Latest Posts

第11回 クラウドサービスへのアクセス制御(3)【MicrosoftのMVP解説!Azure ADの虎の巻】

Reading Time: 1 minutesこの記事の所要時間: 約 5分 ◆ 今回の記事のポイント ◆ ・ 多要素認証を活用したクラウドサービスへのアクセス制御方法を解説 ・ 条件付きアクセスを使用したより高度なアクセス制御方法を解説 前回と前々回で、条件付きアクセスを使って、Azure AD経由でアクセスするクラウドサービスへのアクセス制御を行う方法について解説しました。OS種類や場所、ドメインに参加しているか、などデバイスの状態に基づいてアクセス制御できることを確認しました。今回は、もうひとつの条件付きアクセスを制御する方法として、多要素認証を活用したアクセス制御方法についてみていきます。 多要素認証とは、複数の認証要素を利用して本人確認を行う方法で、通常使われるユーザー名とパスワードに加えて「別の要素」を利用して本人確認を行います。「別の要素」として利用する方法には、主に次の方法があります。 ・電話をかけてもらって応答する方法 ・SMSのメッセージを送ってもらってメッセージに書かれた番号をサインイン画面に打ち込む方法 ・Microsoft Authenticatorアプリに通知を送ってもらい、その通知に応答する方法 Microsoft AuthenticatorとはiOS, Android用のアプリで、それぞれのストアからダウンロードできるので、事前にユーザーのスマートフォン/タブレットにインストールしておいて利用します。インストール後に多要素認証を行うユーザーを登録すると、次回から多要素認証が必要なタイミングで下の図のような通知が表示されます。 多要素認証を利用するときは本来、Azure管理ポータルの[Azure Active Directory] – [ユーザー]...

クラウドサービス , 一般 1 min read

第10回 CUIによるオブジェクト管理【MicrosoftのMVP解説!Active Directoryのハウツー読本】

Reading Time: 1 minutesこの記事の所要時間: 約 6分 ◆ 今回の記事のポイント ◆ ・ CUIによるオブジェクトの管理方法について解説 前回までのコラムでは、オブジェクトを管理するために「Active Directoryユーザーとコンピューター」や「Active Directory管理センター」というGUIツールを紹介しました。今回は、CUIによるオブジェクト管理について解説します。 ■ 識別名とCUI管理ツール コマンドラインツールやWindows PowerShellなどのCUIを活用することで、複数のオブジェクトに対する一括操作を容易におこなうことができ、大量のオブジェクトを効率よく管理できます。CUIを使用してActive Directoryのオブジェクトを操作するためには、識別名(DN:Distinguished Name)と呼ばれる情報を理解しておく必要があります。 識別名とは、操作の対象となる「オブジェクトの場所を示す情報」です。識別名は、ディレクトリの階層の下から上の順に左からカンマ(,)で区切って記載します。また、その記載方法は、それぞれのオブジェクトの種類をCN(Common Name)、OU(Organizational Unit)、DC(Domain Component)で表し、オブジェクトの名前を指定します。たとえば、図のようなディレクトリの階層がある場合、このOUの配下にあるUserAの識別名は以下のようになります。 識別名を理解することにより、CUIの各種管理ツールを使用してオブジェクトの管理が可能になります。ドメインコントローラーをインストールすると、「Active Directoryユーザーとコンピューター」のようなGUIの管理ツールの他に、以下のようなCUIの管理ツールも一緒にインストールされます。 ・DSコマンド(Dsadd.exe、Dsmod.exe、Dsmove.exe) ・Csvde.exe...

