+ All Categories
Home > Documents > ・証明書はもう不要 Azure ADによるデバイス認証...Azure...

・証明書はもう不要 Azure ADによるデバイス認証...Azure...

Date post: 18-Jun-2020
Category:
Upload: others
View: 3 times
Download: 1 times
Share this document with a friend
62
PR18 VPN ・証明書はもう不要 ? Azure AD によるデバイス認証 小杉 真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部 モダンワークプレイス統括本部 セキュリティ技術営業部 テクノロジーソリューションプロフェッショナル
Transcript
Page 1: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

PR18

VPN・証明書はもう不要?

Azure ADによるデバイス認証

小杉真一郎

日本マイクロソフト株式会社

クラウド&ソリューション事業本部 モダンワークプレイス統括本部

セキュリティ技術営業部

テクノロジーソリューションプロフェッショナル

Page 2: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

どう実現しますか?

営業部門長

Page 3: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

どう実現しますか?

VPN• ユーザビリティ(毎回接続が必要)

• 運用コスト

証明書認証• 証明書を配布する運用が大変

• AD FS または 3rd Party の IDaaS が必要

Page 4: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

どう実現しますか?

Azure AD のデバイス認証• 社外でもシームレスに接続可能

• 事前に証明書を配る必要がない

• Azure AD のみで実現できる

Page 5: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

セッション終了後には・・・

• Azure AD でのデバイス認証の仕組みがわかる

• 構築手順、運用のコツがわかる

• さらに便利な使い方がわかる

本日はWindows PC に限った話をします。

Page 6: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部
Page 7: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

Azure AD を利用したデバイス認証の仕組み

Page 8: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

証明書認証の仕組み

証明書を持っているか、証明書が有効かをチェック

IDP

認証局①証明書の配布

②認証

④証明書が有効かチェック

⑤アクセス許可

③証明書を確認

Page 9: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

Azure ADによるデバイス認証の仕組み

デバイスが登録済かつデバイスがポリシーに準拠済かを確認

①デバイス登録 ⑥アクセス許可

④デバイスが登録済か確認

③認証 Azure AD

Intune

②登録

⑤デバイスがポリシーに準拠しているか確認

Page 10: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

まとめると・・・

Page 11: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

まずはデバイス登録

デバイスごとに3つの方法から選ぶことができます。

Page 12: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

Azure AD の ID で PC にログオン

• クラウドを中心とした管理を行う場合

• Azure AD の ID を利用して PC にログオン

• Windows 10 のみ対応

• オンプレミス AD に参加している場合は利用不可

Azure AD

Intune

Azure AD の

IDでログオン

参加

PC 登録

Page 13: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

オンプレミス AD の ID で PC にログオン

• 既存のオンプレミス AD 基盤を活用してクラウドを利用する場合

• オンプレミス AD の ID を利用して PC にログオン

• Windows 7 / 8.1 /10 に対応

• Azure AD と同期する AD にユーザーアカウント・コンピュータアカウントが必要

Azure AD

Intune

オンプレ AD の

IDでログオン AD

参加

AAD ConnectPC

登録

Page 14: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

デバイスを手動で Azure AD に登録

• 会社で管理されていないデバイス・組織外のデバイスを想定した機能

• PC へのログオン方法は変わらない(ローカルアカウント or AD アカウント)

• Windows 10 のみ対応

Azure AD

Intune

ローカルアカウント

/ADアカウントでログオン登録

登録

PC

Page 15: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

オンプレミス AD 環境・ OS により、利用可能な方式が決まります

Windows 7/8.1Windows 10 Yes

※Windows 7/8.1 は 10 にアップデート

No

Page 16: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

Azure AD登録 Hybrid AAD 参加

Azure AD 参加

海外子会社(ドメイン環境)

ADWin10 システムWin 7/8.1

海外出張所(ワークグループ環境)

Win10Win 7/8.1

Update

Update

国内事業所(ドメイン環境)

Win 7/8.1

Win10AD

AAD

Connect

Azure AD

Page 17: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

導入手順

Page 18: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

前提事項

必要なライセンス

Page 19: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

ネットワーク要件

• https://enterpriseregistration.windows.net

• https://login.microsoftonline.com

• https://device.login.microsoftonline.com

• https://autologon.microsoftazuread-sso.com

• 組織の STS( AD FS 環境のみ)

各デバイスから以下のリソースにアクセスできることを確認

Page 20: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

ステップ

Page 21: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

1. Azure AD 登録 / 参加の設定

https://docs.microsoft.com/ja-jp/intune/windows-enroll#enable-windows-10-automatic-enrollment

Page 22: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

1. Azure AD 登録 / 参加の設定

• ユーザー / グループ

• クラウドアプリ

• 条件(OS 、クライアント、IPアドレス等)

