[Japan Tech summit 2017] SEC 004

Microsoft Tech Summit 2017本情報の内容（添付文書、リンク先などを含む）は、Microsoft Tech Summit 2017 開催日（2017 年 11 月 8日 - 9 日）時点のものであり、予告なく変更される場合があります。

3
Azure AD
Connect サーバー
同期エンジン ++

4
Azure AD
同期エンジン ++
オンプレミス
Windows
Server ツール

5
Active Directory
Azure AD
Connect サーバーオンプレミス
繋ぐ
Azure
Active Directory
クラウド
Office 365

6
Active Directory
Azure AD
Azure
Active Directory
クラウド
Office 365
オンプレミス
ファイアウォールで
保護された世界
インターネットの
世界
組織のアカウントの
認証サービス
クラウドアカウント
の認証サービス
Kerberos
プロトコル
SAML プロトコル
繋ぐ

7
オンプレミス Active Directory
ユーザー
グループ
Azure AD
ユーザー
グループ
オンプレミス Active Directory Azure AD
ユーザー管理者
・ユーザー名
・パスワード
・ユーザー名
・パスワード
業務アプリ
ドメインの
パスワード
ポリシー
Azure AD
のパスワード
ポリシー
ドメインの
パスワード
ポリシー
Azure AD
のパスワード
ポリシー
どっちも管理する
のは大変・・・
アカウントが
いっぱいで
パスワードを
覚えきれない・・・

8
2. オンプレミスから Azure AD に
シングルサインインオンできる
1. オンプレミスから Azure AD に、
アカウントを同期できる
Azure AD
Azure AD Connect
サーバー
オンプレミスのアカウントだけ
管理すればよい！
Azure AD
Azure AD Connect
サーバー
オンプレミスのユーザー名と
パスワードだけ覚えておけばよい
管理者ユーザー
ドメインの
パスワード
ポリシー

9
オンプレミス
Active Directory
＋シームレスシングル
サインオン（sSSO）
3. AD FS フェデレーション
1. パスワード同期
2. パススルー認証

10
シームレスシングル
？
？
？
？
？
？
？？
？
？
？
？
？
？
？

11
Azure AD Connect で構成できる
サインイン方式の、
どれを、どのように選択するのがよいのか？
みなさまが判断できるようになることを目標に、

12
オンプレミス
Active
Directory
Azure AD
ディレクトリ同期
Office 365 ライセンス
ドメイン
ユーザー

13
1. 「ディレクトリ同期」の重要な属性
2. Azure AD Connect で構成する
サインインオプションの特徴
3. みなさんは、
どれを選択しますか？

15
オンプレミス Active Directory Azure Active Directory
ユーザー
グループグループ
メールが
有効な連絡先
ユーザー
（既定 30 分サイクル)
一部、書き戻しをサポート（パスワード、デバイス、グループ）
メールが
有効な連絡先
HTTP/HTTPS
（80/443）

16
オンプレミス Active Directory Azure Active DirectoryAzure AD Connect
1
① 読み込む① 読み込む
② 書き込む

17
ソースアンカー（Source Anchor）

18
msDS-ConsistencyGuid これです！

19
ObjectGUID
msDS-ConsistencyGuid
読み込む
Azure AD Connect
Azure
Active Directory
書き込む
immutableID
生成
格納
作成
生成
ソースアンカーの値を格納

20
msDS-ConsistencyGuid
Azure
Active Directory
immutableID
ソースアンカーの値を格納
ソースアンカー今後は、これらの属性を
比較することで、
「完全一致」を確認する

21
Azure
Active Directory
すでにユーザー登録
が終わっている
２つのディレクトリを、
後で同期することになったら？
userPrincipalName :
@abcxx.tech
userPrincipalName :
yamada@abcxx.tech
これは、Azure AD に
サインインする時の
ユーザー名です

22
・ userPrincipalName
・ msDS-ConsistencyGuid
・ immutableID
・ソースアンカーの大元 “objectGUID”（既定）

23
オンプレミス Active
Directory

25
オンプレミス
Active Directory
2-4. シームレスシングル
2-1. AD FS フェデレーション
2-3. パスワード同期
2-2. パススルー認証

26
Azure AD Connect
の構成画面
Azure AD
Connect
サーバー
2-1. AD FS フェデレーション

27
ドメイン
コントローラー
認証
AD FS
サーバー
・ SSO
・多要素認証
・条件付き
アクセス
AD FS
プロキシ
AD FS1

28
Azure AD
Office 365
ユーザー
オンプレミス
Active Directory
AD FS サーバードメイン
認証
シングル
サインオン
ユーザー名

29
Azure AD
Office 365
ドメイン
Azure AD
Connect
サーバー
オンプレミス
Active Directory
AD FS サーバーファーム
AD FS プロキシ
サーバーファーム
境界ネットワーク
ユーザー
認証
シングル
サインオン
ユーザー名、
パスワード

