるリストアとは過去の時点の DC の情報を他の DC に復復元することこれを行行わない場合他の DC が持つ最新の情報でリストアされた DC の内容が上書きされる 33

34 Agenda AWSにおけるActive Directoryの展開展開シナリオとアーキテクチャ設計上の考慮事項バックアップ / リストアフェデレーションまとめ 34

35 Active Directory フェデレーションサービス (ADFS) セキュリティで保護された ID 連携 ( フェデレーション ) と Web シングルサインオン (SSO) を提供 AD DS/AD LDS で認証されたユーザーに対してセキュリティトークンを発行行 (SAML 1.1/2.0) Office 365 や Google Apps へのシングルサインオン (SSO) にも利利用される

36 ADFS/WAP のリファレンスアーキテクチャ VPN 接続なしに外部のユーザーが Web Application Proxy(WAP) を経由して Private Subnet に DC/ GC/ DNS Private Subnet ADFS RDGW WAP Public Subnet Elastic IPs 配置された ADFS にアクセス可能 DC/ GC/ DNS ADFS RDGW WAP Elastic IPs 外部のユーザー Private Subnet Public Subnet reference/microsoft/wapadfs/latest/doc/web_ Application_ Proxy_ and_ ADFS_ on_ the_ AWS_ Cloud.pdf 36

37 設計上の考慮事項 : サイジングデータベースマイクロソフトから提供されている ADFS サーバーの台数の推奨値を参考ユーサー数構成 1,000 以下最低でも 2 台のドメインコントローラーに共存 ( できればマルチ AZ 配置 ) 1,000 ~ 15,000 他のロールと共存させず専用のマシンに ADFS と WAP をインストールし冗長構成データベースは WID (Windows Internal Database) でも可 15,000 ~ 60,000 最低でも 5 台の ADFS サーバーと 2 台の WAP サーバーが必要データベースは WID の代わりに SQL Server を使用する前提となる HW プロファイルは 8 CPU コア 4GiB RAM 1 Gigabit ネットワークコネクション 37

38 設計上の考慮事項ロードバランサー高可用性を目的として WAP も ADFS サーバーも ELB の利利用が可能 WAP は Internet- facing load balancer を使用し ADFS サーバーは Internal load balancer を使用インスタンスタイプサイジングのページの HW プロファイルを満たす EC2 インスタンスとして C4.2xlarge (8 vcpu コア 15GiB) が対応メモリが HW プロファイルよりもリッチではあるがこのインスタンスは EBS 最適化インスタンスであり高い IOPS を実現可能 38

39 シナリオ 1: WAP を経由して社内の Web アプリケーションを公開ネットワークアイソレーション WAP を経由した Web アプリケーションの公開はこれらがインターネットには決してさらされないことを意味 SharePoint/OWA/Lync やカスタムアプリケーションなどの Web ベースのアプリケーションを公開可能 Denial- of- service (DOS) からの保護スロットリングキューなどのメカニズムで DOS からの保護を実装多要素認証 ADFS による事前認証はスマートカードデバイス認証などをサポートワークプレイスジョイン既知のデバイスのみアプリケーションにアクセスする権限を付与これによるユーザーは個人のラップトップタブレットスマートフォンを使って組織のリソースにアクセス可能 Planning to Publish Applications Using Web Application Proxy us/library/dn aspx

0 (Security Assertion Markup Language) を使用した ID フェデレーションをサポート ADFS (4)

40 シナリオ 2: コンソールフェデレーション AWS ルートアカウントやIAMユーザークレデンシャルの代わりに Active Directoryのユーザー名とパスワードでAWSのマネジメントコンソールにサインインが可能 AWS は SAML 2.0 (Security Assertion Markup Language) を使用した ID フェデレーションをサポート ADFS (4) AssumeRoleWithSAML STS DC/ GC/ DNS AD (1) ブラウザからリクエスト ADFS (3) SAML トークンクライアント (6) リダイレクト 40

41 AWS Identity and Access Management (IAM) AWS 操作をよりセキュアに行行うための認証認可の仕組み AWS 利利用者の認証とアクセスポリシーを管理理 AWS 操作のためのグループユーザーロールの作成が可能グループユーザーごとに実行行出来る操作を規定できるユーザーごとに認証情報の設定が可能開発チーム運用チーム

