Windows Server 2012 R2 の AD FS 用のラボ環境をセットアップする

[アーティクル]
02/13/2024

このトピックでは、次のチュートリアルガイドのチュートリアルを完了するために使用できるテスト環境の構成手順を説明します。

注意

Web サーバーとフェデレーションサーバーを同じコンピューターにインストールすることはお勧めしません。

このテスト環境をセットアップするには、次の手順を完了します。

手順 1: ドメインコントローラー (DC1) を構成する

このテスト環境では、ルート Active Directory ドメイン contoso.com を呼び出し、Administratorパスワードとして「pass@word1」を指定できます。

AD DS 役割サービスをインストールし、次に Active Directory Domain Services (AD DS) をインストールして、コンピューターを Windows Server 2012 R2 のドメインコントローラーにします。この操作により、ドメインコントローラー作成の一環として AD DS スキーマがアップグレードされます。詳細と操作手順については、「https://technet.microsoft.com/library/hh472162.aspx」を参照してください。

テスト用 Active Directory アカウントの作成

ドメインコントローラーが機能するようになったら、このドメインにテスト用のグループとユーザーアカウントを作成して、作成したユーザーアカウントをグループアカウントに追加できます。このトピックの最初に示したチュートリアルガイドのチュートリアルを完了するには、これらのアカウントを使用します。

次のアカウントを作成します。

ユーザー: Robert Hatley 。資格情報は、ユーザー名: RobertH 、パスワード: P@ssword
グループ: Finance

Active Directory (AD) でユーザーアカウントとグループアカウントを作成する方法については、「https://technet.microsoft.com/library/cc783323%28v.aspx」を参照してください。

Robert Hatley アカウントを Finance グループに追加します。 Active Directory のグループにユーザーを追加する方法については、「https://technet.microsoft.com/library/cc737130%28v=ws.10%29.aspx」を参照してください。

GMSA アカウントの作成

Active Directory フェデレーションサービス (AD FS) をインストールおよび構成する際には、グループ管理サービスアカウント (GMSA) アカウントが必要です。

GMSA アカウントを作成するには

Windows PowerShell コマンドウィンドウを開いて、次のコマンドを入力します。

Add-KdsRootKey -EffectiveTime (Get-Date).AddHours(-10)
New-ADServiceAccount FsGmsa -DNSHostName adfs1.contoso.com -ServicePrincipalNames http/adfs1.contoso.com

手順 2: デバイス登録サービスを使用してフェデレーションサーバー (ADFS1) を構成する

別の仮想マシンをセットアップして Windows Server 2012 R2 をインストールし、contoso.com ドメインに接続します。コンピューターをドメインに参加させたらセットアップを実行し、 AD FS 役割のインストールと構成に進みます。

これらの手順を説明したビデオを視聴するには、「Active Directory フェデレーションサービスの使い方ビデオシリーズ: AD FS サーバーファームのインストール」を参照してください。

サーバー SSL 証明書のインストール

ADFS1 サーバーのサーバー SSL (Secure Socket Layer) 証明書を、ローカルコンピューターストアにインストールする必要があります。この証明書には次の属性が必要です。

サブジェクト名 (CN): adfs1.contoso.com
サブジェクト代替名 (DNS): adfs1.contoso.com
サブジェクト代替名 (DNS): enterpriseregistration.contoso.com

SSL 証明書のセットアップに関する詳細については、「エンタープライズ CA を使用してドメイン内の Web サイトで SSL/TLS を構成する」を参照してください。

