はじめに

本記事は、「Azure で社内システムを再現する」シリーズの第3回です。
Azure の IaaS を用いて、オンプレミス環境を模した構成を段階的に構築していきます。

構成図と処理フローの詳細は、以下の記事をご参照ください👇
▶ 【第0回】Azureで社内webシステムを再現｜構成図と動作の流れ

システム構成（今回の対象範囲）

この記事では、赤枠で囲っている AD-VM2の構成が対象です。
今回は、ADFS（Active Directory Federation Services）を構築し、IdP（Identity Provider）として動作させるところまでを扱います。

まずは、AD-VM2 に、Active Directory Federation Services（AD FS）のロールを追加します

ADFS の構成では、サービスの実行アカウントが必要になります。
ここでは、グループマネージドサービスアカウント（GMSA）を使用します。

GMSA を使用することで、ADFS サービスが自動的にパスワード管理された専用アカウントで実行されるようになり、手動によるパスワード設定や更新が不要になります。

GMSA のパスワードは Active Directory が自動で生成・管理します。
ただし、GMSA を初めて使うときは、そのための準備として「KDSルートキー」を自分で作成する必要があります。

Add-KdsRootKey -EffectiveImmediately

New-ADServiceAccount -Name "gmsa-adfs" -DNSHostName "ad-vm2.domain.local" -PrincipalsAllowedToRetrieveManagedPassword "AD-VM2$"

Active Directory のサービスアカウント配下に、gmsa-adfs が登録されていることを確認します。

ADFS では、HTTPS 通信の暗号化や、SAML トークンへの署名に証明書が使用されます。
そのため、構成を行う前に、ADFS 用の SSL 証明書を発行しておく必要があります。

certlm（ローカルコンピュータ証明書）から証明書の要求を行います。

証明書のプロパティで、共通名（CN）と SAN（Subject Alternative Name） を設定します。
ここには、ADFS サーバーの FQDN（例：adfs.domain.local）を指定します。

証明書の要求が完了すると、AD-VM2に証明書がインストールされます。

構成ウィザードを起動し、ADFS の初期構成を行います。

「このサーバーを新しいフェデレーションサーバーファームの最初のサーバーにする」を選択します。

作成した GMSA（例：gmsa-adfs）を指定します。

構成に使用する証明書を選択します。
ここでは、前の手順で発行した ADFS 用の証明書を指定します。

すべての設定を確認し、「構成」をクリックして初期設定を完了します。