More than 3 years have passed since last update.

Azure ADについてのメモ

Posted at 2019-12-01

個人用のメモ。
Azure ADについてまったく知識がなかったので覚書として概要をメモしておきます。

Azure ADとは

Saasとして提供されるユーザ、デバイス、ディレクトリ管理サービス。インターネット上の統合認証基盤。
Azure ADでできる主なこと
- ユーザー及びデバイスの管理
- アプリケーションの管理（ユーザーに対して割り当てるアプリ）
- 様々なクラウドサービスへのシングルサインオン（SAML認証 or パスワード認証）
- 多要素認証
- オンプレリソースへのリバースプロキシ（アプリケーションプロキシ）
元々はOffice365のユーザ認証で利用されている。Office365テナント契約時には自動的に環境作成されるが、Azure AD無償版の範囲なので、より幅広くサービス利用する場合は有償ライセンスの契約が別途必要。

**オンプレのActive DirectoryとAzure ADは完全に別物。**信頼関係も結べない。
ただしAzure AD Connectを構成することで、オンプレADからAzure ADにディレクトリ情報、オブジェクト、パスワードを同期可能。
同期は基本的に一方向（オンプレ→Azure AD）
Azure ADでアカウントのパスワードを変更した場合のみ、オンプレADにパスワードを反映可能。（パスワードの書き戻し）
Azure AD Connectで「パススルー認証」を構成すると、ユーザがAzure ADアクセス時にオンプレのADでユーザ認証できるようになる。IDフェデレーション環境に従来必要であったAD FSは不要。

Azure AD上に構成するドメインコントローラーのサービスもある。
Kerberos認証やLDAP読取りアクセスを行うオンプレのアプリを、リフト＆シフト方式でAzureに移行し、オンプレでそのアプリをホストしているハードウェアを廃止したいときなどに使用する機能。
Azure ADドメインサービスでオンプレのAD DSのすべての機能が提供されているわけではない。オンプレのADをそのまま移行できるわけではないので注意。

Azure ADドメインサービスの制限事項

Domain Admins / Enterprise Adminsがない
* 上記の権限が必要な場合は利用不可
* 同レベルのアカウントとしてAAD DC Administratorsを利用

Default Domain Policyを変更できない
* パスワードポリシーなどは変更できない

フォレストに対する管理、変更ができない
* 信頼関係、スキーマ拡張、機能レベルの変更

Azure ADで行えることは非常に多岐にわたっており、夢が広がりまくることまでは認識したが
実際の社内での運用において必須とされる要件や、内製可能な範囲は限られるはずなので
他の類似サービスとは、運用上のマスト要件部分での比較が必要だなと思った次第。

とりあえずAzure ADと、Azure上に構築したVMのActive Directoryサービスを
勝手に混同してイメージしていたのには恥じ入るばかり。。
引続き学習を進めます。