第1回 AzureADを利用する意味【MicrosoftのMVP解説！第一弾 Azure ADの虎の巻】

このたびZoho Japanさんからご依頼をいただき、Azure Active Directoryのコラムを提供させていただくことになった、国井と申します。普段はマイクロソフト製品やサービスを中心としたトレーニングサービスを提供していることもあり、今回のような機会をいただきました。Active Directoryのコラムと交互に提供していきますので、Active Directoryのコラムを提供する新井ともどもよろしくお願いいたします。

私自身、集合研修と言われるトレーニングを提供させていただくことが多いのですが、直接お客様とお会いする中で、最近「オンプレミスからクラウドへの移行を行いたい」とのご相談をよくいただきます。オンプレミスには業務アプリケーションをはじめ、様々なアプリケーションやデータ、そしてサーバーが存在します。これらのリソースをクラウドへ移行することになっても、オンプレミスのときと同じようにユーザー名・パスワードのような本人確認(認証)の仕組みを用意し、特定のユーザーだけが適切なリソースに対してのみアクセスできるような仕組み(認可)を提供しなければなりません。このような認証と認可の仕組みを利用する場合、次のようなパターンが考えられます。

1. 認証・認可の仕組みをオンプレミスに用意し、
   オンプレミスとクラウドのリソースにアクセスするときに認証・認可が実現できるようにする
2. 認証・認可の仕組みをクラウドに用意し、
   オンプレミスとクラウドのリソースにアクセスするときに認証・認可が実現できるようにする
3. 認証・認可の仕組みをオンプレミスとクラウドの両方に用意し、
   オンプレミスとクラウドのリソースにアクセスするときに認証・認可が実現できるようにする

パターン1の認証・認可の仕組みをオンプレミスに用意する場合、多くの企業でActive Directoryを利用してきたと思います。Active Directoryは社内のサーバーにアクセスするときの認証・認可の仕組みとして役立ちましたが、Kerberos(ケルベロス)と呼ばれる、特殊なプロトコルを利用して通信するため、インターネット経由で通信を行うクラウドサービスの認証・認可は少し苦手です。

Microsoft Azureの場合、Azure VPNという仕組みを利用してオンプレミスとクラウドのネットワークをVPNで直接接続すれば、クラウド上の仮想マシンをオンプレミスのActive Directoryドメインに参加させることができるため、Active Directoryを利用した認証・認可を行うこともできます。しかし、それもクラウド仮想マシン(IaaS)を利用した場合の話であって、PaaSを利用したWebサービスの認証や、Office 365のようなSaaSの認証には利用できません。

そこで登場するのがパターン2の認証・認可の仕組みをクラウドに用意する仕組みです。認証・認可の仕組みをSaaSやPaaSなどのクラウドサービスと連携させ、クラウドで一度、ユーザー名・パスワードを入力して認証を行えば、それぞれのクラウドサービスにアクセスするたびにユーザー名・パスワードを入力しなくてもよくなります。こうした仕組みを提供するサービスがこのコラムの中で紹介する「Azure Active Directory (Azure AD)」です。

Azure ADはクラウドサービスへの認証・認可の機能として最適化されているため、パターン1とは逆にオンプレミスのサーバーの認証・認可の仕組みが苦手です。オンプレミスからクラウドへの移行を一気に行うのであれば、パターン2にすることもできるのでしょうが、現実には段階的に移行していくことが多いでしょう。その場合には、パターン3のオンプレミス(Active Directory)とクラウド(Azure AD)の両方を並行して運用する方法がよいでしょう。
パターン3の方法では、マイクロソフトから提供されるAzure AD Connectと呼ばれるツールを利用することで、Active Directoryのユーザーやグループの情報をAzure ADに同期するため、ユーザー名・パスワードの情報を簡単にクラウドへ移行できます。また、ユーザーはActive DirectoryとAzure ADで同じユーザー名・パスワードが利用できるというメリットがあります。

ここまで3つのパターンによるオンプレミスとクラウドのサービスにアクセスするための認証・認可の仕組みについてみてきました。オンプレミスだけでITシステムを運用するようなケースではActive Directoryが最適な認証・認可のシステムでしたが、最近ではクラウドの登場と共にActive Directoryで認証・認可の管理を一元化することが難しくなってきています。
私たちのITシステムをオンプレミスからクラウドへ移行することになれば、Active Directoryに代わる認可のシステムが必要とされます。そのときに利用できる仕組みこそがAzure ADなのです。
次回は、セキュリティ面からみたAzure ADの必要性について紹介します。

ゾーホー社員のつぶやき

はじめまして、ゾーホージャパンの前田と申します。連載「MicrosoftのMVP解説！AzureADの虎の巻」では、ブログ記事の最後に、関連するManageEngine製品をご案内するコーナー「ゾーホー社員のつぶやき」を設けております。「ゾーホー社員のつぶやき」も含めて、最後までお読みいただけますと幸いです。

今回の記事では、一度のクラウド認証により、それぞれのクラウドサービスにアクセスするたびにユーザー名・パスワードを入力しなくてもいい、SSOの仕組みを提供するサービスとして「Azure Active Directory (Azure AD)」が紹介されていました。

ManageEngineでは、この仕組みをオンプレミスで実現するツール「ADSelfService Plus」を提供しています。

■ 「ADSelfService Plus」とは？
Active Directoryのアカウントロック解除/パスワードリセットの運用をセルフサービス化する、Webベースのオンプレミス型ソフトウェアです。セルフサービス化の機能に加えて、パスワード同期/シングルサインオン（SSO）機能も備えており、パスワード/アカウントステータスの変更を複数のクラウドベースおよびオンプレミスのクラウドサービス間でリアルタイムに同期することが可能です。さらに、ADSelfService Plusを経由したサービスへのSSOに対応しています。

ADSelfService Plusについて詳しく知りたい、一度使ってみたいという方は、ぜひ以下のURLにアクセスください。

【ADSelfService Plusの製品ページ】
https://www.manageengine.jp/products/ADSelfService_Plus/

【ADSelfService Plusのダウンロードページ】
https://www.manageengine.jp/products/ADSelfService_Plus/download.html

>> 第2回 Azure ADを使って安全にクラウドサービスへアクセスする

▼▼ 別シリーズのブログ記事もチェック！ ▼▼
【MicrosoftのMVP解説！Active Directoryのハウツー読本】第1回 Active Directoryの必要性