AzureランディングゾーンでのActive DirectoryとMicrosoft Entra IDを使用したハイブリッドID

[アーティクル]
05/31/2024

この記事では、Azure ランディングゾーンの Microsoft Entra ID とハイブリッドID を設計および実装する方法について説明します。

クラウドで運用されている組織では、ユーザーIDとリソースへのアクセスを管理するためのディレクトリサービスが必要です。 Microsoft Entra IDは、ユーザーとグループを管理するための堅牢な機能を提供するクラウドベースのIDおよびアクセス管理サービスです。スタンドアロンの ID ソリューションとして Microsoft Entra ID を使用することも、Microsoft Entra Domain ServicesインフラストラクチャまたはオンプレミスのActive Directory Domain Services (AD DS) インフラストラクチャと統合することもできます。

Microsoft Entra ID は、Azure および Microsoft 365 サービスの最新のセキュリティで保護された ID およびアクセス管理を提供します。 Microsoft Entra ID は、さまざまな組織やワークロードに使用できます。たとえば、オンプレミスの AD DS インフラストラクチャとクラウドベースのワークロードを持つ組織は、Microsoft Entra ID とのディレクトリ同期を使用できます。ディレクトリ同期により、オンプレミス環境とクラウド環境で一貫した ID、グループ、ロールのセットが共有されます。レガシ認証メカニズムを必要とするアプリケーションでは、クラウド内のマネージドドメインサービス用の Domain Services を必要とし、オンプレミスの AD DS インフラストラクチャを Azure に拡張することが必要になる場合があります。

クラウドベースの ID 管理は反復的なプロセスです。クラウドネイティブソリューションと、ユーザーと初期展開に対応するロールの少数のセットを持つクラウドネイティブソリューションを使用して開始できます。移行が進むにつれて、ディレクトリ同期の使用による ID ソリューションの統合や、クラウド展開の一部としてクラウドがホストするドメインサービスの追加が必要になる場合があります。

ワークロードの認証要件とその他のニーズ (組織のID戦略とセキュリティ要件の変更、他のディレクトリサービスとの統合など) に応じて、時間をかけて IDソリューションを調節します。 Windows Server Active Directory ソリューションを評価するときは、Windows Server 上の Microsoft Entra ID、Domain Services、および AD DS の違いを理解してください。

詳細については、「アイデンティティーの決定」を参照ください。

AzureランディングゾーンのIDおよびアクセス管理サービス

プラットフォームチームは、IDおよびアクセス管理の管理を担当します。 IDおよびアクセス管理サービスは、組織のセキュリティの基本です。組織は Microsoft Entra ID を使用して、管理アクセスを制御し、プラットフォームリソースを保護できます。このアプローチにより、プラットフォームチームの外部のユーザーは、Microsoft Entra ID に含まれる構成またはセキュリティプリンシパルを変更できなくなります。

AD DS または Domain Services を使用する場合、未承認のアクセスからドメインコントローラーを保護する必要もあります。ドメインコントローラーは攻撃者にとって非常に脆弱であり、厳格なセキュリティ制御とアプリケーションワークロードからの分離が必要です。

ドメインコントローラーと関連コンポーネント (Microsoft Entra Connect サーバーなど) は、プラットフォーム管理グループ内に置かれた ID サブスクリプションに展開されます。ドメインコントローラーはアプリケーションチームに委任されません。この分離により、アプリケーション所有者は ID サービスを保守しなくても使用できるため、ID およびアクセス管理サービスに対する侵害のリスクが軽減されます。 IDプラットフォームサブスクリプションのリソースは、クラウドおよびオンプレミス環境のセキュリティの重要なポイントです。

アプリケーション所有者がワークロードのニーズに合わせて Microsoft Entra ID または AD DS と Domain Services のいずれかを選択できるように、ランディングゾーンをプロビジョニングします。 ID ソリューションによっては、その他のサービスを構成する必要がある場合があります。たとえば、ID仮想ネットワークへのネットワーク接続を有効にし、セキュリティで保護する必要がある場合があります。サブスクリプション販売プロセスを使用する場合は、この構成情報をサブスクリプション要求に含めます。

