Directoryは企業のユーザ管理、アクセス制御を担う仕組みとして、広く浸透している。Directoryの適用範囲は大きく広がってきた。Services、マイクロソフト認定トレーナーなどの資格を有する国井傑氏にお話を伺った。Directoryサーバを展開し、認証を行うというかたちが浸透しています。クラウドサービスやBYODなどへの対応が迫られる中で、その認証の仕組みを企業の外でも適用したいというニーズが生じてきました。DirectoryへVPN接続して認証を行うという方法も考えられるのですが、企業で利用されるデバイスは多様化しており、VPN接続に対応できないものもあるでしょう。Directoryを社内だけに置くことの限界を感じつつあり、何かほかの認証の仕組みを求めている状況だと言えるでしょう。Directoryをベースに社内システムを構築してきたのだから、まったく新しいものに入れ替えるのは望ましくないと考える企業も多いわけですよね?そうです。Directory(WAAD)をクラウドの認証基盤として活用してもらうというのが、マイクロソフトの考え方だと思います。Directoryの情報をWAADへと同期させることが可能です。同期ツールがあるからといって、そうした環境が容易に実現できると安易には考えないほうがいいでしょう。Directoryそのものに対する正しい理解が、これまでにもまして非常に重要になってくると思います。Directoryのすべてのユーザ情報がそのまま同期されますが、実際にはクラウドの認証が必要なユーザとそうでないユーザが存在しますから、選択して同期を行うことが望ましいわけです。同期後にユーザを削除する場合には、どちらの情報から削除すべきか、どのような手順を踏むべきなのかといった点に悩むかもしれません。Directoryのアーキテクチャや動きなどをしっかりと理解していなければ、構築はなんとかうまくできたとしても、その後の運用で大きなトラブルにつながる可能性がありますから、付け焼刃ではなく、これを機にしっかりと知識を身につけるべきでしょう。Directoryフェデレーションサービス(ADFS)などが利用可能です。WAADは、クラウド上でPaaSとして提供される認証基盤で、もともとはOffice365の認証に必要なID情報を格納しておくものでした。Directoryを置き換えるものではなく、あくまでも、その一部の機能のみを利用できるサービスととらえるべきです。Intune、更にはサードパーティクラウドサービスへと拡大されてきました。Directoryと同期させることで、社内のアプリケーションだけではなく、WAADのユーザ認証さえ行えば、クラウドサービスにも既に設定済みのポリシーや制御を適用でき、SkypeやSalesforce、Evernoteなどのクラウドサービスへもアクセス可能な仕組みを構築できるわけです。パスコードなどを用いた、いわゆる多要素認証にも対応可能になります。Directoryを運用する場合、どのような用途が主に考えられるのでしょうか?まず、最も基本的なのは、クラウドに展開したアプリケーションの認証基盤としての活用でしょう。Azure上のVMとして展開したWebアプリケーションの認証基盤として利用するというものです。Directoryに対するディザスタ・リカバリ(DR)サイトとして活用可能です。そのほかには、海外拠点などの遠隔地に対するドメインコントローラとして動作させるという使い方もあるでしょう。VMへの接続は制限されます。サイト間VPN接続を導入して、ネットワーク接続の安全性を確保することも可能です。DirectoryのID情報を用いて、様々なサービスへのアクセスが可能という話をしました。Directoryにログオンしていたとしても、WAADのほうでもユーザ名とパスワードを再度入力しなければならないというデメリットもあります。Directoryに登録されているユーザ情報をもとに、そのままクラウドサービスの認証を行ってくれる仕組みが必要になります。Directoryドメインサービスに加えて、ADFSサーバを社内に立てればいいのです。Directoryドメインサービスにログオンしさえすれば、そのユーザ情報をもとにADFSがトークンを発行し、それを提示しさえすれば、クラウド/オンプレミスを問わず、連携するアプリケーションにシングルサインオンが可能になるという仕組みです。ADFSサーバの導入・構築・運用に関しては、まだまだIT業界全体で見た場合、ノウハウが蓄積されていません。仮に外部に委託したとしても、頼まれた側がその時点で初めてADFSについて情報収集を行うなどという笑えないケースもあるようですから、全体的に知識を底上げしていく必要があると感じます。