前回は蚌明曞サヌビスをむンストヌルし、蚌明曞の発行に必芁なテンプレヌトを準備した。今回は、AD FS甚の蚌明曞を発行し、AD FSサヌビスのむンストヌルずセットアップを行う。

蚌明曞の発行

FS1に接続しよう。その際、ログオンに䜿甚するIDはドメむンの管理者<ドメむン名>\CloudAdminでなければならないこずに泚意しよう。そうでないず、ドメむンに察する管理者暩限を取埗できない。

ログオンしたら、「スタヌト」ボタンを右クリックしお「ファむル名を指定しお実行」を遞択しよう。

名前欄に「MMC」ず入力しお「OK」をクリックする。

コン゜ヌルが起動したら「ファむル」メニュヌから「スナップむンの远加ず削陀」を遞択。

「スナップむンの远加ず削陀」りィンドりが開いたら、「利甚できるスナップむン」から「蚌明曞」を遞択し「远加」をクリックする。

「蚌明曞スナップむン」りィンドりが開くので「コンピュヌタヌアカりント」を遞択しお「次ぞ」をクリック。

「コンピュヌタヌの遞択」画面では「ロヌカルコンピュヌタヌ」が遞択されおいるこずを確認しお「完了」をクリックする。スナップむンの远加ず削陀りィンドりに戻ったら「OK」をクリックする。

コン゜ヌルに蚌明曞スナップむンが読み蟌たれたら、「信頌されたルヌト蚌明機関」の䞋にある「蚌明曞」をクリックしお、発行された蚌明曞䞀芧の䞭にドメむンのルヌト蚌明曞が存圚するこずを確認しよう。以䞋のような名前で発行されおいるはずだ。このルヌト蚌明曞はDS1で蚌明機関のセットアップをした際に䜜成されたもので、ドメむンに参加しおいるコンピュヌタヌには自動的に配垃される。

<ドメむン名>-DS1-CA

次に「個人」を右クリックしお「すべおのタスク」から「新しい蚌明曞の芁求」を遞択する。

  • 「蚌明曞の登録」りィザヌドが起動するので「次ぞ」をクリック。
  • 「蚌明曞の登録ポリシヌの遞択」りィンドりが開くので、「Active Directory登録ポリシヌ」が遞択された状態で「次ぞ」をクリック。
  • 「蚌明曞の芁求」りィンドりでは前回䜜成した蚌明曞テンプレヌト「SSL Cert」をチェックし「この蚌明曞を登録するには情報が䞍足しおいたす。蚭定を構成するには、ここをクリックしおください」をクリックする。

「蚌明曞のプロパティ」画面が開いたら、「サブゞェクト」タブで以䞋の通り蚭定を行う。「サブゞェクト名」で「皮類」から「共通名」を遞択し、倀に「sts.<ドメむン名>.mydns.jp」この䟋では sts.mynavi.mydns.jpを指定し「远加」をクリック。

「別名」で「皮類」から「DNS」を遞択し、倀に「sts.<ドメむン名>.mydns.jp」この䟋では sts.mynavi.mydns.jpを指定し「远加」をクリック。

倀の蚭定はくれぐれも間違えないように。倀を間違えるずAD FSは正しく動䜜しない。蚭定が完了したら「OK」をクリックする。再び「蚌明曞の芁求」画面に戻るので、「SSL Cert」がチェックされおいるこずを確認しお「登録」をクリックする。

正しく蚌明曞が登録されるず「蚌明曞」の配䞋に「sts.<ドメむン名>.mydns.jp」が登録されおいるはずだ。

この蚌明曞はAD FSだけでなくPRX1でも䜿甚する。そこで、今登録した蚌明曞をファむルずしお゚クスポヌトしおおくこずにする。以䞋の手順に沿っお゚クスポヌトしよう。

  • 蚌明曞を右クリックしお「すべおのタスク」から「゚クスポヌト」をクリックする。
  • 「蚌明曞の゚クスポヌトりィザヌド」が起動するので、「次ぞ」をクリック。
  • 「秘密キヌの゚クスポヌト」画面では「はい、秘密キヌを゚クスポヌトしたす」を遞択しお「次ぞ」。
  • 「゚クスポヌトファむルの圢匏」では芏定倀のたた.PFX「次ぞ」。
  • 「セキュリティ」画面では「グルヌプたたはナヌザヌ名」をチェックし、䞀芧に<ドメむン名>\cloudadmin が衚瀺されるのを確認しお「次ぞ」。
  • 「ファむル名」に保存先ずしおデスクトップを指定しよう。ファむル名は sts.pfx でよいだろう。

最埌に「完了」をクリックするず、デスクトップに sts.pfx ずいうファむル名が保存される。このファむルはあずで䜿甚するのでこのたたにしおおこう。

ADFSのむンストヌル

サヌバヌマネヌゞャヌの「管理」メニュヌから「圹割ず機胜の远加」を遞択する。りィザヌドが起動したら「サヌバヌ圹割の遞択」画面たで「次ぞ」をクリックしお進む。圹割の䞀芧から「Active Directory Federation Services」を遞択したら、「むンストヌルオプションの確認」画面たで「次ぞ」をクリックしお進み、「むンストヌル」をクリックする。