Azureおよびオンプレミスのドメイン (ハイブリッドID)

完全に Microsoft Entra ID で作成されたユーザーオブジェクトは、クラウド専用アカウント として知られています。クラウド専用アカウントは、Azure と Microsoft 365 のリソースへの先進認証とアクセスをサポートし、また、Windows 10 または Windows 11 を使用するローカルデバイスへのアクセスもサポートしています。

組織では、ライトウェイトディレクトリアクセスプロトコル (LDAP) を介して基幹業務やエンタープライズリソースプランニング (ERP) などの他のシステムと統合する、長期間の AD DS ディレクトリが既に存在しています。これらのドメインには、認証に Kerberos または以前の NTLMv2 プロトコルを使用する、ドメインに参加しているコンピューターやアプリケーションが多数含まれている場合があります。このような環境では、ユーザーが単一のidでオンプレミスのシステムとクラウドリソースの両方にサインインできるように、ユーザーオブジェクトをMicrosoft Entra IDに同期することができます。オンプレミスとクラウドディレクトリサービスの統合は、ハイブリッドID として知られています。オンプレミスドメインをAzureランディングゾーンに拡張できます:

クラウド環境とオンプレミス環境の両方で単一のユーザーオブジェクトを維持するために、Microsoft Entra Connect または Microsoft Entra Cloud Sync を介して AD DS ドメインユーザーを Microsoft Entra ID と同期できます。お使いの環境での推奨構成を決定するには、「Microsoft Entra Connect のトポロジ」と「Microsoft Entra Cloud Sync のトポロジ」を参照してください。
Windows Virtual Machines (VM) やその他のサービスをドメイン参加させるには、Azure にAD DS ドメインコントローラーまたは Domain Services をデプロイできます。この方法を使用して、AD DSユーザーは、Windowsサーバー、Azure ファイル共有、および Active Directory を認証ソースとして使用するその他のリソースにサインインできます。認証ソースとして、グループポリシーなど、他の Active Directory テクノロジを使用することもできます。詳細については、 Microsoft Entra Domain Servicesの一般的な展開シナリオを参照してください。