ADManager Plus , セキュリティ , 一般 1 min read

第10回 クラウドサービスへのアクセス制御(2)【MicrosoftのMVP解説!Azure ADの虎の巻】

Reading Time: 1 minutesこの記事の所要時間: 約 6分 ◆ 今回の記事のポイント ◆ ・ 会社で支給しているデバイスからクラウドサービスにアクセスした時だけ許可する設定の解説 前回、条件付きアクセスを使って、Azure AD経由でアクセスするクラウドサービスへのアクセス制御を行う方法について解説しました。具体的にはOS種類に基づいてアクセス制御を行う方法を解説しましたが、そのほかにも様々な条件をもとにアクセス制御ができるので、今回はその中でもニーズが高い、会社支給のデバイスからアクセスしたときだけを許可する、という設定についてみていきます。 前回のおさらいですが、条件付きアクセスではユーザー/グループ、クラウドアプリ、条件をそれぞれ設定し、すべての条件に合致した場合に拒否する、または条件付きで許可する、という設定を行うものでした。前回は「WindowsまたはiOS以外のOSからのアクセスを拒否する」という設定を行いましたが、その場合、条件で「WindowsまたはiOS以外のOS」、許可/拒否の項目で「拒否」という設定を行いました。 条件付きアクセスのおさらいを踏まえて今回は「会社で支給しているデバイスからアクセスした時だけ許可する」という設定を行います。このような条件を設定する場合、最初に「会社支給のデバイス」を定義しなければなりません。条件付きアクセスでは、次の2つの方法で「会社支給のデバイス」を定義できます。 ・ Microsoft Intuneに登録されているデバイス ・ オンプレミスのActive Directoryドメインに参加しているデバイス どちらの場合も個人所有のデバイスであれば、これらの条件に当てはまることはないと思います。ですので、会社支給のデバイスとしましょう、と定義しています。これらの設定は条件付きアクセスの許可/拒否を設定する画面から[アクセス権の付与]を選択して行います。 Microsoft Intuneに登録されているデバイスであればアクセスを許可する場合は[デバイスは準拠しているとしてマーク済みである必要があります]を選択し、オンプレミスのActive Directoryドメインに参加しているデバイスであればアクセスを許可する場合は[ハイブリッド Azure AD 参加済みのデバイスが必要]を選択します。...

ADAudit Plus , セキュリティ , 一般 1 min read

第9回 オブジェクトの管理(2)【MicrosoftのMVP解説!Active Directoryのハウツー読本】

Reading Time: 1 minutesこの記事の所要時間: 約 5分 ◆ 今回の記事のポイント ◆ ・ Active Directoryデータベース内で管理されているオブジェクト「コンピューター」と「グループ」について解説 前回のコラムでは、Active Directoryデータベース内で管理されるオブジェクトのうち、OUとユーザーという2種類のオブジェクトの管理方法について解説しました。今回は、それ以外の代表的なオブジェクトである、コンピューターとグループについて解説します。 ■ コンピューター コンピューターとは、ドメインに参加しているコンピューター自体を認証するためのオブジェクトで、コンピューターアカウントとも呼ばれます。ドメインに参加するコンピューターは、起動時にコンピューターアカウントを使用して、ログオンをおこなっています。私たちからは見えていませんが、コンピューターを起動してユーザー認証がおこなわれる前に、コンピューター自体の認証がおこなわれているのです。 そして、コンピューターアカウントにもパスワードが設定されており、コンピューターアカウントの名前とパスワードを使用した認証がおこなわれています。コンピューターアカウントのパスワードは、私たちが決めるものではなく、Active Directoryによって生成されます。ドメインに参加した時点で、コンピューター名からコンピューターアカウントの作成および関連付けがおこなわれ、パスワードが生成されてドメインコントローラーからそのコンピューターに通知されます。また、ユーザーアカウントのパスワードと同じように、このパスワードは定期的に変更されます。既定では30日に1度のタイミングで変更され、このような動作をおこなうことで、コンピューター名を偽装してドメインへアクセスがおこなわれることを防いでいます。 コンピューターアカウントのプロセスはバックグラウンドでその都度おこなわれているため、そのコンピューターを定期的に起動して使用していれば、特別な管理は必要ありません。ただし、長期間使用しないコンピューターがある場合には、不正利用できないようにコンピューターアカウントを無効にして、ドメインの認証を禁止します。また、コンピューターアカウントにはパスワードが設定されているため、古いActive Directoryデータベースを復元した場合や、クライアントコンピューターのディスクイメージを復元した場合などでは、クライアントコンピューターとコンピューターアカウントのパスワードの不一致が起き、認証に失敗することがあります。コンピューターアカウントの認証に失敗しても、ユーザーの画面はユーザー認証の画面が表示されますが、ユーザー名とパスワードを正しく入力しても、以下のエラーでサインインできない状況になります。 このような状況になった場合は、コンピューターアカウントのリセットが必要です。リセットの方法はいくつかありますが最も一般的なのは、Active Directoryユーザーとコンピューターの管理ツールからコンピューターアカウントのリセットをおこなった上で、コンピューターのドメイン参加をやり直す方法です。 ■ グループ グループは、リソースへのアクセス許可の管理を効率的におこなうことを目的として使用されるオブジェクトで、グループアカウントとも呼ばれます。たとえば、同じアクセス許可や権限を複数のユーザーに割り当てたい場合、個々のユーザーに対してその割り当てをおこなうのは非効率であり、後でそれをまとめて変更したい場合も面倒です。グループを作成し、複数のユーザーなどをそのグループのメンバーとして設定すれば、グループの単位でアクセス許可や権限の割り当てがおこなえます。 グループ自体に設定するパラメーターの1つに、スコープがあります。スコープは、所属するメンバーとグループの使用範囲を決定するパラメーターであり、スコープの選択肢としては3種類があります。つまり、どのスコープでグループを作成するかによって、どのようなものを含められるかが異なるというわけです。3つのスコープのそれぞれに含めることができるオブジェクトは以下の通りです。 グループの作成を無計画におこなってしまうと、却って管理が煩雑化してしまいます。マイクロソフトが推奨するグループ作成および管理方針の1つにID-G-DL-A(またはID-G-U-DL-A)があります。これはID(Identities:ユーザーやコンピューター)をG(Global...