「Active Directory フェデレーションサービスの使い方ビデオシリーズ: 証明書の更新」。

AD FS サーバーの役割のインストール

フェデレーションサービス役割サービスをインストールするには

ドメインAdministratorアカウント administrator@contoso.com を使用してサーバーにログオンします。
Server Manager を起動します。サーバーマネージャーを起動するには、Windows のスタート画面で [サーバーマネージャー] をクリックするか、または Windows デスクトップの Windows タスクバーで [サーバーマネージャー] をクリックします。 [ダッシュボード] ページにある [ようこそ] タイルの [クイックスタート] タブで、[役割と機能の追加] をクリックします。または、[管理] メニューの [役割と機能の追加] をクリックすることもできます。
[開始する前に] ページで、 [次へ] をクリックします。
[インストールの種類の選択] ページで、[役割ベースまたは機能ベースのインストール] をクリックし、[次へ] をクリックします。
[宛先サーバーの選択] ページで、[サーバープールからサーバーを選択] をクリックし、ターゲットコンピューターが選択されていることを確認してから、[次へ] をクリックします。
[サーバーの役割の選択] ページで、[Active Directory フェデレーションサービス] をクリックし、[次へ] をクリックします。
[機能の選択] ページで、[次へ] をクリックします。
[Active Directory フェデレーションサービス (AD FS)] ページで、[次へ] をクリックします。
[インストールオプションの確認] ページの情報を確認し、[必要に応じて対象サーバーを自動的に再起動する] チェックボックスをオンにして、[インストール] をクリックします。
[インストールの進行状況] ページで、すべてが正常にインストールされたことを確認し、[閉じる] をクリックします。

フェデレーションサーバーの構成

次の手順ではフェデレーションサーバーを構成します。

フェデレーションサーバーを構成するには

Server Manager の [ダッシュボード] ページで、[通知] フラグをクリックし、[サーバーにフェデレーションサービスを構成します] をクリックします。

Active Directory フェデレーションサービス構成ウィザードが開きます。
[ようこそ] ページで、[フェデレーションサーバーファームに最初のフェデレーションサーバーを作成します] を選択し、[次へ] をクリックします。
[AD DS への接続] ページで、このコンピューターが参加している contoso.com Active Directory ドメインのドメイン管理者権限を持つアカウントを指定し、[次へ] をクリックします。
[サービスのプロパティの指定] ページで次の操作を実行してから、[次へ] をクリックします。
- 前の手順で取得した SSL 証明書をインポートします。この証明書は必須のサービス認証証明書です。 SSL 証明書の保存場所を参照します。
- フェデレーションサービスの名前に「adfs1.contoso.com」と入力します。この値は、Active Directory 証明書サービス (AD CS) に SSL 証明書を登録したときに指定したのと同じ値です。
- フェデレーションサービスの表示名に「Contoso Corporation」と入力します。
[サービスアカウントの指定] ページで、[既存のドメインユーザーアカウントまたはグループの管理されたサービスアカウントを使用してください] を選択し、ドメインコントローラーの作成時に作成した GMSA アカウント fsgmsa を指定します。
[構成データベースの指定] ページで、[Windows Internal Database を使用してサーバーにデータベースを作成します] を選択し、[次へ] をクリックします。
[オプションの確認] ページで、構成の選択内容を確認し、[次へ] をクリックします。
[前提条件の確認] ページで、すべての前提条件の確認が正常に完了したことを確認し、[構成] をクリックします。
[結果] ページで結果を確認し、構成が正常に完了したことを確認してから、[フェデレーションサービス展開を完了するために必要な次の手順] をクリックします。

デバイス登録サービスの構成

次の手順では、ADFS1 サーバーでデバイス登録サービスを構成します。これらの手順を説明したビデオを視聴するには、「 Active Directory フェデレーションサービスの使い方ビデオシリーズ: デバイス登録サービスを有効にする」を参照してください。

Windows Server 2012 RTM でデバイス登録サービスを構成するには

重要

次の手順は、Windows Server 2012 R2 RTM ビルドに該当します。

Windows PowerShell コマンドウィンドウを開いて、次のコマンドを入力します。
```
Initialize-ADDeviceRegistration
```
サービスアカウントの入力を求められたら、「contoso\fsgmsa$」と入力します。

Windows PowerShell コマンドレットを実行します。
```
Enable-AdfsDeviceRegistration
```
ADFS1 サーバーで、AD FS 管理コンソールの [認証ポリシー] に移動します。 [グローバルプライマリ認証の編集] を選択します。 [デバイス認証の有効化] の横にあるチェックボックスをオンにして、[OK] をクリックします。

