![（参考）デバイスを Azure AD に参加/登録するには権限が必要
Azure AD 管理ポータル
-[構成]-[デバイス]](https://image.slidesharecdn.com/inf-007activedirecto-171222090652/85/INF-007_-Active-Directory-Windows-Server-2016-21-320.jpg)
INF-007_ハイブリッドな Active Directory の設計 ～Windows Server 2016 版～
- 1. ROOM E
- 2. Agenda • 2種類の Active Directory の違いと役割、 連携方法を理解しましょう • Windows Server 2016 ADDS/ADFS で できるようになることを理解しましょう ハイブリッドな Active Directory を構成するうえで必要な知識 関連製品 • Azure Active Directory Free • Windows Server 2016 Active Directory（AD DS/AD FS） • Windows 10 Anniversary Update
- 4. 条件とは何か？ • 許可されたユーザーである（ユーザー認証） • 許可された認証方法である • 許可されたデバイスである（デバイス認証） • 許可された場所である • 許可された状態である • 許可されたアプリケーションである（アプリ認証） • 許可された操作である（情報権限管理）
- 5. 統一された IdP によるアクセス制御 結果を引き継ぐ Identity Provider（Authority） 結果を引き継ぐ 結果を引き継ぐ デバイス（場所/状態） アプリケーション データ利用者 IdP が統一されているから必然的に結果が引き継がれる
- 6. 拒否できる 非
- 8. • 本人の正当性をどうやって検証するか ユーザー認証 PIN 生体 誰でも知ってる 本人だけが知ってる 本人が持ってる ネットワーク を流れない 展開の必要なし サーバーに渡す 展開が面倒
- 9. 管理者視点 • 展開が容易 • ネットワークにパスワードが流れない • 誰もがアクセスできる場所にパスワードが保管されていない 利用者視点 • 忘れない • 操作が簡単 理想的な認証方法
- 10. PC PIN 家の鍵と同じ。別の家では使えない。 サインイン要求 署名 要求送信 署名チェック Primary Refresh Token Kerberos の TGT に相当 するトークン 対象キー
- 11. PC PIN サインイン要求 署名 要求送信 署名チェック Primary Refresh Token PC 固有 Kerberos の TGT に相当 するトークン 対象キー
- 12. Microsoft Passport は何を認証しているのか? 秘密鍵を所有しているユーザー 秘密鍵を取り出すための PIN/生体情報 を持っている 秘密鍵を所有しているデバイス 秘密鍵を格納している ＊＊＊＊＊ ロック解除 認証機構
- 15. Windows 10 アプリとシングルサインオン」 にて Enterprise Container Personal Container Web Account Manager Custom Application Web Account Provider
- 16. • Microsoft Account を使用する or Azure AD に参加する（Azure AD Join） or Windows Server 2016 {AD DS + AD FS} ドメインに参加する or 「職場または学校アカウントを追加」する（旧 Workplace Join） Microsoft Passport を使用するには • Windows 10 • Microsoft Passport の利用が有効化されている（規定値は“有効”） Passport for Work 今回はここをター ゲットにします• グループポリシー or System Center Configuration Manager or Microsoft Intune or 3rd party MDM PINの管理を行う 管理ツール
- 17. Protocol AD DS AD FS Azure AD Kerberos, NTLM, LDAP v3 2000 ～ Azure AD DS WS-Federation 2012 ～ ○ SAML 2.0 2012 ～ ○ OAuth 2.0 auth code grant, public client 2012 R2 ○ OpenID Connect 2016 ○ OAuth 2.0 implicit grant 2016 ○ OAuth 2.0 auth code grant, confidential client 2016 ○ OAuth 2.0 client credential grant 2016 ○ OAuth 2.0 on behalf of 2016 ○ Microsoft Passport 2016 ○
- 18. 認証基盤シナリオ PC オンプレミスアプリ クラウドアプリ ドメイン ログオン 連携先 認証方式 連携先 認証方式 従来の シナリオ オンプレミス AD DS Kerberos AD DS WIA オンプレミス AD DS Kerberos AD DS WIA AD FS WS-Fed, SAML2.0 AD FS WS-Fed, SAML2.0 ハイブリッド ・フェデレーション AD DS Kerberos AD DS WIA Azure AD WS-Fed, SAML2.0 OpenID Connect Password Form 連携 Azure Application Proxy AD FS WS-Fed, SAML2.0 Azure AD WS-Fed, SAML2.0 OpenID Connect Password 連携 Azure Application Proxy Windows 10 クラウド Azure AD Microsoft Passport Azure AD Microsoft Passport Azure AD Microsoft Passport ハイブリッド ・フェデレーション ・デバイス同期 AD DS Kerberos Azure AD Microsoft Passport Azure AD Microsoft Passport Windows 10 + WS 2016 オンプレミス AD DS AD FS Microsoft Passport AD FS Microsoft Passport OpenID Connect AD FS Microsoft Passport OpenID Connect ハイブリッド ・フェデレーション ・デバイス同期 Azure AD Microsoft Passport AD FS Microsoft Passport OpenID Connect AD FS Microsoft Passport OpenID Connect
- 20. Passport for Work の使用～Azure AD に参加する 課題 • パスワードが Azure AD に残ってしまう • オンプレミスとは認証が分断される