ADManager Plus , セキュリティ , 一般 1 min read

第9回 クラウドサービスへのアクセス制御(1)【MicrosoftのMVP解説!Azure ADの虎の巻】

Reading Time: 1 minutesこの記事の所要時間: 約 3分 ◆ 今回の記事のポイント ◆ ・ 条件をクリアしたユーザーのみがクラウドサービスにアクセスできる「条件付きアクセス」機能の解説 第6回から第8回まででAzure ADと様々なクラウドサービスを関連付け、Azure ADにサインインするだけでクラウドサービスへのアクセスが実現するシングルサインオンの設定について解説をしました。このとき、アクセス許可の割り当てはユーザーまたはグループの単位で設定できることを紹介しました(OpenID Connect/OAuth2.0を使う場合は[承諾]ボタンを押せばアクセス許可の割り当てすら不要でした)。 ところが、クラウドサービスへのアクセス制御となると、いつでも、どこからでもアクセスできてしまうというセキュリティ上の課題があるため、単純にユーザー名とパスワードが正しければ無条件にアクセスしても良い、などとすることはできないでしょう。 こうした課題に対応するため、Azure ADではクラウドサービスへのアクセスに追加の条件を設定し、その条件をクリアしたユーザーだけがアクセスできるように制御する「条件付きアクセス」と呼ばれる機能を提供しています。 条件付きアクセスでは、クライアントがどこからアクセスしているか?や、クライアントデバイスのOSが何であるか?など、ユーザーアカウントを利用するデバイスの状態をベースにアクセス制御を行います。 具体的な処理フローは次の通りです。 条件付きアクセスでは、設定を適用するユーザーとグループ、クラウドアプリ(クラウドサービス)を最初に決定し、その後、クラウドサービスへのアクセス条件と許可/拒否を設定します。 それでは、具体的な設定方法を確認していきましょう。 条件付きアクセスの設定は、Azure管理ポータルの[Azure Active Directory]から[条件付きアクセス]をクリックして行います。[条件付きアクセス]画面では[新しいポリシー]をクリックして、ルールを作成します。 ポリシー作成画面では、最初にポリシーの名前、対象となるユーザー/グループ、クラウドアプリを選択します。ここでは、前回紹介したWebアプリケーションへのアクセスに条件付きアクセスを使ってアクセス制御設定をします。 続いて、ポリシーでは条件を設定します。ここでは「WindowsまたはiOS以外のすべてのOS」という条件を設定します。OS種類の設定は[条件]-[デバイスプラットフォーム]を利用します。条件設定画面では、対象外に設定したルールは対象に設定したルールよりも優先されるため、 対象:任意のデバイス...

クラウドサービス , セキュリティ , 一般 1 min read

【GDPR対策をDIYするブログ】第7回 ルール決定と文書化(最終回)

Reading Time: 2 minutesこの記事の所要時間: 約 7分 第7回 ルール決定と文書化(最終回) 「GDPR対策をDIYするブログ」へお越しいただきありがとうございます。 前回の第6回は「GDPRにおけるIT対策」について説明しました。 今回、第7回は、これまで6回分に渡り検討してきたGDPR対策の内容を規定とし文書にする「ルール決定と文書化」についてご説明します。今回もニュートン・コンサルティングが開催するGDPR講座(以下GDPR講座)で解説される内容を参考に説明していきます。 ニュートン・コンサルティング社が開催するGDPR講座で解説される「~GDPR完全対応講座~ワークショップ解説資料(ワークショップ①~⑩抜粋)」、GDPR運用マニュアル(全文)、GDPRインシデント対応マニュアル(目次)のを文末にてダウンロードいただけます。 1.十分性認定 2019年1月23日に欧州連合は、EU一般データ保護規則(GDPR)の日本に対する十分性認定を付で決定した。 この決定以前は、・BCR(Binding Corporate Rules:拘束的企業準則)の締結 (企業グループで1つの規定を策定し、データ移転元の管轄監督機関が承認) ・SCC(Standard Contractual Clauses:標準契約条項)の締結 (データ移転元とデータ移転先との間で、欧州委員会が認めたひな形条項による契約の締結)Model contracts for the transfer of personal data...

