MCTS: Forefront Identity Manager 2010, Configuringの提供開始

以前のポストでベータ版が提供され始めたことをお知らせしましたが、11/20から正式版が提供され始めています。

日本でもまだ英語ではありますがプロメトリックで受験できるようになりました。（070-158）
225分の長丁場ではありますが、通常のMCTS試験と同様に\15,000で受験できるので受けてみるのもありかと思います。（目指せ日本初？）

試験範囲を再掲しておきます。
http://www.microsoft.com/learning/en/us/Exam.aspx?ID=70-158&locale=en-us

Plan a FIM Implementation and Install FIM (21 percent)

• Plan and design FIM topology.
• This objective may include but is not limited to: identify single point of failure; match topology to performance requirements; capacity planning; design highly available implementations for FIM Service and Portal
• Install the FIM Service and the FIM Portal.
• This objective may include but is not limited to: Microsoft SharePoint web configuration; service account permissions; prerequisites; certificates; groups
• Upgrade Microsoft Identity Integration Server (MIIS)/Microsoft Identity Lifecycle Manager (ILM) to FIM 2010.
• This objective may include but is not limited to: plan for upgrade; recompiling extensions; upgrading SQL databases; upgrading third-party clients
• Deploy and manage client components.
• This objective may include but is not limited to: automated installs; client images; multi-language support installation; plan for configuration of Microsoft Outlook for group management (Outlook plug-in for approvals and group management); use Group Policy objects (GPOs) to manage FIM client components; registry settings on client machines
• Implement disaster recovery for FIM 2010.
• This objective may include but is not limited to: backup and restore; FIM Service, FIM Portal; Sync Service; initial load scenarios; key backup and recovery

Plan and Configure Core Portal Functionality (19 percent)

• Plan and configure user and group provisioning.
• This objective may include but is not limited to: provisioning to Active Directory; deprovisioning; data-driven provisioning and deprovisioning; configure Management Policy Rules (MPR)/workflow/sync rule triples required for provisioning in the portal; expected rule entries; detected rule entries; workflow parameters
• Plan and configure group management.
• This objective may include but is not limited to: configure dynamic groups (query-based) in the portal; owner-based groups and approvals; distribution groups; security groups
• Plan and configure synchronization rules. 
• This objective may include but is not limited to: inbound and outbound sync rules; create objects in metaverse using declarative rules; advanced attribute flows; relationships
• Plan and configure authorization and action workflows.
• This objective may include but is not limited to: configure approvals including multiple approvals and escalations; notifications; deploying and configuring custom workflow activities
• Plan and configure security permissions and Management Policy Rules (MPRs).
• This objective may include but is not limited to: delegated administration; plan and implement user profile self-service; plan and implement group self-service; temporal objects; sets and set membership

Configure Advanced Portal-Based Scenarios (17 percent)

• Configure the Resource Control Display Configuration (RCDC) for object and attribute display.
• This objective may include but is not limited to: RCDC capabilities; validations; attribute permissions; data sources and data binding; form controls
• Customize the user experience.
• This objective may include but is not limited to: search scopes; menu navigation items; organizational branding; home page configuration; create and configure email templates; usage keywords
• Extend the portal schema.
• This objective may include but is not limited to: resource types; attributes; bindings; schema validation; synchronization filters
• Plan and configure self-service password reset and registration.
• This objective may include but is not limited to: authentication workflow for password reset and registration; QA gates; case sensitivity; lockout gates; password reset action workflow
• Write and interpret XPath queries.
• This objective may include but is not limited to: create valid FIM XPath filters; reference objects and attributes; filters; conditions

Confige FIM Synchronization (22 percent)