ホスト (A) およびエイリアス (CNAME) リソースレコードの DNS への追加

DC1 では、デバイス登録サービス用に次のドメインネームシステム (DNS) レコードを作成する必要があります。

入力	Type	Address
adfs1	ホスト (A)	AD FS サーバーの IP アドレス
enterpriseregistration	エイリアス (CNAME)	adfs1.contoso.com

次の手順に従って、ホスト (A) リソースレコードを会社のフェデレーションサーバーとデバイス登録サービスの DNS ネームサーバーに追加できます。

この手順を実行するには、少なくとも Administrators グループのメンバーシップまたは同等の権限を持つメンバーシップが必要です。ハイパーリンク「https://go.microsoft.com/fwlink/?LinkId=83477」のローカルとドメインの規定グループ (https://go.microsoft.com/fwlink/p/?LinkId=83477) で適切なアカウントとグループメンバーシップの使用方法について詳細を確認します。

ホスト (A) およびエイリアス (CNAME) リソースレコードをフェデレーションサーバーの DNS に追加するには

DC1 のサーバーマネージャーで、[ツール] メニューの [DNS] をクリックし、DNS スナップインを開きます。
コンソールツリーで [DC1] を展開し、[前方参照ゾーン] を展開して [contoso.com] を右クリックし、[新しいホスト (A または AAAA)] をクリックします。
[名前] に AD FS ファームで使用する名前を入力します。このチュートリアルでは、「adfs1」と入力します。
[IP アドレス] に ADFS1 サーバーの IP アドレスを入力します。 [ホストの追加] をクリックします。
[contoso.com] を右クリックし、[新しいエイリアス (CNAME)] をクリックします。
[新しいリソースレコード] ダイアログボックスで、[エイリアス名] ボックスに「enterpriseregistration」と入力します。
ターゲットホストボックスの [完全修飾ドメイン名 (FQDN)] に「adfs1.contoso.com」と入力し、[OK] をクリックします。

重要

実際の展開では、会社に複数のユーザープリンシパル名 (UPN) サフィックスがある場合、DNS の各 UPN サフィックスに 1 つずつ、複数の CNAME レコードを作成する必要があります。

手順 3: Web サーバー (WebServ1) とサンプルの要求ベースのアプリケーションを構成する

Windows Server 2012 R2 オペレーティングシステムをインストールして仮想マシン (WebServ1) をセットアップし、contoso.com ドメインに接続します。ドメインに参加したら、Web サーバーの役割のインストールと構成を開始できます。

このトピックの最初に示したチュートリアルを完了するには、フェデレーションサーバー (ADFS1) で保護されたサンプルアプリケーションが必要です。

このサンプルの要求ベースのアプリケーションで Web サーバーをセットアップするには、次の手順を完了する必要があります。

注意

これらの手順は、Windows Server 2012 R2 オペレーティングシステムを実行する Web サーバーでテスト済みです。

Web サーバーの役割と Windows Identity Foundation をインストールする

注意

Windows Server 2012 R2 インストールメディアにアクセスできる必要があります。

administrator@contoso.comとパスワード administrator@contoso.com を使用して WebServ1 にログオンします。
サーバーマネージャーを開き、[ダッシュボード] ページにある [ようこそ] タイルの [クイックスタート] タブで、[役割と機能の追加] をクリックします。または、[管理] メニューの [役割と機能の追加] をクリックすることもできます。
[開始する前に] ページで、 [次へ] をクリックします。
[インストールの種類の選択] ページで、[役割ベースまたは機能ベースのインストール] をクリックし、[次へ] をクリックします。
[宛先サーバーの選択] ページで、[サーバープールからサーバーを選択] をクリックし、ターゲットコンピューターが選択されていることを確認してから、[次へ] をクリックします。
[サーバーの役割の選択] ページで、[Web サーバー (IIS)] の横にあるチェックボックスをオンにして、[機能の追加] をクリックし、[次へ] をクリックします。
[機能の選択] ページで、[Windows Identity Foundation 3.5] を選択し、[次へ] をクリックします。
[Web サーバーの役割 (IIS)] ページで、[次へ] をクリックします。
[役割サービスの選択] ページで、[アプリケーション開発] を選択して展開します。 [ASP.NET 3.5] を選択して [機能の追加] をクリックし、[次へ] をクリックします。
[インストールオプションの確認] ページで、[代替ソースパスの指定] をクリックします。 Windows Server 2012 R2 インストールメディアの中にある Sxs ディレクトリへのパスを入力します。たとえば、D:\Sources\Sxs です。 [OK] をクリックし、[インストール] をクリックします。