30
Azure AD
フェデレーション信頼
ドメイン
Azure AD
Connect
サーバー
・可用性を考慮して、AD FS サーバーと AD FS プロキシを展開
・ SSL サーバー証明書の管理（更新）
・ Azure AD との “フェデレーション信頼” の構成
・インフラストラクチャーの障害対策の計画
この構成には、技術力が求められる2
AD FS プロキシ
サーバーファーム
境界ネットワーク

31
サーバーファームのリモート展開、フェデレーション信頼の構成、
フェデレーション SSL 証明書の更新、ログイン検証など
AD FS プロキシサーバーファーム
Azure AD Connect
3
Azure ADフェデレーション信頼
Azure AD Connect
の構成画面

35
・オンプレミスに、
Windows Server 2012 R2 以降のサーバーを展開しておく
・境界ネットワークに、
Windows Server 2012 R2 以降のサーバーを展開しておく
・フェデレーションドメイン名を決める
・ SSL 証明書を取得する
・内部/外部 DNS サーバーを構成する
・フェデレーションドメイン名で接続できることを確認しておく
など
4

36
Azure AD
パススルー
認証
（AuthN）
エージェント
Azure AD
Connect
の構成画面
2-2. パススルー認証

37
Azure AD Office 365
ドメイン
Azure AD
パススルー
※ Azure AD ユーザーのパスワードは、
クラウドに保存されていない
ユーザー
パスワード
の検証
ユーザー名、
パスワード
1

38
Azure AD Office 365
ドメイン
Azure AD
Connect
サーバー
パススルー
認証
エージェント HTTPS
2
パススルー
※ パスワード検証要求を
待ち受けて応答するだけ
ユーザー名、
パスワード
ユーザー

39
パススルー認証3
ドメイン
スタンドアロン
のパススルー
認証
エージェント
（2台目）Azure AD
（1 台目）
パススルー
認証
エージェント
認証
よりシンプルな
サーバー構成

41
Azure AD
Connect
サーバー
Azure AD
Connect
の構成画面
パスワード
同期
エージェント
2-3. パスワード同期

42
（既定 30 分間隔）
パスワード同期
（2 分間隔、
変更不可）
Azure AD
Azure
Active Directory
パスワード
同期
エージェント
※ オンプレミスのユーザーパスワードが、
同期によって、クラウドに保存される
ドメイン
ドメインの
パスワード
ポリシー
1

43
Azure AD Office 365
ドメイン
コントローラーユーザー名、
パスワード
Azure AD
Connect
サーバー
ユーザー
パスワード同期認証
クラウドに保存されている
2

44
パスワード同期3
ドメイン
パスワード
同期
エージェント
ステージング
モード
（2台目）
Azure AD
（1 台目）
パスワード
同期
エージェント
最もシンプルな
サーバー構成
Azure AD
認証
パスワード
保存

45
Azure AD
パスワード
同期
ドメイン
Azure AD
Connect
サーバー
パスワードを
クラウドに
保存して
大丈夫・・・？
4
ユーザーの
パスワードを
保存

47
Azure AD
オンプレミス
Active Directory
Azure AD
“Password”
ドメインコントローラー
MD4 + salt
+ PBKDF2
+ HMAC-SHA256
ユーザー
“Password”

49
f15abd57801840f3
348ddccafb677f6a

51
3280fec20a838984
2d5aaebaacda9e4fd
09b2c80af816111ff
e90a9f83f20527
※ PBKDF = Password based Key Derivation Function（RFC 2898）

52
1c0912757d1aa5bc
672a94f5aa3c89a5
80c475dcd90823ed
646d02423d2c8da0

53
”
1c0912757d1aa5bc672a94f5aa3c89a5
80c475dcd90823ed646d02423d2c8da0
f15abd57801840f3348ddccafb677f6a
3280fec20a8389842d5aaebaacda9e4fd
09b2c80af816111ffe90a9f83f20527
“Password”

54
Directory
Pass-the Hash :
不正に入手したパスワードのハッシュ値を悪用して、
組織に侵入する、なりすまし攻撃

55
復習
Azure AD Office 365
ドメイン
Azure AD
パススルー
リモートからアクセスする
ドメインユーザー
パスワード
の検証
ユーザー名、
パスワード

56
復習
Azure AD Office 365
ドメイン
コントローラーユーザー名、
パスワード
Azure AD
Connect
サーバー
パスワード同期認証
リモートからアクセスする