• Create and configure standard management agents (MAs).
• This objective may include but is not limited to: SQL Server MA; Certificate Management MA; Active Directory MA; file-based MAs; difference between call-based and file-based MAs; attribute flows; filters; projection rules; join rules; deprovisioning rules
• Create and configure the FIM Service MA.
• This objective may include but is not limited to: resource type mapping; Synchronization Rule filter; understand the constraints of the FIM MA; attribute flow
• Configure the metaverse.
• This objective may include but is not limited to: plan precedence; extend the schema; object deletion rules
• Create and automate run profiles.
• This objective may include but is not limited to: clearing run history; multi-step run profiles; run sequencing
• Implement rules extensions.
• Install and configure password synchronization and Password Change Notification Service (PCNS).
• This objective may include but is not limited to: configure Active Directory MA; install services on domain controllers; schema changes related to PCNS; service principal names

Monitor and Maintain FIM (21 percent)

• Migrate the FIM configuration between environments.
• This objective may include but is not limited to: FIM portal configuration; DLLs and code; synchronization service server configuration; run scripts and automation tools; Windows PowerShell scripts; how to move configurations from development to test to production
• Perform root cause analysis of provisioning issues.
• This objective may include but is not limited to: issues with management policy rules, set definitions, workflows, and expected rule entries; misconfiguration of synchronization service server; coexistence of classic provisioning and declarative provisioning; result sequence
• Perform root cause analysis of issues related to password management.
• This objective may include but is not limited to: issues with password synchronization; self-service password reset; requirements for registration; end-to-end process
• Perform root cause analysis of issues related to data flow and unexpected data.
• This objective may include but is not limited to: data discovery issues; join issues; filter issues; run profile issues; threshold issues; Stack trace; precedence issues; object deletion rules
• Perform root cause analysis of permissions issues.
• This objective may include but is not limited to: MPR definitions; set definitions; portal permission errors; service account permissions; provisioning issues; synchronization service server roles

FIM2010R2 RCがリリース

先週のニュースですが、7月末のベータ版から4か月弱、ようやくRC版（Release Candidate）がリリースされました。

特にベータ版以降の新規の改善点はなさそうですが、先日より物議を呼んでいる（KB2520954）についても反映されてくるものと思われます。
※このKBについては別途エントリを書こうと思います。かなり影響が大きそうですので、ちょっと検証中。。。

＜新機能・改善点＞
・レポーティング
・Webベースでのセルフ・サービス・パスワード・リセット（SSPR）
・FIMデータベースのパフォーマンス改善
・FIM Add-In の Outlook 2010 サポート
・Sharepoint 2010 のサポート
・トラブルシューティングの改善

また、Microsoft Server and Cloud Platform Blog　で Mark Wahl さんが書いている内容によると、
・SSPRの新しい認証ゲート
・追加レポート
・ECMA2
が拡張のポイントだそうです。

ダウンロードは以下より（登録が必要です）
https://connect.microsoft.com/site433/Downloads


他には同時に Lotus Domino 8 connector もリリースされています。これはまだFIM2010R2のRC版用ですが、このリリースより Domino 8.x の管理が出来る様になっています。
尚、10月末にリリースされた新しい拡張管理エージェント開発フレームワーク（ECMA2）をベースに開発されています。

Office365 ディレクトリ同期ツールの64bit版がリリース

長らく課題だった「Office365のディレクトリ同期ツールが32bit環境でしか動作しない」件にようやく決着がつきました。
参考）以前のポスト：ディレクトリ同期ツールを使って Office365 へのユーザ同期を行う

中身は9月のセミナで少し話したようにILM2007FPベースからFIM2010ベースになったようです。
ネタ元：http://msgeneral.blogspot.com/2011/11/64-bit-support-directory.html
 　　　　http://community.office365.com/en-us/w/sso/555.aspx


ダウンロードは管理ポータルからできます。

しかし、11/19現在日本語版のディレクトリ同期ツールのダウンロードが出来ません。サポートに通報しておいたのでそのうちダウンロード出来る様になるとは思いますが。。。
# 11/26 正常にダウンロード出来る様になったのを確認しました。