Windows Identity Foundation SDK をインストールする

WindowsIdentityFoundation-SDK-3.5.msi を実行して Windows Identity Foundation SDK 3.5 をインストールします。既定のオプションをすべて選択してください。

単純な要求ベースのアプリケーションを IIS で構成する

コンピューターの証明書ストアに有効な SSL 証明書をインストールします。この証明書には、Web サーバーの名前 webserv1.contoso.com が含まれている必要があります。
C:\Program Files (x86)\Windows Identity Foundation SDK\v3.5\Samples\Quick Start\Web Application\PassiveRedirectBasedClaimsAwareWebApp の内容を C:\Inetpub\Claimapp にコピーします。
Default.aspx.cs ファイルを編集して、要求のフィルタリングを無効にします。この手順を実行することで、フェデレーションサーバーが発行するすべての要求がサンプルアプリケーションに表示されます。次の操作を行います。
1. Default.aspx.cs をテキストエディターで開きます。
2. ファイル内を検索して ExpectedClaimsの 2 つ目のインスタンスを見つけます。
3. IF ステートメントとその中かっこ全体をコメントアウトします。行頭に "//" (引用符を除く) を入力すると、その行はコメントとして扱われます。
4. FOREACH ステートメントは次のコード例のようになります。
```
Foreach (claim claim in claimsIdentity.Claims)
{
   //Before showing the claims validate that this is an expected claim
   //If it is not in the expected claims list then don't show it
   //if (ExpectedClaims.Contains( claim.ClaimType ) )
   // {
      writeClaim( claim, table );
   //}
}
```
5. Default.aspx.cs を保存して閉じます。
6. web.config をテキストエディターで開きます。
7. <microsoft.identityModel> セクション全体を削除します。 including <microsoft.identityModel> から </microsoft.identityModel>までの内容 (開始および終了タグを含む) をすべて削除します。
8. web.config を保存して閉じます。
IIS マネージャーを構成します。
1. [インターネットインフォメーションサービス (IIS) マネージャー] を開きます。
2. [アプリケーションプール] に移動して [DefaultAppPool] を右クリックし、[詳細設定] を選択します。 [ユーザープロファイルの読み込み] を [True] に設定して、[OK] をクリックします。
3. [DefaultAppPool] を右クリックし、[基本設定] を選択します。 [.NET CLR バージョン] を [.NET CLR バージョン v2.0.50727] に変更します。
4. [既定の Web サイト] を右クリックし、[バインドの編集] を選択します。
5. ポート 443 への HTTPS バインドと、インストール済みの SSL 証明書を追加します。
6. [既定の Web サイト] を右クリックし、[アプリケーションの追加] を選択します。
7. claimapp のエイリアスと c:\inetpub\claimapp への物理パスを設定します。
フェデレーションサーバーで動作するように claimapp を構成するには、次の手順を実行します。
1. FedUtil.exe を実行します (C:\Program Files (x86)\Windows Identity Foundation SDK\v3.5 にあります)。
2. アプリケーション構成の場所を C:\inetput\claimapp\web.config に設定し、アプリケーション URI をサイトの URL (https://webserv1.contoso.com /claimapp/) に設定します。次へをクリックします。
3. [既存の STS を使用] を選択して、AD FS サーバーのメタデータ URL (https://adfs1.contoso.com/federationmetadata/2007-06/federationmetadata.xml) をブラウズします。次へをクリックします。
4. [証明書チェーンの検証を無効にする] を選択し、[次へ] をクリックします。
5. [暗号化なし] を選択し、[次へ] をクリックします。 [提供された要求] ページで、[次へ] をクリックします。
6. [毎日 WS-Federation メタデータを更新するタスクをスケジュールする] の横にあるチェックボックスをオンにします。 [完了] をクリックします。
7. サンプルアプリケーションの構成が完了しました。アプリケーション URL (https://webserv1.contoso.com/claimapp) をテストすると、フェデレーションサーバーにリダイレクトされます。証明書利用者信頼をまだ構成していないため、フェデレーションサーバーによりエラーページが表示されます。つまり、このテストアプリケーションは AD FS によって保護されていません。