42 シナリオ 2ʼ :AD Connector によるフェデレーション 1) IAMロールをADユーザーにアサイン AWS Directory Service コンソール経由 2) ADユーザーはaccess URL 経由でログイン mycompany.awsapps.com/console AD User1 User2 Group1 ReadOnly Admin 1 AD 認証情報でログイン 3 AWS Management Console への AssumeRoke S3-Access 2 LDAP と Kerberos リクエストを VPN 越えでプロキシ AD

43 シナリオ 3: ADFS + Office 365 の連携 Active Directory フェデレーションサービス (ADFS) を Idp として利利用 Office 365 との間でユーザーを同期 DC/ GC/ DNS ADFS RDGW WAP Elastic IPs Private Subnet Public Subnet ディレクトリ同期 SAML 2.0 DC/ GC/ DNS ADFS RDGW WAP Elastic IPs Private Subnet Public Subnet

44 シナリオ 3ʼ : IDaaS + Office 365 の連携 IDaaS(Okta OneLogin PingFederation など ) を利利用するシナリオ Office 365 以外のサービスとも連携可能 DC/ GC/ DNS RDGW AD Connector Elastic IPs Private Subnet Public Subnet DC/ GC/ DNS RDGW AD Connector Elastic IPs ディレクトリ同期 SAML 2.0 Private Subnet Public Subnet

45 外部サービスとのシングルサインオン (SSO) IDaaS SaaS DC/ GC/ DNS Active Directory C-DCA C-DCB AD Connector ディレクトリ連携 AWS Directory Serivice WS- federation/ SAML 2.0/OAuth2.0/ OpenID Connect

46 Agenda AWSにおけるActive Directoryの展開展開シナリオとアーキテクチャ設計上の考慮事項バックアップ / リストアフェデレーションまとめ 46

47 まとめ Amazon Web Services は Active Directory をはじめとする Windows ワークロードにフォーカス既存のドメイン構成を AWS 上に拡張し Active Directory に関する従来の設計のベストプラクティスを適用可能フェデレーションを利利用して AWS Management Console や外部サービスとのシングルサインオン (SSO) が実現可能 47

48 参考資料料 Active Directory jp/windowsserver/ff aspx#01 Active Directory Domain Services on the AWS Cloud jp/quickstart/latest/active- directory- ds/welcome.html Active Directory Domain Services on the AWS Cloud active- directory- in- the- aws- cloud- aws- reinvent Web Application Proxy and AD FS on the AWS Cloud reference/microsoft/wapadfs/ latest/doc/web_ Application_ Proxy_ and_ ADFS_ on_ the_ AWS_ Cloud.pdf 48

オンラインセミナー資料料の配置場所 AWS クラウドサービス活用資料料集 http://aws.amazon.

49 オンラインセミナー資料料の配置場所 AWS クラウドサービス活用資料料集 jp- introduction/ AWS Solutions Architect ブログ最新の情報セミナー中の Q&A 等が掲載されています 49

50 公式 Twitter/Facebook AWS jp 検索索もしくは最新技術情報イベント情報お役立立ち情報お得なキャンペーン情報などを日々更更新しています! 50

51 AWS の導入お問い合わせのご相談 AWS クラウド導入に関するご質問お見見積り資料料請求をご希望のお客様は以下のリンクよりお気軽にご相談ください us/aws- sales/ AWS 問い合わせで検索索してください

AWS によるマイクロソフトアーキテクチャの最適化

AWS によるマイクロソフトアーキテクチャの最適化 AWS によるマイクロソフトアーキテクチャの最適化アマゾンウェブサービスジャパン株式会社ソリューションアーキテクト渡邉源太 2017/6/1 2017, Amazon Web Services, Inc. or its Affiliates. All rights reserved. 自己紹介名前所属渡邉源太アマゾンウェブサービスジャパン株式会社ソリューションアーキテクト好きな AWS

自 己紹介 名前 渡邉源太 所属 アマゾンウェブサービスジャパン株式会社 技術本部レディネスソリューション部 ソリューションアーキテクト (Windows Specialist) 好きな AWS サービス Amazon WorkSpaces

自己紹介名前渡邉源太所属アマゾンウェブサービスジャパン株式会社技術本部レディネスソリューション部ソリューションアーキテクト (Windows Specialist) 好きな AWS サービス Amazon WorkSpaces