57
Azure AD Office 365
ドメイン
ドメイン
ユーザー
Azure AD
Connect
サーバー
ユーザー名、
パスワード
認証
Azure AD ユーザーのパスワードは、
パススルー
認証
ユーザー名、
パスワード

58
Azure AD Office 365
ドメイン
ドメイン
ユーザー
Azure AD
Connect
サーバー
パスワード同期
Azure AD ユーザーのパスワードは、
ユーザー名、
パスワード
認証
ユーザー名、
パスワード
認証

60
Azure AD
Connect
サーバー
パスワード同期 + sSSO パススルー認証＋ sSSO
2-4. シームレスシングル

61
シームレスシングルサインオン1
ドメイン
Azure AD
Connect
サーバー
パススルー
認証を
有効化

63
Kerberos の複合化キーを Azure AD と共有
シームレスシングルサインオン1
ドメイン
Azure AD
Connect
サーバー
AZUREADSSOACC
Azure AD
共有

64
ドメイン
AZUREADSSOACC
Azure AD
Azure Active Directory シームレスシングルサインオン: よく寄せられる質問
定期的に
ロールオーバー

65
2
ドメイン

■

■
 https://blogs.technet.microsoft.com/uktechnet/2017/09/27/mastering-identity-with-
azure-active-directory-episode-8-integrating-with-on-premises-ad-and-ad-fs/
■
 https://www.itpromentor.com/compare-sso/
70

71
オプションパスワード同期 + sSSO パススルー認証 + sSSO AD FS
展開コストの高さと複雑さ低中高
オンプレミスに展開するサーバーの数
最低 1 台、
推奨 2 台（ステージングモード）
最低 1 台、
推奨 2 台（エージェント冗長化）
最低 1 台、
推奨 2 台（サーバーファーム）
境界ネットワークに展開するサーバーの数不要不要
最低 : 1 台、
推奨 : 2 台（高可用性）
サーバーの自動フェールオーバーのサポート
いいえ
（ステージングモード）
はい
（エージェントの冗長化）
はい
（ファーム構成）
SSL 証明書が必要いいえいいえはい
System Center Operations Manager
による、オンプレミスコンポーネントの監視
いいえいいえはい
Azure AD Connect Health による、
オンプレミスコンポーネントの監視
一部
(Azure AD Premium P1)
ー
はい
(Azure AD Premium P1)
自動更新管理ーエージェントの自動更新証明書の自動ロールオーバー
組織ネットワークとインターネット間の接続が
ダウンしても、リモートから Azure AD に
サインインできる
はいいいえいいえ

72
https://aka.ms/aadconnecthealth
※ 最低 1 つの Azure AD Premium P1 ライセンス必要

73
オンプレミスデバイスから
Azure AD へのシングルサインオン
はいはいはい
オンプレスパスワードを使用するサインインはいはいはい
リモートから Azure AD へのアクセスを
オンプレミスで認証する
いいえはいはい
UPN 属性によるサインインはいはいはい
<ドメイン名><sAMAccountName
属性> によるサインイン
いいえいいえはい
サインインページのカスタマイズ
はい
（Azure AD Premium P1）
はい
はい
CSS や JavaScript によるカスタマイズいいえいいえはい

74
証明書ベースの認証いいえいいえはい
オンプレスユーザーが無効化されると、
Azure AD ユーザーも無効化になる
同期サイクルである 30 分後
（既定）に反映される
はいはい
オンプレスユーザーがロックアウト
されると、Azure AD ユーザーの認証が失敗
する
オンプレスユーザーのパスワードが期限切れ
によるロックアウト
信頼関係がある複数の
AD フォレストのユーザーの認証
はいはいはい
信頼関係がない複数の
AD フォレストのユーザーの認証
はいいいえ
はい
（AD FS 2016）
サードパーティーの LDAP ディレクトリによる
サインイン
いいえいいえ
はい
（AD FS 2016）

75
パスワードをクラウドに同期する
はい
（よりセキュアにハッシュされて格納）
いいえ
いいえ
（Fall-back としてパスワード同
期を使用できる）
セルフパスワードリセットはい
はい
はい
パスワードの書き戻しはいはいはい
オンプレミスの
パスワードポリシーの適用
一部
（パスワードの複雑性のポリシー、
パスワードの有効期限のポリシー）
はいはい
パスワード期限切れ通知のサポートいいえいいえはい
Azure AD ID 保護
はい
はい
いいえ
オンプレミスユーザーアカウントの
ロックアウト保護
ースマートロックアウトエクストラネットロックアウト

76
オンプレミスの多要素認証ソリューションいいえいいえはい
クラウドアプリケーションへの
Azure の多要素認証ソリューション
はいはいはい
Azure MFA サーバーいいえいいえはい
サードパーティー MFA
はい
はい
はい
カスタム MFA いいえいいえはい
Win10 の Windows Hello
for Business（キーベース）
はいはい
はい
（AD FS 2016）
Win10 の Windows Hello
for Business（証明書ベース）
はい
（with MDM）
はい
（with MDM)
はい
Azure AD の条件付きアクセスはいはいはい