尚、32bit版からのアップグレードですが、当然64bitOS上で動くので新規に64bitの環境を用意する必要がありますので、そのままアップグレードすることはできません。新規に64bit版をインストール・設定するときは32bit版の同期ツールをアンインストールする（もしくは止めておく）ことが必要です。
モジュールが入手できるようになったらもうちょっと詳しく試してみたいと思います。

これであとはFIM2010用の独立した管理エージェントとしてのリリースがされれば念願のマルチフォレスト対応なども実現すると思いますので、引き続き要ウォッチです。

AD FS2.0 トレーニングコース プレビュー会に行ってきました

ついに日本でも AD FS2.0 のトレーニングコースが11月末から始まります。
今日はコース内容のレビュー会に行ってきました。 

内容としては、AD FS2.0 というかアイデンティティ・フェデレーションとはどういうものなのか？から始まり、AD FS2.0 の実装方法、WIF を使った簡単なクレーム・ベースのアプリケーションの作成、 SharePoint 2010 および Office 365 との実際の連携、トラブルシューティングの方法の紹介を実際の環境を使ってハンズオン形式で体験する、というものです。 

主催：クリエ・イルミネート
コース名：ADFS 2.0 による ID フェデレーションの実装
http://www.crie-illuminate.jp/Pages/CourseList/CI511-H.aspx

講師は Directory Service の MVP として有名な国井さんです。

通常3日間のコースを MS 安納さんをはじめ、Directory Service の MVP や SharePoint 、 Office365 の MVP で1日で集中的に試す、という会だったので色々な意味で「濃い」会でした。

また、トレーニング教材が400ページにおよぶ大作！で国井さんが TEC や Oxford Computer Group のトレーニングなど、実際に足を運んで調査をしてきた集大成となっているので、この資料を見るだけでもかなり勉強になります。

プレビュー会で使った資料の目次は公開しても OK ということなので写真を載せておきます。
これから Office365 のオンプレミス連携を計画している方はぜひとも受講してみてはいかがでしょうか？

Office365 の Cloud Control Matrix への対応

英語版では少し前（6月）にリリースされていた Office365 の Cloud Control Matrix ( CCM ) への対応に関するドキュメント「Request for Information (情報提供依頼書) に対する標準的なレスポンス - セキュリティおよびプライバシー」の日本語版が10月末にリリースされました。

- ダウンロード URL
　http://www.microsoft.com/downloads/ja-jp/details.aspx?FamilyID=6dd73e12-95d9-4834-98b4-49bd65a85cbe

で、CCM って何よ？という人のために簡単に解説しておくと、以前も紹介したことのある Cloud Security Alliance ( CSA ) という団体が出しているコントロール・フレームワークで、以下の様に説明されています。

The CSA CCM provides a controls framework that gives detailed understanding of security concepts and principles that are aligned to the Cloud Security Alliance guidance in 13 domains. The foundations of the Cloud Security Alliance Controls Matrix rest on its customized relationship to other industry-accepted security standards, regulations, and controls frameworks such as the ISO 27001/27002, ISACA COBIT, PCI, NIST, Jericho Forum and NERC CIP and will augment or provide internal control direction for SAS 70 attestations provided by cloud providers.

簡単に要約すると、これまた別に CSA が出しているセキュリティ・ガイダンスの13のドメインに沿った形で、且つ業界標準であるISO27001/27002やCOBIT、PCI DSS、HIPPAなどとの関係性を含めて各種コントロール仕様をまとめたもの、ということです。
中を見るとわかりますが、 NIST のサービスデリバリモデル（ SaaS / PaaS / IaaS ) 毎の適用有無、およびサービスプロバイダ / テナント別の適用有無などかなり詳細にまとまっている資料です。

CSA ガイドラインの13ドメインの中の12番目が「Identity and Access Management」だったり何故か Identity and Access Management に関してだけ別冊があったり、と CSA の中でもアイデンティティ管理はかなり重要視されている領域なので、もちろんこの CCM の中にもアイデンティティ管理に関連する項目が登場します。

先の Office365 での適用状況について少しピックアップしてみたので、紹介してみたいと思います。
（ちなみにベースとなっているのは CCM 1.1 Final 2010/12/17版の様です。現在は1.2が出ています）

