Upgrade to Pro — share decks privately, control downloads, hide ads and more …

今更学ぶ Active Directory(2)

Murachi Akira
February 24, 2024

今更学ぶ Active Directory(2)

2024年2月24日開催「.NETラボ 勉強会 2024年2月 - AOAI, AD, ME, .NETなど -」で登壇したセッションのスライド資料です。「今更学ぶ Active Directory」シリーズの第2回です。
Active Directory のマネージド クラウド サービスである Microsoft Entra Domain Service の紹介と、Active Directory 構築・構成で押さえておくべきポイントについて解説しています。

Murachi Akira

February 24, 2024
Tweet

More Decks by Murachi Akira

Other Decks in Technology

Transcript

  1. About me • Murachi Akira aka hebikuzure ( 村地 彰

    ) • 株式会社エクシードワン 技術フェロー • 株式会社シーピーエス 技術教育スペシャリスト • 専門学校東京テクニカルカレッジ非常勤講師 • Microsoft MVP (Most Valuable Professional) • Since Apr. 2011 ( 13 Years! ) • Award Category: Windows and Device for IT • Expertise • Windows client / user management and security • Microsoft 365, Active Directory, Microsoft Endpoint Manager https://www.linkedin.com/in/akiramurachi/ https://www.facebook.com/amurachi/ https://twitter.com/hebikuzure 2
  2. 3 内容 (前回) • Active Directory とは何ですか • Entra IDとActive

    Directory • これからのActive Directory (今回) • AD DS と Entra Domain Services • AD 構築・構成のポイント (次回) • クラウド上の AD 構築
  3. Azure での AD 利用 • オンプレミスの(既存の)ドメイン コントローラーに閉域網接 続を経由して接続して利用 • Azure

    VM でドメイン コントローラーを動作させて利用 • Azure 内で完結したドメイン • 閉域網接続でオンプレミスの(既存の)ドメインを拡張 • Entra ID Domain Services を利用 • Entra ID とのみ連携 • Entra ID Connect を経由してオンプレミスのドメインと連携 6
  4. Azure VM の DC を利用 8 オンプレミス AD DS 仮想ネットワーク

    仮想ネットワーク ゲートウェイ ドメイン コントローラー の役割の仮想マシン (オプション)
  5. Entra Domain Services とは何ですか • Azure 上のマネージドな Domain Services (マネージドドメイン)

    • 従来の AD DS 機能のサブセット • 利用できる機能 • ドメイン参加 • グループ ポリシー • LDAP • Kerberos 認証 ・ NTLM/NTLMv2 認証 • Entra ID と統合されている 10
  6. マネージドドメイン • Azure 上で利用できる AD DS のマネージドサービス • 仮想マシン、オペレーティングシステムの構成・管理無しで AD

    DS の(サブセット)機能を利用できる • サービスの背後で自動的に複数のドメインコントローラーが デプロイされる • 可用性ゾーンがサポートされている Azure リージョンでは自動的に ゾーン冗長で作成される 11
  7. マネージドドメインのユースケース • Azure 上にクラウド化したサービスでの Kerberos/NTLM を用 いた SSO • Azure

    AD アカウントに対する LDAPS 接続の提供 • 以下のシナリオは非推奨 • オンプレミスの Windows のドメイン参加(オンプレAD DS の代替) • 負荷のかかる LDAP 処理の実行 13
  8. Entra ID との統合 • Entra ID からマネージド ドメインへの同期 • バックグラウンドでの自動同期

    • ユーザー・ユーザーグループ・パスワードハッシュ・SID の同期 14 Entra ID マネージドドメイン 自動同期
  9. オンプレミス AD DSとの統合 • Entra ID Connect でオンプレミスAD DS を

    Entra ID への同期 • ユーザー・ユーザーグループ・パスワード・SID の同期 • Entra ID からマネージド ドメインへの同期 15 Entra ID マネージドドメイン オンプレミス AD DS 自動同期 Entra ID Connect
  10. マネージドドメインの制限 • Domain Admins 権限が利用できない • グループポリシーの管理などの特権を要する一部の操作は、 代わりに “AAD DC

    Administrators” グループを利用 • 組み込み OU が AD DS と異なる • AADDC Computers マネージドドメインに参加しているすべてのコンピューターに関する コンピューターオブジェクトが含まれる • AADDC Users Entra テナントから同期されたユーザーとグループがすべて含まれる (メンバーの追加/削除はできない) 17
  11. OU/ユーザーは作成できる • カスタム OU を追加作成できる • Entra ID からの同期以外のユーザーを作成できる 作成した

    OU/ユーザーはマネージドドメイン内 のみ有効 Entra ID や AD DS への反映(同期)は行われない • Microsoft Entra Domain Services の組織単位 (OU) を作成する - Microsoft Entra ID | Microsoft Learn 19
  12. グループポリシーは構成できる • グループポリシーオブジェクトの作成・編集・リンクが可能 • マネージドドメイン用の組み込み GPO も用意されている • AADDC Computers

