[Azure AD]AAD Connect Health for AD DSでオンプレミスのADを監視する

こんにちは、富士榮です。

Azure Active Directory（Azure AD）やPing ONEをはじめとしたクラウド上のID基盤（IDaaS）が流行ってきていますが、どのソリューションも現状はオンプレミスにActive Directoryが存在していることを前提として構成が組み立てられています。

これは、2014年のVittorio Bertocci氏へのインタビューでもオンプレミスのActive Directoryの普及率は95%を超えている、という発言があるとおり、エンタープライズ分野へIDaaSを適用する際は既存のActive Directoryを避けて通れず、どのようにシームレスにオンプレミスからクラウドへ橋渡しをするか？がフォーカスされているため決して不自然なことではありません。

しかし、こうなってくるとクラウド側の基盤がグローバルでレプリケーションされていて高い可用性を持っていたとしても、システム全体を見た時にはオンプレミスのActive Directoryがボトルネックや障害発生ポイントとなってしまいます。

と、いうことでマイクロソフトはハイブリッドID基盤をなるべく一か所で監視・管理できるようにしたり、セキュアに運用できるように色々と関連ソリューションを出しています。

脅威／リスク	対象	ソリューション
稼働状況監視	AD FS	Azure AD Connect Health for AD FS
	AD DS	Azure AD Connect Health for AD FS
不正アクセス検知	AD DS	Advanced Threat Analytics
特権ID管理	AD DS	Microsoft Identity Manager 2016

今回は、新たにPublic Previewが公開されたAzure AD Connect HealthによるActive Directory（AD DS）の稼働状況のモニタリングについて見てみたいと思います。

　公式Blogでの発表
　Introducing #AzureAD Connect Health for Windows Server AD
　https://blogs.technet.microsoft.com/enterprisemobility/2016/07/19/introducing-azuread-connect-health-for-windows-server-ad/


仕組みとしては、監視用のエージェントをAzure PortalのAzure AD Connect HealthからダウンロードしてオンプレミスのAD DSサーバへインストール・構成するだけなので非常に簡単です。

◆エージェントを入手する

新ポータル（https://portal.azure.com）のダッシュボードにAzure AD Connect Healthがない人は追加しておきましょう。

Azure AD Connect Healthを開くとAgent for AD DSのダウンロードができるようになっていますので、Get toolsをクリックしてAgentモジュールをダウンロードします。

◆エージェントをインストールする

次は、監視対象のドメインコントローラへログインしてモジュールをインストールします。
ダウンロードしたモジュールをドメインコントローラへコピーしてインストーラを実行します。

この際、以下の前提事項があるので準備をしておいてください。。

• ドメインコントローラ上でビルトインアカウントによるInternet Exploreが実行できること
• microsoftonline.com、microsoftonline-p.com、micorosoft.com、windows.netのCookieを受け入れる設定になっていること（windows.netはいらないかも）
• Azure ADテナント上でグローバル管理者権限を持つ組織アカウント（マイクロソフトアカウントではなく）が存在していること
• ドメインコントーローラからAzureへの上り通信がブロックされていないこと

特に、Windows Server 2016では、IEの設定が厳しいのでCookieの受け入れの設定を確実にしておかないとエージェントのセットアップに失敗します。


ダウンロードしたファイルを実行すると、インストールが始まります。

インストール自体は非常にシンプルなのですぐに終わります。

◆エージェントを構成する

インストールが完了したらAzure ADのテナントへ接続し、エージェントを登録します。

うまくIEの構成がされていれば、Azure ADへのログインダイアログが起動してきますので、「組織アカウント」でログインします。（マイクロソフトアカウントだとエラーが出ます）

以下、エラーになった場合のメッセージです。
＜Cookieの受け入れ設定が出来ていない場合＞

＜マイクロソフトアカウントでログインした場合＞

うまく構成ができると、以下のメッセージが出ます。

◆ポータルより状態を監視する
インストールが完了するとドメインコントローラに関する情報がエージェントによりAzure AD Connect Healthへアップロードされます。

各種状態を確認することが出来ます。
＜FSMO、サイト、GCなど＞

＜機能レベルなどのプロパティ＞

＜認証要求数、レプリケーションステータスなど＞

ちなみに監視対象のドメインコントローラを停止すると以下のようにアラートが表示されます。
（検知するまでにしばらく時間がかかります）

これでHybrid ID基盤のオンプレミス側の構成要素であるAD DSの状態監視もクラウドから実行できますので、別途監視ツールや運用ツールを用意する必要性がぐっと下がりますので、安心して基盤の運用ができますね。