DirectoryADFSはオンプレミス導入が前提になるのでしょうか?基本的にはそうです。Service=ACS)もトークンを用いた認証を行うもので、端的に言えば、クラウド上のADFSサーバととらえることができます。Directoryで認証を行う以外に、FacebookやGoogle、Yahoo!のアカウントによる認証も可能ですから、エンドユーザに自社のサービスを提供する場合に活用されるケースもあるようです。Azure上のVMにADFSサーバを実装して提供するサービスも出てきています。Directoryがどう変わったか、どのような方向性で機能拡張が図られていると感じますか?機能面ではダイナミックアクセス制御の追加が非常に大きな変化だと言えます。これはユーザの属性情報にもとづいて、ファイルやフォルダへのアクセス可否を判定する仕組みです。これまでは、ユーザのアクセス制御を行う場合、1人ひとりに対して個別に設定せずに済むよう、グループを作成して、その単位でアクセス制御を行うというのが基本的な考え方でした。結局のところ、グループは役職や部署、勤務地などにもとづいて作成されるケースがほとんどで、「課長以下にはアクセスを許可しない」「経理部ならアクセスを許可する」といった使われ方をしているのが実情と言えます。Directoryから「どの部署に属しているのか」「役職は何か」「どの場所に勤務しているのか」といったユーザ情報を引き出して判定したほうが効率がいいというわけです。ダイナミックアクセス制御では、先ほどのADFSと同様に、ログオンしたユーザの情報などが含まれるトークンを発行し、簡単に言えば、ファイル共有にアクセスする際にそのトークンを参照するような仕組みです。このように、そのユーザがどういう人なのかを判定して、それをもとにアクセス制御を行うというのは、既にクラウドの世界では主流になっています。Directoryに、クラウドと同様のアクセス制御の仕組みを取り込んでいこう、更にクラウド上のアクセス制御で標準仕様が策定された場合には、それにも対応していくことを考えているのではないかと思います。Directoryの社内構築に取り組んできた企業が、クラウドサービスの認証もその延長として構築するための受け皿は既に用意されていますし、更に様々な利用形態に対応できるよう、許容される実装方法の幅も広がっています。その分、導入する側は選択に悩むケースが増えているかもしれませんが、しっかりと知識を身につけて、将来も含めて自社の環境に適した実装を行ってほしいと思います。●ありがとうございました。株式会社ソフィアネットワーク人材育成・研修サービス、人材派遣サービス、ITトレーニングの実施などを主な事業として展開。team(戦略立案チーム)を構成し、事業拡大にともなう人材の教育や企業内の教育コンテンツの開発など、要望に合わせたサービスを提供している。Directoryの使い方」関連の情報を、チョイスしてお届けします※キーマンズネット内の「ID管理」関連情報をランダムに表示しています。システムごとに存在するID情報の一元管理を実現する。異なるシステム間のデータ同期に加え、ID情報のライフサイクルを管理し、煩雑なID管理業務の負担を軽減する。適切な管理方法は?【KeyConductors】2016/10/03会社の規模、サーバ台数に関わらず、重要なデータが格納されているサーバのアカウント管理、権限管理は非...2年目からのJ-SOX法対応指南【すご腕アナリスト市場予測】2009/07/16初年度を終えたJ-SOX法。365の導入を進めていくべきか悩んでいる企業は少なくないようです。製品レポート一覧Windows(20)KVMスイッチ(8)Linux(10)ブレードサーバ(4)UPS(1)サーバー仮想化(36)UNIX(2)PCサーバ(20)クラスタリング(4)UNIXサーバ(3)メインフレーム(7)Webアプリケーションサーバ(7)データベースソフト(64)その他サーバーOS(3)ファイルサーバ(24)その他サーバー関連(21)この記事に掲載している情報は、掲載日時点のものです。変更となる場合がございますのでご了承下さい。【日本マイクロソフト】...ソリューション・その他キーマンズネットITに関する製品や企業の情報総合サイト「キーマンズネット」キーマンズネットは企業・法人のIT選定・導入をサポートする総合情報サイトです。IT初心者から上級者まで、みなさまの様々なニーズにお応えします。IT製品導入時の情報収集に使える製品レポートや、スキルアップに役立つITセミナー情報の他、多岐にわたる特集記事を掲載しています。Reserved.プライバシーポリシー|会員規約|キーマンズネットへのお問い合わせ|広告掲載についてアイティメディア株式会社サイトへ郵便番号検索API。