Office 365 における ID 統合とアクセス制御のベストプラクティス

1. Session ID: PRD004
本情報の内容（添付文書、リンク先などを含む）は、Microsoft Tech Summit 開催日（2016年11月1－2日）時点のものであり、予告なく変更される場合があります。

2.  複数組織をどのように 1 つにまとめて、統合された
コミュニケーション基盤を構築することができるか？
 ユーザーが利用しやすく、管理者が管理しやすい
インフラ環境は？
 将来を見据えた Office 365 のインフラ設計とは？

3. Office 365 Hero

4. Pros: 簡単な展開、オンプレミス
AD と同じ ID/パスワードの使用
Cons: SSO ができない (現時点)、
アクセス制御ができない
Pros: Windows デスクトップとの
統合された SSO、クライアントア
クセス制御
Cons: オンプレミスサーバー群の
展開が必要
Pros: 最小の展開時間、オンプレ
ミス資産が不要
Cons: SSOができない、オンプレ
ミスのディレクトリと統合された
運用ができない
Pros: 事前テストされたサードパー
ティーツールやサービスが利用可能
Cons: クラウド上に複数のディレク
トリが存在
サポートパスが複数/分断
プロビジョニングは PowerShell /
Graph API のみ利用可能
クラウド ID 同期 ID フェデレーション ID
サードパーティー
フェデレーション

5. Microsoft が提供するすべて組織向けの
“Identity Management as a Service (IDaaS)”
“テナント” という単位で、何百万もの
独立した ID システムを、お客様自身で管理・制御可能
データはお客様が所有し、お客様によって管理されます -
Microsoft ではありません
Office 365 のために生まれたディレクトリ。その後、
より多くのクラウドサービスと連携できるように拡張
お客様やパートナー様 (B2C, B2B) との
組織間の連携をサポートするように進化
33,000社
のお客様が
Enterprise Mobility +
Security と Azure AD
Premium をご利用中
毎月
>8万以上
のサードパー
ティーアプリケー
ションが Azure
AD と共に利用
毎日
>10.3億回
以上の
ユーザー認証要求を
Azure AD で処理
>6億以上
のユーザーアカウ
ントが Azure AD
で稼働中
Azure AD
ディレクトリ数
>900万
以上
Fortune 500
86%
の企業が
Microsoft クラウドを
ご利用中
(Azure, O365, CRM
Online, and PowerBI)
すべての Office 365 と Azure のお客様は Azure Active Directory を使用

6. Azure Active Directory
オンプレミス
インフラの統合
ID の同期 または
フェデレーション
セルフサービス
パスワードリセット
with
オンプレミス
ディレクトリへの
書き戻し
Web Application
Proxy
オンプレミスの
Web アプリケー
ションに対する
ユーザー認証
ユーザー
アカウント管理
MyApp パネル
多要素認証
(MFA)
リソースとアプリ
への
条件付きアクセス
セルフサービス
パスワードリセット
with
Azure AD
Identity Protection
パートナー
コレボレーション
Azure AD B2B
コラボレーションを
使用したビジネス
パートナーとのセ
キュアな情報共有
顧客アカウント
管理
ユニークなID
または既存のソー
シャルIDを使用した
顧客のためのセルフ
登録サービス
with
Azure AD B2C
デバイス管理
モバイルデバイス
管理 with Intune
Windows 10
Azure AD Join/SSO
非Windowsデバイス
の
デバイス登録と管理
(iOS, Android, Mac)
数千もの
予め統合された
SaaS アプリ
全体管理・運用
レポーティング
グローバルテレメ
トリと機械学習
エンタープライズ
グレード
全世界規模の展開
接続の正常性
アプリケーション
統合
Office 365 機能群
との強固な統合
Cloud App Discovery
PaaS アプリとの
統合
ドメインサービス
他クラウドプロバ
イダーとの統合

7.  SPOは関連会社の外部ユーザーを招待不可
 SPO上で関連会社間の情報共有を必要としない
企業A/B 企業 C企業C企業B企業A
最大 900 ドメイン

8. シングルテナントに対する複数の同期サーバー
…
シングルフォレスト、シングルテナント
マルチフォレスト、シングルテナント
…
シングルフォレスト、マルチテナント
OU
OU
単一オブジェクトの複数利用
ルール
GALSync のマルチフォレスト/マルチテナント
FIM
/MIM
https://azure.microsoft.com/ja-
jp/documentation/articles/active
-directory-aadconnect-
topologies/

9. 0
20000
40000
60000
80000
100000
120000
June July Aug Sept Oct Nov Dec Jan Feb Mar Apr May Jun Jul
同期クライアント
AADSync DirSync FIM+Connector AAD Connect Total
20162015

10. ディレクトリ同期 ユーザー認証
28.2%
17.5%
47.8%
6.5%
Azure AD Authentication - Unique
Users
Cloud Only
Password Sync
AD FS
Other 3rd
parties

11. Azure AD Premium
+ Intune (EM+S)
スマートフォン タブレット
PC
サードパーティー
ソリューション
スマートフォン タブレット
PC
ADFS
スマートフォン タブレット
PC
MDM for Office 365
スマートフォン タブレット

12. Microsoft Tech Summit

13. 要件
 シームレスなコミュニケーション・
コラボレーション
 サービスレベルやセキュリティレベルを統一
 ガバナンスを強化したい
 容易な管理を実現したい