[FIDO]Injectorでパスワードの使いまわしや簡単なパスワードの利用を防止する

こんにちは、富士榮です。

先日のOpenIDファウンデーション・ジャパン、Enterprise Identity Working Group（EIWG）の成果報告会で、Cloud Identity Summit 2016（CIS）への参加についてBlockchainとHashgraphとアイデンティティに関する報告をさせてもらいました。

　資料等は前回のポストで。
　Blockchain、Hashgraphとアイデンティティ
　http://idmlab.eidentity.jp/2016/06/blockchainhashgraph.html


実はCISではセッションの他にExpoという形で各社がソリューションを持ち寄る展示会があり、その中でFIDO関係のブースで出展をしていたBluink社のInjectorというデバイスがとても面白かったので、取り寄せてみました。

Injectorには、Injector USB DeviceとInjector Miniという2種類がありますが、あんまり機能差がなさそうなので、持ち運びを考えてInjector Miniを購入しました。

公式サイトのストアで$29.99＋日本への送料（$15.00）の合計$44.99で購入できます。


2週間くらいで届いたので、早速試してみます。

◆何をするものなのか？

まず、そもそもこれは何をするものなのか？というと、「スマートフォンアプリに各種ログオン情報を記憶させておき、Injector（ドングル）を挿したPCでの各種ログインをスマホ経由で行う」ためのものです。

１．IDとパスワードの入力を代行する入力デバイス

（公式サイトの解説より）

簡単に言うと、PCに挿したBluetoothアダプタが入力デバイスとして認識され、スマホからログインに必要なキーストローク情報を送り込む、というかなり原始的な？仕組みです。
尚、この仕組みをとるのでPC側には基本的には何の追加ソフトウェアもいりません。
（QRコードを使って対象アプリケーションの選択を簡素化したい場合はブラウザのアドオンを入れる必要がありますが、自分でスマホ上で対象のアプリケーションを選択するなら本当に何もいりません）

試しにLinkedInへのログインを動画にしてみました。



２．FIDO U2Fに対応した2要素目のデバイス

また、違った一面としてFIDO U2Fに対応しているので、GoogleなどU2Fに対応したサービスへのログイン時の2要素目としても利用が可能です。

こちらも同じくGoogleへのログイン時の2要素目として使ってみました。

◆まずは準備

では、早速使ってみます。
準備として、スマホ用のアプリケーションをダウンロード～インストールします。

アプリを立ち上げると、マスタパスワード（このアプリ自体の起動パスワード。Touch IDも使えます）の登録およびInjectorデバイスとのペアリングを行うことになります。
（この段階でPCへInjectorデバイスを挿入します）

尚、このペアリングですが、工場出荷時はオープン状態（どのスマホとでもペアリング可能な状態）のはずなんですが、私の手元に届いたものはどうしてもうまくペアリングできず、サポートとやり取りをしてリセットをしてもらいました。（15分くらいでリセット用のコードを発行してもらいました。現地は土曜日の昼頃だったはずなんですが、驚異的なスピードです！）


うまくいくと、こんな感じでデバイスが登録された状態になります。

◆ログイン対象を登録

これでアプリとデバイスの準備が出来たので、次はアプリケーションの登録です。

アプリでAdd Credentialというメニューがあり、ある程度のアプリケーションはプリセットされているので、そこから選択すると簡単に登録ができます。

ここでアプリを選んでログインに使うIDとパスワードを登録していく、という形をとります。
尚、注意点ですが先に書いたとおり、キーストロークを送り込むという仕組みになっている以上、キーボード配列が違うと特に記号がうまく入りません。
これを使うときはPCを英語キーボードモードにしておきましょう。

後は先の動画で紹介したように各アプリを開いてスマホ側でログインをするだけです。

◆FIDO U2Fとしての登録

次は、基本的な使い方に加えてFIDO U2FデバイスとしてInjectorを登録してみましょう。
尚、これも注意点なんですが、U2Fに使う場合、キーストローク入力型の基本的な使い方との両立が現時点でうまくいっていません。（私の環境の問題かもしれませんが）
基本的な使い方の方に戻したければU2Fとしての登録を一旦削除してあげる必要があります。


動きは先に動画で紹介したので、GoogleへのInjectorデバイスの登録の方法を簡単に紹介します。基本はFIDOなのでYubikeyなどと同じくデバイスを事前に登録しておくだけです。

Googleの2段階認証セットアップを開き、セキュリティキーの登録を行います。
基本は画面の指示に従ってキーの挿入をし、アプリケーション側に表示されるRegistration確認を行うだけです。