• HR-03 人事 -  雇用の終了
• 要求
• 雇用手続きにおいて雇用の終了や変更を行う際の役割や責任に関して、割り当て、文書化、コミュニケーションを行う必要があります。
• 対応
• 従業員の雇用終了プロセスは、Microsoft 米国本社の人事ポリシーによって行われます。 
• 当社がお客様のアカウントを作成することはありません。お客様自身が、Microsoft Online 管理センターで直接アカウントを作成するか、またはローカルの Active Directory 内にアカウントを作成します。それらのアカウントは、Microsoft Online Services と同期することができます。そのため、作成するユーザー アカウントの正確性については、お客様がその責任を負います。
• IS-07 情報セキュリティ - ユーザー アクセス ポリシー
• 要求
• アプリケーション、データベース、サーバー、ネットワーク インフラストラクチャへの通常のアクセス権および特権付きのアクセス権を付与/無効化するためのユーザー アクセスに関するポリシーと手順を文書化し、承認し、実装する必要があります。これは、ビジネス、セキュリティ、コンプライアンス、サービス レベル契約 (SLA) の要件に準拠している必要があります。
• 対応
• アクセス制御ポリシーはポリシー全体を構成するコンポーネントの 1 つであり、正式な確認および更新のプロセスが適用されます。Microsoft Online Services の資産に対するアクセス権は、ビジネス要件に基づいて、資産の所有者の承認を得たうえで付与されます。加えて、以下の項目が適用されます。
• 資産に対するアクセス権は、知る必要性のある人間に限定する原則、および最小特権の原則に基づいて付与されます。
• 適用可能であれば、役割ベースのアクセス制御を使用して、個人ではなく、特定の職務または責任領域に対して論理的なアクセス権を割り当てます。
• 物理的および論理的なアクセス制御ポリシーは、規格に準拠します。
• ISO 27001 規格 (具体的には付属文書 A の項 11) で、"アクセス制御" が規定されています。詳細については、マイクロソフトが認定を取得し、公開されている ISO 規格を確認することをお勧めします。 
• IS-08 情報セキュリティ - ユーザー アクセスの制限/承認
• 要求
• アプリケーション、システム、データベース、ネットワーク構成、および機密度の高いデータや機能に対する通常のユーザー アクセス権や特権付きのユーザー アクセス権は制限される必要があります。また、それらのアクセス権を付与する前に管理者によって承認される必要があります。
• 対応
• アクセス制御ポリシーはポリシー全体を構成するコンポーネントの 1 つであり、正式な確認および更新のプロセスが適用されます。Microsoft Online Services の資産に対するアクセス権は、ビジネス要件に基づいて、資産の所有者の承認を得たうえで付与されます。加えて、以下の項目が適用されます。
• 資産に対するアクセス権は、知る必要性のある人間に限定する原則、および最小特権の原則に基づいて付与されます。
• 適用可能であれば、役割ベースのアクセス制御を使用して、個人ではなく、特定の職務または責任領域に対して論理的なアクセス権を割り当てます。
• 物理的および論理的なアクセス制御ポリシーは、規格に準拠します。
• ISO 27001 規格 (具体的には付属文書 A の項 11.2) で、"ユーザー アクセスの管理と特権の管理" が規定されています。詳細については、マイクロソフトが認定を取得し、公開されている ISO 規格を確認することをお勧めします。  
• IS-09 情報セキュリティ - ユーザー アクセスの無効化
• 要求
• 従業員、契約業者、顧客、ビジネス パートナー、またはサード パーティの状況に何らかの変更があった場合に、組織のシステム、情報資産、およびデータに対するユーザー アクセスの準備解除、無効化、変更のタイムリーな実行を実装する必要があります。こうした状況の変化には、雇用、契約、または合意の終了、雇用状態の変更、組織内での異動などが含まれます。
• 対応
• 管理者、およびアプリケーションやデータの所有者は、誰がアクセスしているかを定期的に確認する責任を負います。オンラインのさまざまな場所で、アクセスをチェックするためのツールを入手できます。適切なアクセスの準備が行われていることを検証するために、定期的にアクセスの確認監査が行われます。
