TechSummit 2018 PR18

1. PR18
VPN・証明書はもう不要?
Azure ADによるデバイス認証
小杉 真一郎
日本マイクロソフト株式会社
クラウド&ソリューション事業本部 モダンワークプレイス統括本部
セキュリティ技術営業部
テクノロジーソリューションプロフェッショナル

2. どう実現しますか？
営業部門長

3. どう実現しますか？
VPN
• ユーザビリティ（毎回接続が必要）
• 運用コスト
証明書認証
• 証明書を配布する運用が大変
• AD FS または 3rd Party の IDaaS が必要

4. どう実現しますか？
Azure AD のデバイス認証
• 社外でもシームレスに接続可能
• 事前に証明書を配る必要がない
• Azure AD のみで実現できる

5. セッション終了後には・・・
• Azure AD でのデバイス認証の仕組みがわかる
• 構築手順、運用のコツがわかる
• さらに便利な使い方がわかる
本日は Windows PC に限った話をします。

7. Azure AD を利用した
デバイス認証の仕組み

8. 証明書認証の仕組み
証明書を持っているか、証明書が有効かをチェック
IDP
認証局①証明書の配布
②認証
④証明書が有効かチェック
⑤アクセス許可
③証明書を確認

9. Azure AD によるデバイス認証の仕組み
デバイスが登録済かつデバイスがポリシーに準拠済かを確認
①デバイス登録 ⑥アクセス許可
④デバイスが登録済か確認
③認証 Azure AD
Intune
②登録
⑤デバイスがポリシーに
準拠しているか確認

10. まとめると・・・

11. まずはデバイス登録
デバイスごとに3つの方法から選ぶことができます。

12. Azure AD の ID で PC にログオン
• クラウドを中心とした管理を行う場合
• Azure AD の ID を利用して PC にログオン
• Windows 10 のみ対応
• オンプレミス AD に参加している場合は利用不可
Azure AD
Intune
Azure AD の
IDでログオン
参加
PC 登録

13. オンプレミス AD の ID で PC にログオン
• 既存のオンプレミス AD 基盤を活用してクラウドを利用する場合
• オンプレミス AD の ID を利用して PC にログオン
• Windows 7 / 8.1 /10 に対応
• Azure AD と同期する AD にユーザーアカウント・コンピュータアカウントが必要
Azure AD
Intune
オンプレ AD の
IDでログオン AD
参加
AAD ConnectPC
登録

14. デバイスを手動で Azure AD に登録
• 会社で管理されていないデバイス・組織外のデバイスを想定した機能
• PC へのログオン方法は変わらない（ローカルアカウント or AD アカウント）
• Windows 10 のみ対応
Azure AD
Intune
ローカルアカウント
/ADアカウントでログオン
登録
登録
PC

15. オンプレミス AD 環境・ OS により、利用可能な方式が決まります
Windows 7/8.1Windows 10 Yes
※Windows 7/8.1 は 10 にアップデート
No

16. Azure AD登録 Hybrid AAD 参加
Azure AD 参加
海外子会社（ドメイン環境）
ADWin10 システムWin 7/8.1
海外出張所（ワークグループ環境）
Win10Win 7/8.1
Update
Update
国内事業所（ドメイン環境）
Win 7/8.1
Win10
AD
AAD
Connect
Azure AD

17. 導入手順

18. 前提事項
必要なライセンス

19. ネットワーク要件
• https://enterpriseregistration.windows.net
• https://login.microsoftonline.com
• https://device.login.microsoftonline.com
• https://autologon.microsoftazuread-sso.com
• 組織の STS（ AD FS 環境のみ）
各デバイスから以下のリソースにアクセスできることを確認

20. ステップ

21. 1. Azure AD 登録 / 参加の設定
https://docs.microsoft.com/ja-jp/intune/windows-enroll#enable-windows-10-automatic-enrollment

22. 1. Azure AD 登録 / 参加の設定
• ユーザー / グループ
• クラウドアプリ
• 条件（OS 、クライアント、IPアドレス等）

23. デバイス認証の判定
デバイスが準拠すべきポリシーを満たしていればアクセスを許可。
Windows 10 のみ利用可能。
Windows 7 / 8.1 / 10 で利用可能。
2つの判定方法があります

24. 1. Azure AD 登録 / 参加の設定
https://docs.microsoft.com/ja-jp/intune/compliance-policy-create-windows

25. ステップ
1. Azure AD 登録 / Azure AD参加の設定
1.1 Intune への自動登録の設定
1.2 デバイス認証を行う条件（条件付きアクセス）の設定
1.3 デバイスが準拠すべきポリシー（コンプライアンスポリシー）の設定