（Googleのセキュリティキーの登録画面から指示に従いデバイスを登録する）

（うまく認識するとアプリに登録確認が出てくるので回答する）

これで完了です。
後は2段階認証の際にデバイスを挿してアプリで回答するだけです。

◆使ってみた感想

意外と良いかもしれません。
LastPass見たいなサービスに依存するものもなく、あくまでペアリングされたデバイスに依存するので、オフラインでも使えますし（それこそWindowsやMacへのログインにも使えます）、キーストローク入力するだけの簡単な仕組みなので対象のアプリケーションを選びません。
これで各アプリ向けのパスワードは本当にランダムなものを使ってしまっても問題ないかもしれませんし、ブラウザにパスワードを覚えさせる必要もありません。
（忘れた場合、Injectorの設定データのバックアップからパスワードを復元するためのツールが提供されています）

ただ、課題がないわけでもありません。
具体的にはあくまでUSB入力デバイスなので、モバイルのネイティブアプリやブラウザでの利用は出来ません。ネイティブアプリの場合はアプリケーションパスワードなどをうまく利用すればよいでしょうが、ブラウザの場合は困ってしまうので今後に期待です。
（現状でもiOSのSafariの場合はIntentでアプリを呼び出してキー入力させる様にできるみたいです）

Blockchain、Hashgraphとアイデンティティ

こんにちは、富士榮です。

先日（6/24）のOpenID Foundation Japan / Enterprise Identity Working Groupの成果発表会の場で先にニューオリンズで開催されたCloud Identity Summit 2016（CIS）の参加報告をしました。

報告したのはCISで個人的に一番の注目ポイントだった分散セッション管理とBlockchain、Hashgraphの話です。

内容としては、ハイブリッドなSSOの普及に伴い、継続的認証（Continuous Authentication）やその前提となる分散セッション管理の重要性が高まってきていて、アイデンティティレイヤの下に整合性のとれた元帳レイヤ（要は分散DBのレイヤ）が必要で、その手段の一つとしてBlockchainの欠点をうまく補った技術として「Hashgraph」が密かに注目されている、という話です。

HashgraphについてはSwirlds社が論文を発表しているんですが、いかんせん難しい概念なのでBlockchainとの違いを見ながらコンセプトと特徴を解説しました。

Blockchainは不整合が出た枝は切り捨てるので、左の図のような幹から枝が出ては伐採されるイメージ、Hashgraphはあくまでgraphなので関係性を紡ぎながら時系列に伸びていくので右の図のような絡み合ったイメージ、というのが大きな違いです。


細かい内容は以下に資料を公開したので、そちらと資料中にあげている参考URLをご覧ください。
今回は30分のセッションだったので、あまり深堀りは出来ませんでしたが、Swirlds社からHashgraphのSDKがもうじき公開される予定という話もあるので、次回は実際の動きを見てより細かいレベルで解説ができるといいなぁ、と思っています。

CIS参加報告 - Blockchain/HashgraphとIdentity from Naohiro Fujie

Rebirth! 東北の資料を公開しました

こんにちは、富士榮です。

2016年6月18日に仙台で開催されたMicrosoft MVPによる東北復興支援イベント、「Rebirth! 東北」で、オンライン・アイデンティティの自己コントロールと活用について話をしてきました。

今回は、全編ノン・テクニカル、かつ人事（タレントマネジメント）領域でのコンサルティングのプロフェッショナルであるMVP for Business Solutionの齋藤さんとのディスカッションを中心にセッションを進めたので、資料だけでは何もわからないとは思いますが、一応資料を公開しておきます。

オンライン・アイデンティティの自己コントロールと活用 from Naohiro Fujie

テーマと議論の流れはこんな感じです。

• イントロ：オンライン・アイデンティティの現状とその課題
• そもそもアイデンティティって自分で認識できるもの、他人が認識することによって形成されるものなど色々な要素によって構成されている
• 特にオンライン・アイデンティティはコンピュータの特性上、忘れられない、という特徴を持っており、しばしば炎上やプライバシ上の課題を産む
• そんな中、オンライン・アイデンティティをビッグデータとして収集・活用するという動きも出てきている
• 自己主権型アイデンティティ（Self-Sovereign Identity）という考え方が注目を集めている
• ディスカッション：グローバル企業におけるチームビルディングに関する課題と対応
• 強いチームを作る際、採用活動がキーとなる
• グローバルで役に立つ人材を獲得するためには「見えない特性＝アイデンティティ」を見抜く必要がある
• 体系的にスキルセットやポテンシャルを洗い出し、活用していく方法が実用化されてきている