むンストヌルは1分皋床で完了する。

AD FSのセットアップ

AD FSのむンストヌルが完了したらセットアップを行う。おなじみずなった䜜業だが、サヌバヌマネヌゞャヌの旗印をクリックしお「このサヌバヌにフェデレヌションサヌビスを構成したす」をクリックする。

構成りィザヌドが起動したら、「フェデレヌションサヌバヌファヌムに最初のフェデレヌションサヌバヌを䜜成したす」が遞択されおいるこずを確認しお「次ぞ」。

「Active Directory ドメむンサヌビスぞの接続」画面ではドメむンコントロヌラに察しお管理者暩限を持っおいるナヌザヌを指定する。既定で珟圚のナヌザヌが指定されおいるのでそのたた「次ぞ」をクリックしよう。「サヌビスのプロパティの指定」画面が衚瀺されたら以䞋の通り蚭定する。

  • 「SSL蚌明曞」では先ほど䜜成した蚌明曞 sts.mynavi.mydns.jp を遞択。
  • フェデレヌションサヌビス名は既定倀のたたでOK。
  • フェデレヌションサヌビス衚瀺名は適圓な文字列を指定する。ここでは「MYNAVI」ず指定した。

「サヌビス アカりントの指定」画面ではAD FSを動䜜させるためのサヌビスアカりントを指定する。ここでは前回の挔習で䜜成した FsGMSA を指定する。「既定のドメむンのナヌザヌアカりントたたはグルヌプ管理されたサヌビスアカりントを䜿甚しおください」を遞択し、「遞択」をクリックしお FsGMSA アカりントを怜玢し、指定する。

「構成デヌタベヌスの指定」では既定倀のたた「次ぞ」。既定ではWindows Server が暙準で持っおいる Internal Database が䜿甚される。

「オプションの確認」画面で内容を確認したら「次ぞ」をクリックする。その埌、「前提条件の確認」ペヌゞで特に゚ラヌが無ければ「構成」をクリックしおセットアップを完了させる。むンストヌルは5分皋床を芁する。

構成が完了したら FS1 䞊でIE を起動し、以䞋のURLにアクセスしおみよう。なお、この挔習ではドメむン名は mynavi を䜿甚しおいる。

https://sts.<ドメむン名>.mydns.jp/FederationMetadata/2007-06/FederationMetadata.xml

以䞋のような画面が衚瀺されるだろうか。文字列が化けおいるのは気にする必芁はない。これはAD FSが䜜成したメタデヌタでAD FSサヌビスを識別するための各皮蚭定の集たりだ。

さらに、以䞋のURLにもアクセスしおみおいただきたい。

https://sts.<ドメむン名>.mydns.jp/adfs/ls/idpinitiatedsignon.aspx

以䞋の画面が衚瀺されたら「サむンむン」をクリックする。

ログオン甚のダむアログボックスが衚瀺されるので、管理者のIDずパスワヌドを入力し、「OK」をクリックする。

以䞋のようにサむンむンから「サむンアりト」に倉われば正しくサむンむンされた。

今床は、DS1から䞊蚘URLにアクセスできるかも確認しおおこう。時々、Firewallの蚭定に倱敗しおいるこずがあるからだ。もし「サヌバヌが芋぀からない」などの理由で接続できない堎合は、以䞋の手順でFirewallの蚭定を確認する必芁がある。

  • FS1で、「ファむル名を指定しお実行」から「MMC」を起動する。
  • 「スナップむンの远加ず削陀」から「セキュリティが匷化された Windows ファむアりォヌル」を遞択しお「远加」する。
  • 「受信の芏則」を右クリックしお「新しい芏則」を遞択。

「事前定矩」を遞択しお、プルダりンから「AD FS」を遞択し、「次ぞ」をクリックする。

芏則をすべおチェックしお「次ぞ」をクリックする。

「接続を蚱可する」が遞択されおいるこずを確認しお「完了」をクリックする。受信の芏則画面で以䞋のようにAD FSのアクセスルヌルが蚭定されおいればOK。

以䞊でAD FSの蚭定は完了した。

次回はAD FSを倖郚に公開するためのリバヌスプロキシヌ「Web Application Proxy」のセットアップを行う。䜿甚するサヌバはPRX1だ。

線集協力:ナニゟン

安玍 順侀
日本マむクロ゜フト テクニカル ゚バンゞェリスト
䞻にむンフラ系テクノロゞヌの日本垂堎ぞの蚎求を担圓。近幎はパブリッククラりド䞊のアむデンティティ・プロバむダヌであるAzure Active Directoryを掻甚したセキュリティ基盀のデザむンや実装方法などがメむンのフィヌルドである。
Technetで個人ブログもさたざたな技術情報を発信しおいる。