26. 2. Hybrid AD Join の設定
https://docs.microsoft.com/ja-jp/azure/active-directory/devices/hybrid-
azuread-join-managed-domains
https://docs.microsoft.com/ja-jp/azure/active-directory/devices/hybrid-
azuread-join-federated-domains

27. 動作確認

28. デバイスの登録手順

29. デバイスの手動登録

30. デバイスの手動登録

31. デバイスの手動登録

32. デバイスの手動登録
Azure AD 登録
Azure AD 参加

34. 想定通りにアクセスが制御されるか確認
条件付きアクセス
・ユーザー / グループ
・クラウドアプリ
・コンプライアンスポリシー準拠
・Hybrid Azure AD参加
コンプライアンスポリシー
• デバイスの正常性
• OS のバージョン
• パスワードが満たす要件
• セキュリティ対策ソフトウェア
準拠状態
ポリシー準拠 OR
登録済デバイス OR
Internet
Azure AD
Intune

35. 運用のポイント

37. 手動登録を各拠点の管理者に限定

38. デバイスの登録制限を利用
Ignite 2018

39. プロビジョニングパッケージによる展開
デバイスのプロファイルを作成して PC に展開

40. AutoPilotによる展開
デバイスのシリアル番号を登録し、自動で Azure AD 参加
Internet
Azure AD
PC メーカー / OEM
IT 管理者
② シリアル通知
①注文
③ シリアル登録
ユーザー
④ PC発送
⑤ 自動でAzure AD 参加

41. 各拠点以外の場所からのAzure AD登録をブロック

42. デバイスの自動クリーンアップを構成

43. ここまでのおさらい

44. さらに便利な使い方

45. (Ignite 2018)
Windows 10 の場合、Intune でデバイス管理が可能
Apps
PowerShellアプリケーション
構成ポリシー Windows Update
Windows 10 PC
Intune

46. Internet
社内 Web システムを社外に公開
Web システム
App Proxy Connector
Azure AD
App Proxy
Azure AD

47. Internet
デスクトップアプリを社外に公開
Ignite 2018
Session Host
Gateway
Azure AD

48. まとめ

49. セッション終了後には・・・
• Azure AD でのデバイス認証の仕組みがわかる
• 構築手順、運用のコツがわかる
• さらに便利な使い方がわかる

50. 全ての PC を Azure AD に登録しましょう！
Azure Active Directory + Intune
Azure AD 参加
Hybrid Azure AD 参加
Azure AD 登録

51. 参考情報
• Azure AD によるデバイス管理のドキュメント
https://docs.microsoft.com/ja-jp/azure/active-directory/devices/overview
• Azure AD や EMS の最新情報ブログ
http://aka.ms/EMSBlog
• Azure AD Webiner（日本語）
http://aka.ms/AzureAdWebiner

52. Information
「Ask The Speaker」
各ブレイクアウトセッション終了後の休憩時間に、
登壇したスピーカーに直接ご質問いただけるコーナーを
B2F 「Ask The Speaker」 Room に用意
しています。セッション内容のより深い理解のため、
ぜひお役立てください。
（※ハンズオンラーニング、シアターセッション、ビジネストラック
及び 一部のセッションを除きます）
EXPO
AREA 1
EXPO
AREA 2
Room
N

53. セッションアンケートにご協力ください。
公式イベントアプリで、「Microsoft Tech Summit 2018 参加者アンケート（必須）」と
「各セッションアンケート（ 5 つ以上）」、合わせて 6 つ以上のアンケートにご回答ください。
もれなくオリジナルグッズを贈呈いたします。
Information
Twitter のご案内
本セッションに関するご質問やご感想は、 #mstsjp18 と セッション ID の
ハッシュタグで、ご投稿をお願いします。
#mstsjp18

54. Appendix

55. Hybrid AD Join の設定
https://blogs.technet.microsoft.com/jpazureid/2018/08/10/azure-ad-
connect-upgrade/

56. Hybrid AD Join の設定

57. Hybrid AD Join の設定

58. Hybrid AD Join の設定

59. Hybrid AD Join の設定

60. Hybrid AD Join の設定

61. Hybrid AD Join の設定
Administrative Templates (.admx) for Windows 10 Fall Creators Update (1709) – 日
本語

62. Hybrid AD Join の設定

63. Hybrid AD Join の設定
https://www.microsoft.com/en-us/download/details.aspx?id=53554

64. © 2018 Microsoft Corporation. All rights reserved.
本情報の内容（添付文書、リンク先などを含む）は、作成日時点でのものであり、予告なく変更される場合があります。