    GPO : AADDC Computers OU にリンク • AADDC Users GPO:AADDC Users OU にリンク • Default Domain Policy と Default Domain Controllers Policy は編集不可 20
  13. カスタムポリシーの注意点 • 同期されたユーザーはカスタム OU に移動できないので、WMI フィルターやグループとセキュリティフィルターで頑張る • Create WMI Filters

    for the GPO | Microsoft Learn • Assign Security Group Filters to the GPO | Microsoft Learn • 参考 • Microsoft Entra Domain Services でのグループ ポリシーの作成と管 理 - Microsoft Entra ID | Microsoft Learn 21
  14. 同期の注意点 • オンプレミス AD DS とマネージドドメインのパスワード同期 では以下を同期する必要がある • NTLM パスワードハッシュ(AD

    の unicodePwd 属性) • Kerberos パスワードハッシュ(AD の supplementalCredentials 属性) • 通常の Entra ID Connect ではこれらは同期されない • Entra ID に送信されるのはパスワードハッシュの SHA256 ハッシュ • Entra ID Connect で追加作業が必要 • Microsoft Entra Domain Services でパスワード ハッシュ同期を有効 にする - Microsoft Entra ID | Microsoft Learn 22
  15. (参考)パスワード同期の参考情報 • Microsoft Entra Connect 同期を使用してパスワード ハッシュ 同期を実装する - Microsoft

    Entra ID | Microsoft Learn • パスワードの技術概要 | Microsoft Learn • おまけ • Microsoft Entra IDからのNTハッシュのダンプ | Secureworks 23
  16. 信頼関係のシナリオ • パスワードハッシュ同期を行わず、オンプレ AD アカウントで マネージドドメインのリソースにアクセスしたい • オンプレ AD でもっぱらスマートカード認証を行っていて、

    ユーザーはパスワードを知らない • 参考 • チュートリアル - Microsoft Entra Domain Services でフォレストの信 頼を作成する - Microsoft Entra ID | Microsoft Learn 25
  17. Entra Domain Services の価格 • Standard: 16,170.42円/月 • Enterprise: 43,121.10円/月

    • Premium: 172,484.40円/月 • 参考 • 価格 - Microsoft Entra Domain Services | Microsoft Azure 26
  18. 参考情報 • Microsoft Entra Domain Services の概要 - Microsoft Entra

    ID | Microsoft Learn • Microsoft Entra Domain Services に関してよくあるご質問 - Microsoft Entra ID | Microsoft Learn 27
  19. AWS の類似サービス • AWS Directory Service for Microsoft Active Directory

    • AWS Managed Microsoft AD - AWS Directory Service (amazon.com) • AWS Managed Microsoft AD の開始 - AWS Directory Service (amazon.com) • Windows Server 2019 ベースのマネージド サービス • オンプレミスADとの連携は信頼関係の作成 28
  20. GCP の類似サービス • マネージド Microsoft AD • マネージド Microsoft AD

    の概要 | マネージド Microsoft AD のド キュメント | Google Cloud • Active Directory リソース フォレストをデプロイする | マネージド Microsoft AD のドキュメント | Google Cloud • オンプレミスADとの連携は信頼関係の作成 29
  21. ドメイン名 • 単一ラベルドメイン名を使わない • host、company などサフィックスを含まない名前 • インターネット レジストラーに登録したドメイン名(DNS ド

    メイン名)を利用する • example.com が登録されている場合、example.com や corp.example.com・tokyo.example.com • 予約語を使わない • 予約語の表 31
  22. 命名の参考情報 • ドメイン名を割り当てる | Microsoft Learn • コンピューター、ドメイン、サイト、OU の命名 -

    Windows Server | Microsoft Learn • Complying with Name Restrictions for Hosts and Domains | Microsoft Learn • Active Directory: Best Practices for Internal Domain and Network Names | Microsoft Learn 32
  23. IP アドレス • ドメインコントローラーの IP アドレスは固定されていること • IP アドレスが変更されると以下のような問題が発生する •

    ドメインコントローラー間の複製に失敗する • クライアントがドメインコントローラーを見つけれなくなる • クライアントがドメインコントローラーの DNS を参照できなくなる • ドメインに参加するコンピュータから IP reachable でなければ ならない 33
  24. DNS • ドメインネットワーク内の DNS は Active Directory 統合ゾー ンの DNS

    を利用する • ドメインコントローラー自身の DNS サーバーは自分以外のド メインコントローラーを指定 • ドメインに参加するクライアント/メンバーサーバーの DNS サーバー指定は必ずドメインコントローラーとする • 代替DNSであってもドメインコントローラー以外の指定は NG • IPv6 アドレスの DNS も指定しておかないとドメイン参加できない場 合有り 34
  25. DNS の参考情報 • DNS と AD DS | Microsoft Learn

    • How DNS Support for Active Directory Works: Active Directory | Microsoft Learn 35
  26. トラブルシュート情報 • Windows ベースのコンピューターをドメインに参加させると きに発生するエラーのトラブルシューティング - Windows Server | Microsoft

    Learn • DNS Server becomes an island - Windows Server | Microsoft Learn • ドメイン コントローラーの配置方法 - Windows Server | Microsoft Learn 36