ハイブリッドアイデンティティの推奨

IDソリューションの要件を判断するには、各アプリケーションが使用する認証プロバイダーを文書化します。 ID 決定ガイドを使用して、組織に適したサービスを選択します。詳細については、「Azure Active Directory を Microsoft Entra ID と比較する」を参照してください。
Domain Servicesに依存し、古いプロトコルを使用するアプリケーションには、ドメインサービスを使用することができます。場合によっては、既存の AD DS ドメインは後方互換対応性をサポートし、レガシプロトコルを許可するため、セキュリティに悪影響を及ぼす可能性があります。オンプレミスドメインを拡張する代わりに、Domain Services を使用して、レガシプロトコルを許可しない新しいドメインを作成することを検討してください。クラウドでホストされるアプリケーションのディレクトリサービスとして、新しいドメインを使用します。
Azure のハイブリッド ID 戦略の重要な設計要件として回復性を考慮します。 Microsoft Entra ID はグローバルに冗長なクラウドベースのシステムですが、Domain Services と AD DS はそうではありません。 Domain Services と AD DS を実装する場合は、回復性を慎重に計画します。いずれかのサービスを設計する場合は、マルチリージョンデプロイを使用して、リージョンインシデントが発生した場合にサービス操作を継続することを検討してください。
オンプレミスの AD DS インスタンスを Azure に拡張し、デプロイを最適化するには、Azure リージョンを Active Directory サイトデザインに組み込みます。ワークロードをデプロイする予定の各 Azure リージョンの AD DS サイトとサービスにサイトを作成します。次に、リージョンにデプロイする予定の IP アドレスの範囲ごとに、AD DS サイトとサービスに新しいサブネットオブジェクトを作成します。新しいサブネットオブジェクトを、作成した AD DS サイトに関連付けます。この構成により、ドメインコントローラー位置情報サービスは、承認要求と認証要求を、同じ Azure リージョン内の最も近い AD DS ドメインコントローラーに送信します。
ゲスト、顧客、パートナーにリソースへアクセスできるように設定するシナリオを評価します。これらのシナリオに、顧客のMicrosoft Entra B2BまたはMicrosoft Entra外部IDが含まれるかどうかを判断します。詳細については、Microsoft Entra 外部 ID に関するページを参照してください。
イントラネットアクセスにMicrosoft Entraアプリケーションプロキシを使用しないでください。ユーザーエクスペリエンスに待機時間が追加されるためです。詳細については、「Microsoft Entraアプリケーションプロキシの計画」および「Microsoft Entraアプリケーションプロキシのセキュリティに関する考慮事項」を参照してください。
組織の要件を満たすために、オンプレミスのActive DirectoryをAzureと統合するために使用できるさまざまな方法を検討してください。
Microsoft Entra ID とのフェデレーションがある Active Directory フェデレーションサービス (AD FS) を使用する場合、パスワードハッシュ同期をバックアップとして使用することができます。 AD FSは、Microsoft Entraのシームレスなシングルサインオン（SSO）をサポートしていません。
クラウドIDに適した同期ツールを決定します。
AD FSを使用するための要件がある場合は、「AzureにAD FSをデプロイする」を参照してください。
Microsoft Entra Connect を同期ツールとして使用する場合は、ディザスターリカバリーのためにプライマリ Microsoft Entra Connect サーバーとは異なるリージョンにステージングサーバーをデプロイすることを検討してください。または、複数のリージョンを使用しない場合は、可用性を高めるために可用性ゾーンを実装します。
Microsoft Entra Cloud Sync を同期ツールとして使用する場合は、ディザスターリカバリーのために、複数のリージョンの異なるサーバーに少なくとも 3 種のエージェントをインストールすることを検討してください。または、高可用性のために、異なる可用性ゾーン内の複数のサーバーにエージェントをインストールすることもできます。

重要

特に AD FS を必要とする場合を除いて、Microsoft Entra IDに移行することを強くお勧めします。詳細については、「AD FSの使用停止に関するリソース」および「AD FSからMicrosoft Entra IDへの移行」を参照してください。

Microsoft Entra ID、ドメインサービス、AD DS

Microsoft ディレクトリサービスを実装するには、管理者に次のオプションを把握してもらいます：

プラットフォーム管理者または ID 管理者がフルコントロールする Windows VM として Azure に AD DS ドメインコントローラーをデプロイできます。このアプローチは、サービスとしてのインフラストラクチャ (IaaS) ソリューションです。ドメインコントローラーを既存の Active Directory ドメインに参加させることも、既存のオンプレミスドメインとオプションの信頼関係を持つ新しいドメインをホストすることもできます。詳細については、「AzureランディングゾーンでのAzure Virtual Machinesベースラインアーキテクチャ」を参照してください。
Domain Services は、Azure でホストされる新しいマネージド Active Directory ドメインの作成に使用できる Azure マネージドサービスです。ドメインは既存のドメインと信頼関係を持つことができ、Microsoft Entra IDからIDを同期できます。管理者はドメインコントローラーに直接アクセスできず、修正プログラムの適用やその他のメンテナンス操作を担当しません。
Domain Services を展開する場合、またはオンプレミス環境を Azure に統合する場合は、極力可用性を高めるために可用性ゾーンのある場所を使用してください。回復性を向上するために、複数の Azure リージョンにデプロイすることも検討します。

AD DS または Domain Services を構成した後、オンプレミスのコンピュータと同じ方法を使用して、Azure VM とファイル共有にドメイン参加することができます。詳細については、「Microsoftディレクトリベースのサービスの比較」を参照してください。

