第12回 Azure ADのアクセスログ管理【MicrosoftのMVP解説!Azure ADの虎の巻】

Reading Time: 1 minutesこの記事の所要時間: 約 5分 ◆ 今回の記事のポイント ◆ ・ 「誰が」「いつ」「どのクラウドサービス」にアクセスしたのかを監査するためのアクセスログの参照方法 Azure ADとクラウドサービスを関連付けて、ユーザーにAzure ADを経由してアクセスさせれば、誰が、いつ、どのクラウドサービスにアクセスしたか?をAzure ADでまとめて参照できるようになります。このようなログは不正アクセスの検出に役立つだけでなく、様々な法令に基づいて証跡を保持しなければならないようなケースにおいても有効です。今回は、Azure ADのログの参照方法や保持方法について解説します。 Azure ADでは、管理作業のログとユーザーによるアクセスログを別々に記録し、それぞれAzure管理ポータルの[Azure Active Directory]より確認できます。管理作業のログはAzure管理ポータルの[Azure Active Directory]-[監査ログ]、アクセスログは[Azure Active Directory]-[サインイン]よりそれぞれ参照します。 [監査ログ]では、管理作業のジャンルやその操作の結果(成功・失敗)、対象となるユーザーなどを選択し、フィルターできます。例えば、別のAzure ADディレクトリに作られたユーザーをゲストユーザーとして登録したユーザーに対する操作であれば、「Invited Users」というサービス名を選択すれば、該当のログだけが表示されます。特定のログはクリックすると、その詳細を参照でき、日付、アクティビティの種類(どのような操作を行ったか)、状態(成功・失敗)などを確認できます。万が一、不正アクセスが疑われるような事象があった場合、監査ログを参照することで、その事象の確認ができるようになります。ちなみに、下の画面ではゲストユーザーを削除したことを表しています。 一方、[サインイン]ログではAzure...

ADAudit Plus , クラウドサービス , セキュリティ , 一般 1 min read

第12回 オブジェクトの復元【MicrosoftのMVP解説!Active Directoryのハウツー読本】

Reading Time: 1 minutesこの記事の所要時間: 約 5分 ◆ 今回の記事のポイント ◆ ・ オブジェクトの復元方法について解説 前回までのコラムでは、オブジェクトの作成や管理について解説しました。オブジェクトの管理をおこなう中で、誤ってオブジェクトを削除してしまうことは、よくある話です。今回のコラムでは、そのようなケースでのオブジェクトの復元について解説します。 ■ オブジェクトのSIDとは 第7回のコラムでも少しだけ解説しましたが、ユーザーなどのオブジェクトは作成された時点で、作成の操作をおこなったドメインコントローラーからSIDと呼ばれる内部的な番号が割り当てられます。この番号はオブジェクト毎に固有であり、他のオブジェクトと重複することはありません。Active DirectoryおよびWindows OSでは、どのユーザーがサインインしたかのなどの識別だけでなく、アクセス許可や権限の設定にもSIDが使用されます。オブジェクトのSIDはシステムによって自動的に割り当てられる番号であるため、私たちが指定するものではありませんが、管理ツールから確認することは可能です。Active Directoryユーザーとコンピューターの管理ツールでオブジェクトのSIDを確認する場合は、[表示]メニューから[拡張機能]をオンにした上で、オブジェクトのプロパティを開き、[属性エディター]タブの[objectSid]という属性を参照します。 オブジェクトが存在し続ける限り、そのオブジェクトのSIDが変わることはありません。しかし、ユーザーなどのオブジェクトを削除し、誤った操作であることに気づいて慌てて同じユーザー名で再度作成したとしても、以前とは異なるSIDが割り当てられます。つまり、表面的な名前は同じでも、異なるユーザーとして扱われることになります。したがって、ユーザープロファイルも以前とは違うものとなり、アクセス許可や権限の設定も再度おこなう必要があります。 ■ オブジェクトの復元方法 オブジェクトを誤って削除してしまった場合における復元方法は、Active Directoryのごみ箱という機能を有効にしているかどうかによって大きく異なります。Active Directoryのごみ箱という機能は、その名の通り、「Windowsのデスクトップ画面にあるごみ箱」に相当するActive Directoryの機能です。 ・Active Directoryのごみ箱が無効な場合 → バックアップデータから復元後、Authoritative Restoreを実行...