Page 23: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

デバイス認証の判定

デバイスが準拠すべきポリシーを満たしていればアクセスを許可。

Windows 10 のみ利用可能。

Windows 7 / 8.1 / 10 で利用可能。

2つの判定方法があります

Page 24: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

1. Azure AD 登録 / 参加の設定

https://docs.microsoft.com/ja-jp/intune/compliance-policy-create-windows

Page 25: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

ステップ

1. Azure AD 登録 / Azure AD参加の設定1.1 Intune への自動登録の設定

1.2 デバイス認証を行う条件(条件付きアクセス)の設定

1.3 デバイスが準拠すべきポリシー(コンプライアンスポリシー)の設定

Page 26: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

2. Hybrid AD Join の設定

https://docs.microsoft.com/ja-jp/azure/active-directory/devices/hybrid-

azuread-join-managed-domains

https://docs.microsoft.com/ja-jp/azure/active-directory/devices/hybrid-

azuread-join-federated-domains

Page 27: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

動作確認

Page 28: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

デバイスの登録手順

Page 29: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

デバイスの手動登録

Page 30: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

デバイスの手動登録

Page 31: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

デバイスの手動登録

Page 32: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

デバイスの手動登録

Azure AD登録

Azure AD参加

Page 33: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部
Page 34: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

想定通りにアクセスが制御されるか確認

条件付きアクセス・ユーザー / グループ

・クラウドアプリ

・コンプライアンスポリシー準拠

・Hybrid Azure AD参加

コンプライアンスポリシー• デバイスの正常性

• OS のバージョン

• パスワードが満たす要件

• セキュリティ対策ソフトウェア

準拠状態

ポリシー準拠 OR

登録済デバイス OR

Internet

Azure AD

Internet

Intune

Page 35: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

運用のポイント

Page 36: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部
Page 37: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

手動登録を各拠点の管理者に限定

Page 38: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

デバイスの登録制限を利用

Ignite 2018

Page 39: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

プロビジョニングパッケージによる展開

デバイスのプロファイルを作成して PC に展開

Page 40: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

AutoPilotによる展開

デバイスのシリアル番号を登録し、自動で Azure AD 参加

Internet

Azure AD

PC メーカー / OEM

IT 管理者② シリアル通知

①注文

③ シリアル登録

ユーザー④ PC発送

⑤自動でAzure AD 参加

Page 41: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

各拠点以外の場所からのAzure AD登録をブロック

Page 42: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

デバイスの自動クリーンアップを構成

Page 43: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

ここまでのおさらい

Page 44: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

さらに便利な使い方

Page 45: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

(Ignite 2018)

Windows 10 の場合、Intune でデバイス管理が可能

AppsPowerShellアプリケーション

構成ポリシー Windows Update

Windows 10 PC

Intune

Page 46: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

Internet

社内 Web システムを社外に公開

Web システム

App Proxy Connector

Azure AD

App Proxy

Azure AD

Page 47: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

Internet

デスクトップアプリを社外に公開

Ignite 2018

Session Host

Gateway

Azure AD

Page 48: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

まとめ

Page 49: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

セッション終了後には・・・

• Azure AD でのデバイス認証の仕組みがわかる

• 構築手順、運用のコツがわかる

• さらに便利な使い方がわかる

Page 50: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

全ての PCを Azure AD に登録しましょう!

Azure Active Directory + Intune

Azure AD 参加

Hybrid Azure AD 参加

Azure AD 登録

Page 51: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

参考情報

• Azure AD によるデバイス管理のドキュメントhttps://docs.microsoft.com/ja-jp/azure/active-directory/devices/overview

• Azure ADや EMSの最新情報ブログhttp://aka.ms/EMSBlog

• Azure AD Webiner(日本語)http://aka.ms/AzureAdWebiner

Page 52: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

Appendix

Page 53: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

Hybrid AD Join の設定

https://blogs.technet.microsoft.com/jpazureid/2018/08/10/azure-ad-

connect-upgrade/

Page 54: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

Hybrid AD Join の設定

Page 55: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

Hybrid AD Join の設定

Page 56: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

Hybrid AD Join の設定

Page 57: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

Hybrid AD Join の設定

Page 58: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

Hybrid AD Join の設定

Page 59: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

Hybrid AD Join の設定

Administrative Templates (.admx) for Windows 10 Fall Creators Update (1709) –日

本語

Page 60: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

Hybrid AD Join の設定

Page 61: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

Hybrid AD Join の設定

https://www.microsoft.com/en-us/download/details.aspx?id=53554

Page 62: ・証明書はもう不要 Azure ADによるデバイス認証...Azure ADによるデバイス認証 小杉真一郎 日本マイクロソフト株式会社 クラウド&ソリューション事業本部モダンワークプレイス統括本部

© 2018 Microsoft Corporation. All rights reserved.

本コンテンツの著作権、および本コンテンツ中に出てくる商標権、団体名、ロゴ、製品、サービスなどはそれぞれ、各権利保有者に帰属します。


Recommended