Microsoft Entra IDとAD DSの推奨事項

Microsoft Entra ID を介してリモートでオンプレミス認証を使用するアプリケーションにアクセスするには、Microsoft Entra アプリケーションプロキシを使用します。この機能は、オンプレミスのウェブアプリケーションへのセキュアなリモートアクセスを提供する。 Microsoft Entra アプリケーションプロキシには、VPN やネットワークインフラストラクチャの変更は必要ありません。ただし、Microsoft Entra ID に単一のインスタンスとしてデプロイされるため、アプリケーションの所有者とプラットフォームまたは ID チームが協力して、アプリケーションが正しく設定されていることを確認する必要があります。
Windows ServerおよびDomain Services上のAD DSのワークロードの互換性を評価する。詳細については、「一般的なユースケースとシナリオ」を参照してください。
ドメインコントローラーVMまたはDomain Servicesレプリカセットをプラットフォーム管理グループ内のIDプラットフォームサブスクリプションにデプロイします。
ドメインコントローラーを含む仮想ネットワークをセキュリティで保護します。 Virtual Network との直接のインターネット接続を防ぎ、コントローラーを実行するにはメインネットワークセキュリティグループ (NSG) を使用して分離されたサブネットに AD DS サーバーを配置します。 NSG はファイアウォール機能を備えています。認証にドメインコントローラーを使用するリソースには、ドメインコントローラーサブネットへのネットワークルートが必要です。ネットワークルートは、IDサブスクリプションのサービスへのアクセスを必要とするアプリケーションに対してのみ有効にします。詳細については、「 Azure 仮想ネットワークに AD DS をデプロイする」を参照してください。
Azure Virtual Network Manager を使用して、仮想ネットワークに適用される標準規則を適用します。たとえば、Active Directory ID サービスが必要な場合には、Azure Policy または仮想ネットワークリソースタグを使用して、ランディングゾーンの仮想ネットワークをネットワークグループに追加できます。その後、ネットワークグループを使用して、必要なアプリケーションからのみドメインコントローラーサブネットへのアクセスを許可し、他のアプリケーションからのアクセスのブロックができます。
ドメインコントローラー VM およびその他の ID リソースに適用されるロールベースのアクセス制御 (RBAC) アクセス許可をセキュリティで保護します。共同作成者、所有者、Virtual Machines 共同作成者など、Azure コントロールプレーンで RBAC ロールの割り当てを持つ管理者は、VM でコマンドを実行できます。承認された管理者のみが ID サブスクリプション内の VM にアクセスでき、過度に制限の緩いロールの割り当てが上位の管理グループから継承されていないことの確認します。
レプリカセット用の仮想ネットワークは、待機時間を最小限に抑えるため、コアアプリケーションを同一リージョン内に配置するか、または近くに配置してください。複数地域の組織では、コアプラットフォームコンポーネントをホストするリージョンにDomain Servicesをデプロイします。 Domain Servicesは、単一のサブスクリプションにのみデプロイできます。 Domain Services をさらにリージョンに拡張するには、プライマリ仮想ネットワークにピアリングされた個別の仮想ネットワークに最大 4 つのレプリカセットを追加できます。
回復性と可用性を向上させるために、AD DS ドメインコントローラーを複数の Azure リージョンおよび可用性ゾーンにデプロイすることを検討してください。詳細については、「可用性ゾーンにVMを作成する」および「VMを可用性ゾーンに移行する」を参照してください。
ID 計画の一環として、Microsoft Entra IDの認証方法を検討します。認証は、クラウドとオンプレミス、またはオンプレミスでのみ行うことができます。
Windows ユーザーが Azure Files ファイル共有に Kerberos を必要とする場合は、クラウドにドメインコントローラーをデプロイするのではなく、Microsoft Entra ID に Kerberos 認証を使用することを検討します。

次のステップ

ランディングゾーンのIDとアクセスの管理

次の方法で共有