ADAudit Plus , ADManager Plus , ADSelfService Plus , セキュリティ , 一般 1 min read

第11回 オブジェクトの監査管理【MicrosoftのMVP解説!Active Directoryのハウツー読本】

Reading Time: 1 minutesこの記事の所要時間: 約 5分 ◆ 今回の記事のポイント ◆ ・ グループポリシーによる監査の有効化方法について解説 ・ イベントログの確認方法について解説 前回のコラムでは、GUIやCUIの管理ツールを用いたオブジェクトの作成および管理について解説しました。今回は、オブジェクトの監査について解説します。 ■ オブジェクトの監査とは オブジェクトの監査とは、Active Directoryのオブジェクトに対する操作を記録することです。小規模な環境であれば1人の管理者によって全てのオブジェクトの管理をおこなうことも可能ですが、ある程度以上の規模の場合には複数人の管理者で管理することも少なくありません。このような場合、特定のユーザーに対して必要最低限の管理権限を与えて運用します。しかし、複数人で管理することで、設定ミスやインシデントが起きる可能性は高くなることが考えられます。監査の設定をおこない、「誰が」「いつ」「どのオブジェクトに対して」「どのような」操作をおこなったのかを記録することで、設定ミスの早期発見やインシデントが起きてしまった際にどのようなことがおこなわれたかを把握するのに役立ちます。 ユーザーの作成や変更のようなActive Directoryのオブジェクトの監査をおこなうためには、以下の2つの設定が必要です。 グループポリシーによる監査の有効化 監査対象のオブジェクトに対する監査設定 この2つの設定を適切に構成することにより、Active Directoryへの書き込みやプロパティの変更などを監視し、操作の内容をイベントログとして出力できます。 ■ グループポリシーによる監査の有効化 グループポリシーには、監査を有効化するためのポリシー設定が用意されています。監査をおこなうには、そのポリシー設定を構成し、ドメインコントローラーに対してグループポリシーを適用する必要があります。Active Directoryのオブジェクトの監査をおこなうためには、次のいずれかのポリシー設定を構成します。ドメインコントローラー以外のコンピューターには適用する必要がないため、ポリシーの編集時はDefault...

ADAudit Plus , セキュリティ , 一般 1 min read

第10回 クラウドサービスへのアクセス制御(2)【MicrosoftのMVP解説!Azure ADの虎の巻】

Reading Time: 1 minutesこの記事の所要時間: 約 6分 ◆ 今回の記事のポイント ◆ ・ 会社で支給しているデバイスからクラウドサービスにアクセスした時だけ許可する設定の解説 前回、条件付きアクセスを使って、Azure AD経由でアクセスするクラウドサービスへのアクセス制御を行う方法について解説しました。具体的にはOS種類に基づいてアクセス制御を行う方法を解説しましたが、そのほかにも様々な条件をもとにアクセス制御ができるので、今回はその中でもニーズが高い、会社支給のデバイスからアクセスしたときだけを許可する、という設定についてみていきます。 前回のおさらいですが、条件付きアクセスではユーザー/グループ、クラウドアプリ、条件をそれぞれ設定し、すべての条件に合致した場合に拒否する、または条件付きで許可する、という設定を行うものでした。前回は「WindowsまたはiOS以外のOSからのアクセスを拒否する」という設定を行いましたが、その場合、条件で「WindowsまたはiOS以外のOS」、許可/拒否の項目で「拒否」という設定を行いました。 条件付きアクセスのおさらいを踏まえて今回は「会社で支給しているデバイスからアクセスした時だけ許可する」という設定を行います。このような条件を設定する場合、最初に「会社支給のデバイス」を定義しなければなりません。条件付きアクセスでは、次の2つの方法で「会社支給のデバイス」を定義できます。 ・ Microsoft Intuneに登録されているデバイス ・ オンプレミスのActive Directoryドメインに参加しているデバイス どちらの場合も個人所有のデバイスであれば、これらの条件に当てはまることはないと思います。ですので、会社支給のデバイスとしましょう、と定義しています。これらの設定は条件付きアクセスの許可/拒否を設定する画面から[アクセス権の付与]を選択して行います。 Microsoft Intuneに登録されているデバイスであればアクセスを許可する場合は[デバイスは準拠しているとしてマーク済みである必要があります]を選択し、オンプレミスのActive Directoryドメインに参加しているデバイスであればアクセスを許可する場合は[ハイブリッド Azure AD 参加済みのデバイスが必要]を選択します。...

