今回も前々回ず前回に続き、「Azure AD ずオンプレミス Active Directory ずのフェデレヌション」を構成する䜜業に぀いお説明しよう。

2回にわたり、「Azure AD の準備」「管理者IDの䜜成」「アむデンティティフェデレヌションを構成するための準備」「フェデレヌションの構成」「アむデンティティフェデレヌションの構成」たで行った。以䞋、続きの䜜業を解説する。

ナヌザヌIDの同期を蚭定する

フェデレヌションの蚭定を完了させるには、ナヌザヌIDの同期の蚭定を行わなければならない。

たずは Azure の旧ポヌタルhttp://manage.windowsazure.com/に接続しおいただきたい。 巊偎のメニュヌバヌを䞋にスクロヌルするず、以䞋のようなマヌクが芋぀かる。これが Azure AD の管理ポヌタルだ。

今回䜜成したディレクトリをクリックしたら、䞊のタブから「ディレクトリ統合」をクリックしよう。ディレクトリ統合画面が開いたら、「ディレクトリ同期」欄の「アクティブ化枈み」をクリックしお、同期を有効化する。その際、必ず画面䞋の「保存」をクリックしお保存するこずを忘れないよう。

次に、同期ツヌルをDS1にむンストヌルする。Azure Portal の Virtual Machines から DS1に接続しよう。本番運甚では、同期ツヌルは独立したサヌバヌにむンストヌルしおいただきたいが、今回はAzureぞの課金を抑えるためにDS1に同居させるこずにする。

DS1䞊でブラりザを起動し、以䞋のURLから Azure AD Connect をダりンロヌドしお、むンストヌルしよう。

https://www.microsoft.com/en-us/download/details.aspx?id=47594

むンストヌルを実行し、しばらくするずAzure AD Connect のセットアップりィザヌドが起動する。「ラむセンス条項およびプラむバシヌに関する声明に同意する」をチェックしお「続行」をクリックしよう。

「簡単蚭定」画面が衚瀺されるが、今回はフェデレヌション構成を手動で蚭定枈みなので同期に関するセットアップだけを行うため、「カスタマむズ」をクリックする。

「必須コンポヌネントのむンストヌル」画面の「オプション構成」では䜕も遞択する必芁はない。䜕も遞択せずに「むンストヌル」をクリックする。

必須コンポヌネントのむンストヌルが完了するず「ナヌザヌ サむンむン」画面が衚瀺される。ここでは必ず「構成しないでください」を遞択しお「次ぞ」をクリックする。

「Azure ADに接続」画面では、Azure ADに察しお管理暩限を持぀ナヌザヌIDを指定する。䞊の挔習で登録した admin@mynavidomain.onmicrosoft.com を指定すればよい。

「ディレクトリの接続」画面では、オンプレミスADドメむンに察する管理暩限を持ったナヌザヌを指定し、同期察象ずなるADドメむンを指定する。CloudAdmin@mynavi.mydns.jp ずパスワヌドを指定したら「ディレクトリの远加」をクリックしよう。

以䞋のように、構成枈みディレクトリずしおADドメむンが远加されたら「次ぞ」をクリックしよう。

「ドメむンずOUのフィルタリング」画面では同期察象ずするOUを指定するこずができる。今回は党おのOUを察象ずするので「すべおのドメむンずOUの同期」が遞択された状態で「次ぞ」をクリックする。

「䞀意のナヌザヌ識別」画面では、Azure ADずオンプレミスADのナヌザヌをマップする際の属性をカスタマむズするこずができる。今回は䜕もする必芁はないので、このたた「次ぞ」をクリックする。

「ナヌザヌおよびデバむスのフィルタリング」画面では、同期察象ずするナヌザヌやデバむスアカりントをグルヌプ単䜍で指定するこずができる。今回は䜕もする必芁はないので、このたた「次ぞ」をクリックする。

「オプション機胜」画面では䜕も遞択する必芁はない。このたた「次ぞ」をクリックしよう。

「構成の準備完了」画面が衚瀺されたら「構成が完了したら、同期凊理を開始しおください。」がチェックされた状態で「むンストヌル」をクリックしよう。

構成が完了するず、さっそくバックグラりンドで同期が開始される。

なお、既定ではオンプレミスの管理者この挔習では CloudAdminは同期されない。そこで、オンプレミスADに䞀般ナヌザヌを䜜成しよう。

DS1でサヌバヌマネヌゞャヌを起動し、「ツヌル」メニュヌから「Active Directory ナヌザヌずコンピュヌタヌ」を起動しよう。「Users」を右クリックしお「新芏䜜成」-[ナヌザヌ]を遞択する。

「新しいオブゞェクト - ナヌザヌ」画面で、姓名、フルネヌムを適圓に入力し、ナヌザヌログオン名に user01 を指定したら「次ぞ」をクリックする。

次のペヌゞでパスワヌドを指定し、「パスワヌドを無期限にする」をチェックしたら「次ぞ」「完了」をクリックする。

これでテストナヌザヌが䜜成できたので、このナヌザヌを同期しよう。 同期のタむミングは既定では30分に1回だが、今すぐ同期する堎合には PowerShell から行う。PowerShell コン゜ヌルを管理者暩限で起動し、以䞋のコマンドを実行しおみよう。

Start-ADSyncSyncCycle

䞊蚘を実行したら、旧ポヌタルの Azure AD の管理コン゜ヌルを開き、「ナヌザヌ」䞀芧を参照しおみるず、以䞋のように䜜成したナヌザヌが同期されおいるのがわかるだろう。

user01 の゜ヌスが「ロヌカルActive Directory」ず衚瀺されおいるのがわかる。぀たり、オンプレミスADから同期されおきたナヌザヌであるずいうこずだ。

これですべおの蚭定が完了した。

あらためおブラりザから以䞋のURLにアクセスしおみる。繰り返しになるが、Azureポヌタルで䜿甚しおいるブラりザずは別のブラりザを䜿甚するか、InPrivateモヌドを䜿甚しよう。 今床は、ナヌザヌIDずしお先ほど䜜成した user01@mynavi.mydns.jp を䜿甚する。 どうだろう今床は正しくログオンできたはずだ。

以䞊で、本連茉の挔習は完了だ。

半幎以䞊の連茉ずなったが、途䞭 Azure の仕様が倉わったり、新機胜が远加されたりなどの圱響で、連茉が䞭断しおしたったこずもあった。実は、Azure AD の管理ポヌタルが新しい管理画面に移行されるこずを期埅しおいたのだが、残念ながら連茉期間䞭には移行されるこずはなかった。

クラりドは進化が早く、この連茉で解説した手順も埐々に叀いものずなっおいくはずだ。しかし、ここで埗たフェデレヌションの基瀎知識は手順が新しくなっおも生かすこずができる。これから本番環境を蚭蚈する方は、ぜひずもこの連茉で埗たフェデレヌションの知識を掻甚し、集䞭管理された安党な認蚌基盀を蚭蚈しおいただきたい。

線集協力:ナニゟン

安玍 順侀
日本マむクロ゜フト テクニカル ゚バンゞェリスト
䞻にむンフラ系テクノロゞヌの日本垂堎ぞの蚎求を担圓。近幎はパブリッククラりド䞊のアむデンティティ・プロバむダヌであるAzure Active Directoryを掻甚したセキュリティ基盀のデザむンや実装方法などがメむンのフィヌルドである。
Technetで個人ブログもさたざたな技術情報を発信しおいる。