• ISO 27001 規格 (具体的には付属文書 A の項 8.3.3) で、"アクセス権の削除" が規定されています。詳細については、マイクロソフトが認定を取得し、公開されている ISO 規格を確認することをお勧めします。 
• IS-10 情報セキュリティ - ユーザー アクセスの確認
• 要求
• すべてのレベルのユーザー アクセスは、管理者によって計画された間隔で確認され、文書化されます。アクセス違反が見つかった場合は、文書化されているアクセス制御に関するポリシーと手順に従って改善策を実行する必要があります。
• 対応
• 管理者、およびアプリケーションやデータの所有者は、誰がアクセスしているかを定期的に確認する責任を負います。オンラインのさまざまな場所で、アクセスをチェックするためのツールを入手できます。Microsoft Online では、提供しているサービスの中でお客様がエンド ユーザーによるアクセスの監査と委任を行うための強化された機能を用意しています。詳細については、対応するサービスの説明を参照してください。
• ISO 27001 規格 (具体的には付属文書 A の項 11.2) で、"ユーザー アクセスの管理と特権の管理" が規定されています。詳細については、マイクロソフトが認定を取得し、公開されている ISO 規格を確認することをお勧めします。  
• IS-15 情報セキュリティ - 職務分離
• 要求
• 職務の適切な分離を実施、保証するためのポリシー、プロセス、手順を実装する必要があります。興味の制約に関するユーザーの役割の競合が発生する場合は、組織の情報資産の承認されない変更や意図しない変更、または誤使用によって生じるリスクを軽減するための技術的な制御を行う必要があります。
• 対応
• Office 365 サービスは、異なるホスティング サービスの開発スタッフ、運用スタッフが職務分離の原則に従うことを必要とします。これにはソース コード、ビルド サーバー、および運用環境に対するアクセス制御が含まれます。例:
• Office 365 サービスの運用環境に対するアクセスは運用担当者に制限されます。開発チームとテスト チームには、運用環境内から提供された情報に対してアクセス権が与えられる場合があり、問題のトラブルシューティングに役立てることができます。
• Office 365 サービスのソース コード管理に対するアクセスは開発担当者に制限され、運用担当者がソース コードを変更することはできません。
• マイクロソフトの担当者は、マルチテナント環境の委託が行われる前にサーバーを構築します。サーバーの構築が完了すると、構築チームは自身のアクセス許可を削除します。サーバーを委託した時点から、マイクロソフトの担当者が委託されたサーバー上で実行されるシステムへのアクセス許可を得ることができる方法は限られています。ヘルプ デスクのスタッフは、アクセスを求めるサービス チケットの直接の結果として、またはソフトウェアのインストールや問題解決のためのシステム更新の直接の結果として、アクセス権を入手する場合があります。このような場合、監査ログによって、誰がいつログインしたかが示されます。マイクロソフトが採用しているプロセスは、保持している認定に準拠しています。
• 不正行為、誤使用、またはエラーの可能性を最小限に抑えるため、Microsoft Online Services の環境内の機密度の高い機能や重要な機能に対して、職務の分離が実装されています。                     
• ISO 27001 規格 (具体的には付属文書 A の項 10.1.3) で、"職務の分離" が規定されています。詳細については、マイクロソフトが認定を取得し、公開されている ISO 規格を確認することをお勧めします。
• SA-02 セキュリティ アーキテクチャー - ユーザー ID 資格情報
• 要求
• アプリケーション、データベース、サーバーおよびネットワーク インフラストラクチャにユーザー資格情報およびパスワード制御を (自動化を通じて) 実装および実施します。この場合、以下の最低条件を満たす必要があります。
• パスワードをリセットする前にユーザー ID を検証する。
• ユーザー以外の人物 (管理者など) がパスワードのリセットを行った場合、ユーザーが最初に使用する際にパスワードを即座に変更する必要がある。