ADAudit Plus , セキュリティ , 一般 1 min read

第7回 操作マスター【MicrosoftのMVP解説!Active Directoryのハウツー読本】

Reading Time: 1 minutesこの記事の所要時間: 約 6分 ◆ 今回の記事のポイント ◆ ・ 操作マスター(FSMO)の種類と役割について解説 これまでのコラムでは、ドメインコントローラーの展開方法や複製のしくみについて解説してきました。複数台のドメインコントローラーを展開することで、Active Directoryデータベースの内容は複製され、どのドメインコントローラーからもデータベースに対して変更することができます。しかし、Active Directoryには操作マスターと呼ばれる特別な権限があり、その操作マスターが割り当てられたドメインコントローラーだけが実行できる操作が存在します。今回のコラムでは、その操作マスターについて解説します。 ■ 操作マスターとは 操作マスターとは、特定の1台のドメインコントローラーだけに割り当てられる「特別な権限の総称」です。操作マスターは、その特性からFSMO(Flexible Single Master Operation)と呼ばれることもあります。操作マスターには全部で5種類の権限があり、フォレスト内の特定の1台だけに割り当てられる2種類の操作マスターと、ドメイン内の特定の1台だけに割り当てられる3種類の操作マスターがあります。 操作マスター(FSMO) フォレスト ドメイン ・ スキーママスター ・ ドメイン名前付けマスター ・...

ADAudit Plus , セキュリティ , 一般 1 min read

第7回 Azure ADによるクラウドサービスの管理(2)【MicrosoftのMVP解説!Azure ADの虎の巻】

Reading Time: 1 minutesこの記事の所要時間: 約 5分 ◆ 今回の記事のポイント ◆ ・ SAMLプロトコルを使用しないSaaS型クラウドサービスとの間で、SSOを実現する方法について解説 ・ 例として、TwitterへのSSOを実現する方法について解説 前回はSAMLプロトコルを利用して、Azure ADとSaaS型クラウドサービスの関連付けを行い、Azure ADにサインインするだけでクラウドサービスへのアクセスが実現するシングルサインオンの設定について解説をしました。今回はAzure ADとクラウドサービスの関連付けを行う方法の第2弾として、SAMLプロトコルをサポートしないSaaS型クラウドサービスとの間でシングルサインオンを実現する方法について解説します。 SAMLプロトコルをサポートしないクラウドサービスとの間でシングルサインオンを実現する場合、クラウドサービスにアクセスするためのユーザー名とパスワードをAzure ADにキャッシュさせておき、クラウドサービスにアクセスするタイミングになったときに自動的に提示することで、シングルサインオンを実現します。 では、ユーザー名とパスワードを自動入力することでクラウドサービスへのアクセスがシングルサインオン化する、Azure ADとクラウドサービスの関連付け方法についてみていきます。ここでは例としてTwitterを利用してAzure ADと関連付けします。 クラウドサービスの関連付けはSAMLプロトコルをサポートするクラウドサービスと同様にAzure Active Directory管理センター (https://aad.portal.azure.com/) の[エンタープライズ アプリケーション]を使います。[+新しいアプリケーション]から新しく関連付けるクラウドサービスとしてTwitterを選択すると、TwitterとAzure...

ADAudit Plus , セキュリティ , 一般 1 min read

【目次】 連載:ADについて学ぼう

Reading Time: 1 minutesこの記事の所要時間: 約 0分 ADについて学ぼう~基礎編~ 基礎編(1) Active Directoryとは? 基礎編(2) Active Directoryの認証の仕組み 基礎編(3) Active Directoryの基本構成 基礎編(4) Active Directoryのサイトとは何か? 基礎編(5) Active DirectoryにおけるDNSの役割 基礎編(6) Active Directoryのグループポリシーとは? 基礎編(7) Active Directoryのアカウントポリシーとは? 基礎編(8) グループアカウントの種類と運用方法 基礎編(9) セキュリティ監査のためのグループポリシーの設定 ADについて学ぼう~導入編~ 導入編(1) 新しいユーザーアカウントの作成 ADについて学ぼう~応用編~ 応用編(1) Active Directoryの委任とは?権限委任で管理者の負担を軽減しよう!...

ADAudit Plus , ADManager Plus , ADSelfService Plus , 一般 1 min read

実は簡単!GPOのバックアップと復元方法【連載:ADについて学ぼう~応用編(6)~】

Reading Time: 1 minutesこの記事の所要時間: 約 3分 【目次】 連載:ADについて学ぼう ◆ 目次 ・ バックアップの取得方法 ・ バックアップの復元方法(バックアップ元と同じGPOに復元する場合) ・ バックアップの復元方法(バックアップ元と異なるGPOに復元する場合)   「GPOを変更したら、予期していなかったところで影響がでてしまった・・。」 「ドメインコントローラーが故障してしまい、作成したGPOがすべて失われてしまった・・。」 そのような万が一の事態に備えて、GPOのバックアップを取得しておくに越したことはありません。この記事では、グループポリシー管理エディアを使用したGPOのバックアップ・復元方法についてご紹介します。GPOのバックアップ自体はとても簡単にできますので、大きな変更を加える前、あるいは保全のための定期的な作業として、取得しておくことをおすすめします。   ■ バックアップの取得方法 ———————————————————————————– 1.ドメインコントローラーからコマンドプロンプトを起動後、以下のコマンドを実行してグループポリシー管理エディタを開きます: gpmc.msc 図1. コマンドプロンプトの実行結果...