- 21. （参考）デバイスを Azure AD に参加/登録するには権限が必要 Azure AD 管理ポータル -[構成]-[デバイス]
- 22. (参考）Passport for Work ポリシー
- 23. AAD 用 PRT Passport for Work の使用～WS 2016 AD に参加する Windows 10 課題 • クラウドとは認証が分断される PINの管理 PINの管理、証明書管理
- 24. • 全てのドメインコントローラーを 2016 にする必要はない • サイトあたり1台の WS 2016 AD があればよい Windows Server 2016 AD DS/AD FS Windows 10 DC List Passport対応かどうか を問いあわせ
- 25. AAD 用 PRT AD 用 PRT Passport の使用～ハイブリッド（AD 参加） • フェデレーションを構成し、パスワード認証はオンプレミスで行う • デバイスを同期（オンプレミスAD DS → Azure AD） • 手動：「組織または学校アカウントの追加」 • 自動：「デバイス自動登録」機能を有効化（グループポリシー） デバイス同期 Azure AD Passport セットアップ Identity Federation ドメイン参加 Passport セットアップ Windows 10
- 27. Passport の使用～ハイブリッド（Azure AD Join） • フェデレーションを構成し、パスワード認証はオンプレミスで行う • デバイスを書き戻し（Azure AD ⇒ オンプレミスADDS） デバイス書き戻し Azure AD Join Azure AD Passport セットアップ Identity Federation Passport セットアップ AAD 用 PRT AD 用 PRT Windows 10
- 28. （参考）Azure AD Connect 同期オプション
- 29. Windows Server 2012 R2 の場合 • Azure AD ： Microsoft Passport • Active Directory ドメイン：Kerberos 利用 • デバイスを同期（オンプレミスADDS → Azure AD） • 手動：「組織または学校アカウントの追加」 • 自動：「デバイス自動登録」機能を有効化（グループポリシー） WS 2012 R2 デバイス登録 Azure AD Passport セットアップ Identity Federation Password Azure AD Connect ドメイン参加 AAD 用 PRT AD 用 TGT Windows 10
- 30. LDAP 従業員用 LDAP Virtual Directory パートタイマー用 SQL Server 等 Microsoft Passport には未対応 Kerberos /EAP LDAP v3 LDAP v3SQL
- 31. 対策 • Azure AD Connect Health による監視 AD FS Web Application Proxy Azure AD DS（予定） • ファーム構成 • AD FS • Web Application Proxy 落ちたらサービスが利用できません！ Azure AD Domain Service Azure VNET Azure AD Connect Azure AD Connect Health
- 32. • Azure AD MFA • Azure AD MFA + MFA Server Microsoft Passport が使えないデバイスはどうする？ 認証強度を高めるための”多要素認証” 活用 」 多要素認証による“ユーザー認証の堅牢化“ ちなみに、Windows Server 2016 AD FS には MFA Server addin が標準装備されます。
- 33. Microsoft Passport を使用 した PC へのサインイン ・ユーザー認証 ・デバイス認証 ユーザー クレーム デバイス クレーム
- 35. Windows Server 2016 AD FS クレームを使用したアクセス制御 • 特定のネットワーク イントラネット/インターネット/特 定のアドレスレンジ • 特定のユーザーグループ セキュリティグループ/パラメタ指定 • デバイスの信頼レベル 認証済み、管理対象、準拠済み • 特定要求（クレーム） クレームの一致、検索 • MFAを要求する MFAを使用したかどうか 誰?何?どんな状態?が通過できるのか 例外
- 37. イントラネット Internet
- 38. FAQ:「会社支給デバイスのみにアクセスさせたいのですが」 ※現時点ではデバイスの識別子等で識別することができない 方法1 • ユーザー証明書をデバイスにインストールし、クライアント識別に使用する 方法2 • Windows デバイス • 「Azure AD または AD ドメインに参加」しており、 「セキュリティポリシー準拠」であることを条件にする • iOS/Android デバイス • 「Intuneにより管理」されており、 「セキュリティポリシー準拠」であることを条件にする
- 39. DeviceTrustType と DeviceTrustLevel ドメインに参加しているデバイス AADにアカウント追加した デバイス Domain Joined Azure AD Joined DeviceTrustType Workplace Joined DeviceTrustLevel Managed Authenticated Compliant ADDSまたはAzure AD にデバイスが登録されており （上の状態）、デバイス認証された N/A デバイスはADDSまたはAzure ADに登録されていない Intune、SCCM（+GPO）にデバイスが管理されている デバイスはコンプライアンスに準拠している
- 41. ※Azure AD Basic/Premium 必須 Azure MFA オンプレミス パブリッククラウド Azure Active Directory Azure AD Application Proxy Azure Proxy Connector 事前認証 代理認証 KCD
- 43. 新しいプロトコルのサポート • OpenID Connect • OAuth 2.0（詳細はP13） • Microsoft Passport LDAP V3 ディレクトリのサポート アクセスコントロールポリシーによるコンディショナルアクセス • アプリケーショングループへの適用 Microsoft Passport の強制 Azure MFA Server addin の組み込み（現在 Private Preview）
- 44. Kerberos
- 46. アンケートにご協力ください。 ●アンケートに 上記の Session ID のブレイクアウトセッションに チェックを入れて下さい。 ●アンケートはお帰りの際に、受付でご提出ください。 マイクロソフトスペシャルグッズと引換えさせていただきます。
- 47. ROOM E Ask the Speaker のご案内 ●本セッションの詳細は、EXPO 会場内 『Ask the Speaker』コーナー Room E カウンタにてご説明させて いただきます。是非、お立ち寄りください。