• 契約終了となったユーザーのアクセスの無効化をタイムリーに行う。
• 少なくとも 90 日ごとに、非アクティブなユーザー アカウントを削除または無効にする。
• 一意のユーザー ID を使用し、グループ、共有、または汎用のアカウントおよびパスワードを禁止する。
• パスワードの有効期限を 90 日以内にする。
• パスワードの最小文字数を 7 文字以上にする。
• 数字とアルファベットの両方を含んだ強力なパスワードを使用する。
• パスワードの再使用は、少なくとも 4 つのパスワードが使用された後に許可する。
• ユーザー ID をロックアウトする試行回数は、多くても 6 回までにする。
• ユーザー ID のロックアウト期間は最低 30 分にするか、管理者がユーザー ID を有効にするまでとする。
• セッション アイドル時間が 15 分以上経過した場合に、端末を再度アクティブにするには、パスワードを再入力するようにする。
• 特権付きのアクセスに対するユーザー アクティビティ ログを保持する。
• 対応
• Microsoft Online Services では、Active Directory を使用して、パスワード ポリシーの適用状況を管理しています。Microsoft Online Services システムは、強制的にユーザーに複雑なパスワードを使用させるように構成されています。パスワードには最長の有効期限と最小文字数が割り当てられます。
• Microsoft Online Services が所有されている環境または運用されている環境に関連サービスまたはシステムを導入する場合、その前に契約者提供の既定のパスワードを変更することが、パスワードの取り扱い要件に含まれています。
• ISO 27001 規格 (具体的には付属文書 A の項 11.2.1 および 11.2.3) で、"ユーザー パスワードの管理およびユーザー登録" が規定されています。詳細については、マイクロソフトが認定を取得し、公開されている ISO 規格を確認することをお勧めします。  
• SA-07 セキュリティ アーキテクチャー - リモート ユーザーの多要素認証
• 要求
• すべてのリモート ユーザー アクセスに対して多要素認証が必要です。
• 高い保証を必要とする操作には、どの形式の認証を使用しますか。これには、管理インターフェイスへのログイン、キー作成、複数のユーザー アカウントへのアクセス、ファイアウォール構成、リモート アクセスなどが含まれます。
• ファイアウォールなど、インフラストラクチャ内の重要なコンポーネントを管理する場合に、2 要素認証が使用されていますか。
• 対応
• スタッフおよび契約業者のスタッフによる Microsoft Online Services の運用環境へのアクセスは、厳しく制御されています。
• ターミナル サービス サーバーは、高度な暗号化設定を使用するように構成されています。
• マイクロソフトのユーザーには、リモート アクセス セッションを確立するために、有効な証明書と有効なドメイン アカウントが含まれているスマートカードが Microsoft Online Services から発行されます。
• ISO 27001 規格 (具体的には付属文書 A の項 11.4.2) で、"外部接続に対するマイクロソフトのユーザー認証" が規定されています。詳細については、マイクロソフトが認定を取得し、公開されている ISO 規格を確認することをお勧めします。 

関連する項目を抜粋しただけですが結構なボリュームになりますね。これもライフサイクル管理、アクセス制御、認証、職務分掌など様々な角度での要求への対応を行っているためだと言うことが出来ます。

実際に内情がどうなっているかは別として各パブリック・クラウド事業者はこのようなガイドラインへの対応度合を利用者からはかなり厳しくみられる傾向にあるので、今回のように公開文書という形での対応を含め色々と対策を打ってきているように感じます。特にOffice365やGoogleAppsなどはメールやグループウェアという形でかなりの生情報をクラウド上へ配置することになるので、利用者の不安を払しょくすることが最大のポイントになりがちです。
同じような対応をプライベート・クラウドで行おうと思うと結構難しいような気もしますので、国内のクラウド事業者も色々と苦労があるんでしょうね。。と遠い目をしてしまいます。