セキュリティ , 一般 , 未分類 2 min read

第8回 Azure ADによるクラウドサービスの管理(3)【MicrosoftのMVP解説!Azure ADの虎の巻】

Reading Time: 1 minutesこの記事の所要時間: 約 4分 ◆ 今回の記事のポイント ◆ ・ PaaS型クラウドサービスとの間でSSOを実現する方法について解説 前回、前々回とAzure ADとSaaS型クラウドサービスの関連付けを行い、Azure ADにサインインするだけでクラウドサービスへのアクセスが実現するシングルサインオンの設定について解説をしました。一方、認証基盤をAzure ADに一本化させていこうとすると、自社開発のWebアプリケーションもクラウドサービスで実行させるのであればAzure ADで認証させたいというニーズも出てくることでしょう。そこで、今回はAzure ADとWebアプリケーションの関連付けを行い、PaaS型クラウドサービスとの間でシングルサインオンを実現する方法について解説します。 Webアプリケーションを実装するためのPaaS型クラウドサービスは世の中に色々ありますが、Microsoft Azureを利用すると、Azure ADとの関連付けが非常に簡単にできるので、ここではMicrosoft AzureのWebホスティングサービス(Azure App Service)とAzure ADを関連付けていきます。 Azure App Serviceではアプリを追加すると、Webアプリケーションにアクセスする際に利用する認証サービスを選択できるようになっています。 認証サービスにはAzure...

セキュリティ , 一般 1 min read

ITIL 4 概要 – ITの品質向上とコスト削減からとらえたITIL®

Reading Time: 1 minutesこの記事の所要時間: 約 5分 ■当連載記事について         当連載記事では、ITIL®の研修を多く手掛ける専門家が、分かり易い口語体でより実際的な観点からITIL®を解説しています。サラッと読みながらもITIL®に基づいた考え方をより実践的なレベルへ落とし込むことができます。また、ITIL®に準拠するための機能を備えたITサービスマネジメントツール「ManageEngine ServiceDesk Plus」を提供するゾーホージャパンより、欄外コラムとしてツールの詳細や関連機能の説明を行います。ITIL®の概念を把握しつつ、ツールを活用した場合のイメージを広げる際の一助となりましたら幸いです。 ※ITIL® is a Registered Trade Mark of AXELOS Limited. ■著者紹介 ※当番外編についてのみ、特別に以下の著者による執筆となっております。 日本クイント株式会社 代表取締役 最上 千佳子(もがみ ちかこ) システムエンジニアとしてオープン系システムの提案、設計、構築、運用、利用者教育、社内教育など幅広く経験。顧客へのソリューション提供の中でITサービスマネジメントに目覚め、2008年ITサービスマネジメントやソーシング・ガバナンスなどの教育とコンサルティングを行うオランダQuint社(Quint...

ITIL ITサービスマネジメント , ServiceDesk Plus , ServiceDesk Plus Cloud , 一般 1 min read

サーバー保守にあたっての注意点と重視すべきポイント

Reading Time: 1 minutesこの記事の所要時間: 約 5分 もはや、社会や企業にとってITは欠かせない存在です。ITは、さまざまな機能やサービスを提供するコンピューター、すなわちサーバーの力によって支えられています。このため、ITをスムーズに機能させるためには、「サーバーが安定稼働していること」が前提なのです。重要な役割を担うサーバーの保守内容と、保守にあたっての注意点、重視すべき点について解説します。

OpManager , 一般 1 min read

システム安定稼働に欠かせないキャパシティ管理、その手順と設定すべきKPIとは?

Reading Time: 1 minutesこの記事の所要時間: 約 4分 ITシステムの提供事業者と利用者との間で締結されたSLAを実現するにあたって、キャパシティ管理は非常に重要なプロセスとなります。キャパシティ管理の具体的な手順と設定すべきKPIの例を紹介します。

NetFlow Analyzer , OpManager , 一般 1 min read