77
デバイス登録 : Win10 はいはいはい
デバイス登録 : Win7/8.1 Coming Soon はいはい
レガシープロトコルのブロック Coming Soon (Premium) Coming Soon (Premium) はい
イントラネットからのみレガシープロトコルの許可
（Office 2010 など）
Coming Soon (Premium) Coming Soon (Premium) はい
ブラウザーはいはいはい
Exchange Active Sync (EAS) はい Coming Soon はい
ネイティブアプリケーション (レガシー認証) はい Coming Soon はい
ネイティブアプリケーション (モダン認証) はいはいはい

81
Azure AD Office 365
ドメイン
ユーザー
シングル
サインオン
復習

82
リモートからアクセス
している
Azure AD
認証認証

83
している
Azure AD
認証
それは、組織内の全ユーザーを対象としていますか？
認証
フェデレーションドメイン名を
ユーザー名に含む、全ユーザーが対象
フェデレーションドメイン名を含むユーザーは、
Azure AD に直接作成できなくなります
パススルーのドメイン名を含むユーザーも、
Azure AD に新規作成でき、
直接 AzureAD に作成したユーザーは
対象外（同期ユーザーのみ対象）

84
している
Azure AD
認証

85
している
Azure AD
認証

87
高
WAP サーバーファーム
境界
ネットワーク
AD FS
フェデレーション
パススルー認証パスワード同期
スタンドアロンの
パススルー認証
エージェント
（エージェント
2台目）
Azure AD
（エージェント
1 台目）
パススルー
認証
エージェント
パスワード
同期
エージェント
Azure AD
ステージング
モード
（2台目）
Azure AD
（1 台目）
パスワード
同期
エージェント
低中
オンプレミス

89
・アクセスブロック
・デバイスワイプ
アクセス許可
クラウドアプリケーション
正当なユーザー
信頼できる場所
デバイスの状態
ユーザー
サインインのリスク
Azure AD
条件付きアクセス
ポリシー
Azure の
多要素認証
サインイン
オンプレミス
社内アプリケーション
Azure AD
多要素認証
の強制
正当なユーザー
に対する、
細やかなアクセス制御
ユーザー認証
を強力にする

92
顔虹彩指紋
生体
本人しか持ちえない情報本人が持っているデバイス
＋
＋
本人が
持っているデバイス
誰もが
知り得る情報
ユーザー名
を入力
本人だけが
知っている情報
PIN コードを入力
＋
＋
＋
プライベートキー
パブリックキー
認証
Public
パブリックキー
認証
Public
プライベートキー

93
Windows 10
参加と認証
Directory ドメイン
Azure
Active Directory
参加と認証
または
AD FS 2016
サーバー
＋
Intune
＋

96
Azure AD への
シングルサインオン方式の
選択は、
ぜひ、
組織全体のセキュリティ対策
と組み合わせて、
検討してください

97
多要素認証
の要求
アクセス許可
アクセスの
ブロック
強制的な
パスワード
リセット***
***
アクセスの制限
制御
ユーザー
準拠デバイス
信頼できる場所
アプリケーション
条件
機会
学習
ポリシー
リアルタイム
評価エンジン
リスク
3
ポリシー
適用
怪しいユーザーアクションを
機械学習で自動検出
顔虹彩指紋
生体
強力な認証
クラウドアプリケーション
オンプレミス
社内アプリケーション
参考 : Microsoft Ignite 2017 「BRK2019」セッションスライドより

98
初めての方にも理解していただける内容に
なっています。
この本の 10 章で、Azure AD Connect
の基本的な構成方法を解説しています。

Session ID Title
SEC005
ネットワークエンジニア必見！VPN/DMZ は要らなくなる！？
Azure AD Application Proxy で実現するセキュアなアクセス
SEC006
Office 365 関係者に告ぐ「”脱 AD FS”の準備は整った」
Azure AD による SSO とアクセス制御
SEC007
Azure AD B2C と LINE 連携により実現する学校や企業における
次世代 ID/メッセージ基盤
SEC009
Azure AD による Web API の保護
～ Azure API Management をセキュリティの観点で解説
99

■

■

■

■

101

■

■

■
 https://docs.microsoft.com/ja-jp/windows/access-protection/hello-for-business/hello-identity-
verification
102

[Japan Tech summit 2017] SEC 004

[Japan Tech summit 2017] SEC 004

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Viewers also liked

Viewers also liked (20)

Similar to [Japan Tech summit 2017] SEC 004

Similar to [Japan Tech summit 2017] SEC 004 (20)

More from Microsoft Tech Summit 2017

More from Microsoft Tech Summit 2017 (11)

Recently uploaded

Recently uploaded (8)

[Japan Tech summit 2017] SEC 004