ADAudit Plus , ADManager Plus , ADSelfService Plus , 一般 1 min read

紙で勤怠管理の時代はもう終わり?ログを活用した勤怠管理という選択肢

Reading Time: 1 minutesこの記事の所要時間: 約 2分 皆さまの企業では、どのように勤怠管理をしていますか? ビジネスの収益性に大きく影響するのが従業員の「実務時間」、つまり日々の業務の中で、従業員がどれほどの時間を業務に費やしているかです。しかし、勤怠をタイムカードや出勤簿、あるいはエクセルシート等で管理していた場合、その正確性は従業員の裁量にゆだねられるため、提示された情報か正しいかどうかの判断が難しいという面があります。 東京都産業労働局が公開した「労働時間管理に関する実態調査(平成29年3月)」によると、以下の調査結果が報告されています。 労働時間の管理方法は、一般労働者については、「タイムカード・ICカード等」(62.2%)が最も多く、次いで、「自己申告」(19.9%)、「上司が確認・記録」(10.6%)となっている 管理職についても「タイムカード・ICカード等」(53.3%)が最も多く、「自己申告」(23.4%)がこれに続いている。 この結果からも見てわかる通り、現在でも従業員本人の申告に基づく勤怠管理を行っている企業が過半数を占めており、勤怠のつけ忘れ等といった人的ミスを防ぐための対策が必須となります。そこで、近年では社内PCの操作ログを取得し、コンピューターの起動時間、停止時間を集計することで、より正確な実務時間の把握を目指す企業が増加しています。 ADAudit Plusの「ユーザーアテンダンス」レポートでは、収集したイベントログを元に、従業員が実際にコンピューターを操作した時間を算出します。活動時間を算出する際はユーザーのログオン/ログオフ時間を追跡しますが、退勤の都度ログオフやシャットダウンを実施しないというユーザーのため、スクリーンセーバーの起動、画面のロック、リモートセッションの切断などの情報も加味して活動時間を算出します。これにより、従業員が実際に社内PCを操作していた時間を、正確に把握することが可能となります。 ADAudit Plusとは? Active Directoryのログをリアルタイムで収集して、200以上のレポートで可視化、およびアラート通知などを行うWebベースのオンプレミス型ソフトウェアです。Windowsドメイン上で管理されている、ドメインコントローラー/ファイルサーバー/メンバーサーバー/PCなどのITリソース、およびユーザー/グループ/ポリシーなどのオブジェクト情報から、簡単に監査レポートを作成します。   以下が、ADAudit Plusの実際のレポート画面です。 さらに、[詳細]リンクをクリックすると、以下のようにスクリーンセーバーの起動やロック時間を除いた、実際の勤務時間が一覧で表示されます。 また、レポートはCSV/PDF/XLS/HTML形式でのエクスポートに対応しているため、定期的にローカルへ保存、あるいは担当者へメール送付することが可能です。 このように、ADAudit PlusではActive Directoryで発生した変更を可視化するだけではなく、ログに基づく従業員の勤怠管理にも対応しています。 なお、実際にADAudit Plusを操作して機能をご確認されたい場合は、30日間無料でフル機能をご利用いただける評価版もございますので、是非一度ご評価いただければと思います。...

ADAudit Plus 1 min read

第4回 Azure ADのユーザー・グループの管理(1)【MicrosoftのMVP解説!Azure ADの虎の巻】

Reading Time: 1 minutesこの記事の所要時間: 約 7分 ◆ 今回の記事のポイント ◆ ・ PowerShellでAzure ADへ接続する方法について解説 ・ CSVファイルのインポートによるAzure ADアカウントの一括登録方法について解説 ・ CSVファイルのインポートによるグループへの登録方法について解説 前回、Azure ADディレクトリの作成方法についてみてきました。Azure ADのディレクトリが作成できたら、オンプレミスのActive Directoryの時と同じように続いてユーザーとグループを作成します。そこで今回はユーザーとグループを効率よく管理するための方法について見ていきます。 最も簡単なAzure ADのユーザーとグループの作成方法はGUIの画面から作成することです。Office 365の管理画面であるMicrosoft 365 管理センター(https://portal.office.com/)や、Azure AD専用の管理画面であるAzure Active...

ADAudit Plus , セキュリティ , 一般 1 min read