15. 日本リージョン 北米リージョン
メールボックス
パブリック DNS
パブリック CDN
移動
Exchange
Online
Front-end
Office 365
Portal
高速バックボーン接続
リージョナル DNS
地理的に一番近いデータセンターの
サーバー名を返答
※ Office 365 ポータルと Exchange Online のみ
※ SharePoint Online、 Skype for Business Online はアクティブデータセンターにリダイレクト

16. • 多角的な分析
• Office 365 サービス
全体に渡っての分析
• ユーザー情報の集計
• 自由にカスタマイズ
• スケーラブル
～ 現在プレビュー中 ～
プレビュープログラムへのサインアップ
O365usagePowerBIPreview@service.microsoft.com
https://blogs.technet.microsoft.com/microsoft_office_/2016/10/19/announcing-the-preview-of-the-office-365/

17. 要件
 既存インフラ環境がバラバラ
- Active Directory ドメイン - あり/なし
- Exchange Server - あり/なし
- WAN 接続 - あり/なし
 今後もグループ企業が増えることが予想される
 要件に応じて柔軟に構成・拡張できるように

18. Azure で解消

19. インターネット
Office 365
Active Directory ExchangeServer
Azure
①ドメインあり/Exchangeあり
②ドメインあり/Exchangeなし
③ドメインなし
ExpressRoute
(Private Peer)
IPSec VPN
Sync
Federation
Hybrid
Replication
Federation
Sync
ドメイン
コントローラー
同期サーバー
(AADConnect)
ADFSサーバー リバースプロキシ(WAP)Exchange
ハイブリッド
サーバー
vNet1 (IaaS)
VPN
Gateway
Replication
vNet2 (IaaS)
VPN
Gateway
パターン①と
共有も可能
IP制御
/多要素認証の強制AzureAD (IDaaS) AzureADPremium
AzureIaaS 上に
同期用ADを構築
することも可能
ユーザーデーターアクセス
vNet 間接続
contoso.com
fabrikam.com
fourthcoffee.com
フェデレーション ID
contoso.com
フェデレーション
または 同期ID
fourthcoffee.com
クラウド ID
fabrikam.com

20. 移行元フォレスト
ディレクトリ同期
ハイブリッド構成
フェデレーション
構築初回 (ディレクトリ同期初
回) から SourceAnchor 属性を
既定の objectGUID ではなく
mail 等の管理者が任意に設定可
能な属性で同期
移行先フォレスト
AD信頼
× × ×
ハイブリッド構成

21. Microsoft Tech Summit

22. 要件
 一旦は IP アドレス制限をしたい
- まだまだ社内のコンセンサスがとれない
- セキュリティの不安を訴える人がまだいる
 要件の変化に応じて対応したい
- 営業部門はどこからでもアクセス
- 一部の秘匿性の高い業務を行っている部門だけは
社内からのアクセスに限定

23. - ADFSサーバー群の運用や、証明書の運用
- IP アドレス制御の要件のみであれば ADFSサーバー不要
- ワークロード毎 (Exchange, SharePoint etc…)

24. 要件
 インターネットから直接アクセスする際は、
多要素認証を強制したい
- 生産性を最大限高めるためにはどこからでもアクセスしたい
- しかし、ID・パスワードのみでアクセス出来てしまう場合、情報漏洩が心配
- ID・パスワードは盗まれる前提で運用したい

25. MFA
MFA
バイパス バイパス

26.  パスワードレスの認証
 Windows Hello for Business 連携
 SmartCard 認証のみに限定
 オンプレミスアプリを含めた
より詳細なアクセス制御
 アプリ毎のサインインページのブラン
ディング (カスタマイズ)

27. Microsoft Tech Summit

28.  Office 365 への共通 URL/IP を、プロキシ/ファイ
アウォールで許可すると、自社のテナントへも
アクセスが可能になってしまう
 業務上、他テナントにはアクセスさせたくない
ユーザーが存在する
要件
自社テナント
ユーザーが自身で契約した
個別テナント など
他社テナント
〇
×
×
?
?

29. では、制御することはできません

30. 要件
 ID・パスワードが漏洩したことを想定して
テナントへの不正アクセスの有無を検知したい
 内部ユーザーの不正利用を検知したい
 脅威を検知した場合に、該当のアカウントを
自動的に無効化したい など

31. Microsoft Tech Summit

32.  クラウドで完結する柔軟性/拡張性の高い構成を！
 Azure AD Premium + ADFS で強固な ID 基盤を！
 ASM で脅威に対する備えを！

33. Day 1
- SEC002 : Office 365 で実現する一歩先の情報漏えい対策
- CLD006 : Azure VNet & Express Route 最新情報
- SEC008 : Azure AD でクラウドの認証基盤を統合したいけど、ID の安全性はどう確保する？
- SEC009 : Windows 10 とクラウドリソースの利用を安全にする Better Together シナリオ
Day 2
- SEC001 : その Office 365 の使い方で働き方は変わりましたか？基礎から学ぶ Office 365 × モバイ
ル活用講座
- PRD013 : お客様とパートナー様の Office 365 導入・定着化を支援する FastTrack Center
- {14:25~} PRD005 : クラウドで守る! Exchange Online の最新セキュリティ対策
- {18:10~} SEC007 : 条件付きアクセスを徹底理解 - Azure Active Directory で実現する場所とデバイ
スの“条件付きアクセス制御”-