次に、Web サーバーで実行されているサンプルアプリケーションを AD FS で保護する必要があります。これを行うには、フェデレーションサーバー (ADFS1) に証明書利用者信頼を追加します。これらの手順を説明したビデオを視聴するには、「Active Directory フェデレーションサービスの使い方ビデオシリーズ: 証明書利用者の信頼を追加する」を参照してください。

フェデレーションサーバーで証明書利用者信頼を作成する

フェデレーションサーバー (ADFS1) で、AD FS 管理コンソールの [証明書利用者信頼] に移動し、[証明書利用者信頼の追加] をクリックします。
[データソースの選択] ページで、[オンラインまたはローカルネットワークで公開されている証明書利用者についてのデータをインポートする] を選択して、claimapp のメタデータ URL を入力し、[次へ] をクリックします。 FedUtil.exe の実行時にメタデータの .xml ファイルが作成されています。これは、https://webserv1.contoso.com/claimapp/federationmetadata/2007-06/federationmetadata.xml にあります。
[表示名の指定] ページで、証明書利用者信頼 claimapp の [表示名] を指定し、[次へ] をクリックします。
[多要素認証を今すぐ構成しますか?] ページで、[この証明書利用者信頼に対して多要素認証の設定を今は構成しません] を選択し、[次へ] をクリックします。
[発行承認規則の選択] ページで、[すべてのユーザーに対してこの証明書利用者へのアクセスを許可する] を選択し、[次へ] をクリックします。
[信頼の追加の準備完了] ページで、[次へ] をクリックします。
[要求規則の編集] ダイアログボックスで、[規則の追加] をクリックします。
[規則の種類の選択] ページで、[カスタム規則を使用して要求を送信] を選択し、[次へ] をクリックします。
[要求規則の構成] ページで、[要求規則名] ボックスに「All Claims」と入力します。 [カスタム規則] ボックスに、次の要求規則を入力します。
```
c:[ ]
=> issue(claim = c);
```
[完了] をクリックし、[OK] をクリックします。

手順 4: クライアントコンピューター (Client1) を構成する

別の仮想マシンをセットアップして、Windows 8.1 をインストールします。この仮想マシンは、他の仮想マシンと同じ仮想ネットワークに属している必要があります。このマシンは Contoso ドメインに参加させないでください。

クライアントは、フェデレーションサーバー (ADFS1) で使用される SSL 証明書を信頼する必要があります。これは、「 Step 2: Configure the federation server (ADFS1) with Device Registration Service」で設定します。また、証明書の失効情報の検証が可能になっている必要もあります。

さらに、Client1 にログオンするには、Microsoft アカウントをセットアップして使用する必要があります。

参照

Active Directory フェデレーションサービスの使い方ビデオシリーズ: AD FS サーバーファームのインストール
Active Directory フェデレーションサービスの使い方ビデオシリーズ: 証明書の更新
Active Directory フェデレーションサービスの使い方ビデオシリーズ: 証明書利用者の信頼を追加する
Active Directory フェデレーションサービスの使い方ビデオシリーズ: デバイス登録サービスを有効にする
Active Directory フェデレーションサービスの使い方ビデオシリーズ: Web アプリケーションプロキシのインストール

Windows Server 2012 R2 の AD FS 用のラボ環境をセットアップする

手順 1: ドメイン コントローラー (DC1) を構成する

テスト用 Active Directory アカウントの作成

GMSA アカウントの作成

GMSA アカウントを作成するには

手順 2: デバイス登録サービスを使用してフェデレーション サーバー (ADFS1) を構成する

サーバー SSL 証明書のインストール

AD FS サーバーの役割のインストール

フェデレーション サービス役割サービスをインストールするには

フェデレーション サーバーの構成

フェデレーション サーバーを構成するには