ディスカッション側は内容的に公開しずらいものばかりなので、とりあえず資料と上記の議論から類推してみてください。

[告知]今週末は仙台でアイデンティティ！

こんにちは、富士榮です。

ぎりぎりの告知になりますが今週末（6/18）、マイクロソフト MVP の有志による東北復興支援イベントが開催されます。

公式サイト
　Rebirth！東北
　http://retohoku2016.azurewebsites.net/


場所が仙台国際センターなので、いきなりは行きにくいとは思いますが、何しろ登壇者がゴージャスなので、週末の予定をキャンセルしてでも顔を出す価値はあると思います。

例えば、午前中のキーノートはマイクロソフトの西脇さん、澤さん、榊原さん、、と公式イベントでもここまで人がそろうことって中々ないんじゃないかな～と思うような顔ぶれです。（当然午後もJavaの寺田さんをはじめそうそうたるメンバです）


そんな中、私はたまには概念論を話そうかな～と思っていて、「オンライン・アイデンティティの自己コントロールと活用」というタイトルで MVP の齋藤さんと一緒に話をします。

以下、概要です。

昨今のtwitterへの不適切画像のアップロードやGoogleサジェストによるオンライン・アイデンティティへの望まないラベル付けが容易に行われてしまう一方で、採用など人事領域へのビッグデータ、人工知能の適用などオンライン・アイデンティティの重要性はますます大きくなってきています。

本セッションでは企業活動においてオンライン・アイデンティティの活用が進む中、どのように自身でコントロールしていくべきなのか、また企業側はどのように活用していくべきなのか、について議論します。

先週ニューオリンズで開催された Cloud Identity Summit 2016 でも頻繁に語られた Self-Sovereign Identity（自己主権型アイデンティティ）とか Respect Network の話です。私もそこまで詳しく知っている分野でもなく、かつかなり概念的なのでいつものSAMLやOpenID Connectネタとは違った眠りをご提供できるのではないかと思っております。はい。


是非、仙台でお会いしましょう！

[MIM]June CTPで遂にExchange Onlineをサポート

こんにちは、富士榮です。

前回の4月版のCTPに続き、6月度のプレビュー版が公開されました。

　公式アナウンス
　　Now Available MIM 2016 June Preview
　　https://blogs.technet.microsoft.com/iamsupport/2016/06/03/now-available-mim-2016-june-preview/

　ダウンロードはこちら（要登録）
　　https://connect.microsoft.com/site433/Downloads


なんといっても今回の目玉は、MIM Serviceの承認用メールにExchange Onlineが使えるようになった、という点です。

このエンハンスリクエストはずいぶん前から上がっていたのですが、なかなか実装されなかったので、待っていた人も多く、早く正式版にも実装してもらいたい機能ですね。

他には、

• セルフサービス・グループ管理やプロファイル管理ページのChromeやスマホブラウザの対応
• Windows Server 2016 Technical Preview、SQL Server 2016、SharePoint 2016への対応
• Windows Server 2016の新機能に対応した特権アクセス管理用のコマンドレットの追加

が更新ポイントとして挙げられています。

更新のペースが速いのでなかなかテストができませんが、触ってみないと。。。

[Azure AD Connect]汎用LDAPやSQLなどの管理エージェントが同梱

こんにちは、富士榮です。

全然気が付いていなかったのですが、先日のAzure AD Connectの最新バージョン（1.1.180）から以下の管理エージェントが同梱されています。

• Generic LDAP
• Generic SQL
• PowerShell
• Web Service

これが何を意味するか、というとこれまではあくまでオンプレミスのActive DirectoryからAzure Active DirectoryへのID同期を行うためのツールであったAzure AD Connectが「LDAPやSQLなど他のデータ・ソースを含めID同期を行うことが出来るようになった」、ということです。

Azure AD Connectにディレクトリ同期ツールが統合された際に、カスタムシステムとの接続を将来サポートする、という宣言はありましたが、ようやく第一歩を踏み出した、ということです。

　参考）カスタムシステムとのID同期は「FR（将来的にサポート）」となっています。
　https://azure.microsoft.com/ja-jp/documentation/articles/active-directory-hybrid-identity-design-considerations-tools-comparison/


Synchronization Managerで管理エージェントを作成すると、Azure ADとAD以外への接続を行う管理エージェントが出てきます。

拙作のカスタムのエージェントを導入してみました。
　汎用REST API管理エージェント
　https://restmafim.codeplex.com/

現状まだオフィシャルの文書は出てきていませんが、今後はAzure AD Connectを中心としたハイブリッドID管理がますます拡大していくことになると思いますので、FIM/MIMの知識がようやく？必要な世の中が来たのかも知れませんね。（ハードル高！）