[FIM]勝手に翻訳：Active Directory Domain Servicesへのユーザプロビジョニング

Technetフォーラムの中には色々と役に立つコンテンツがあるのですが、その中の一つのFIM Expert Cornerを「勝手に翻訳」シリーズとして翻訳（意訳）して紹介していこうと思います。

今回はとりあえずベータ版の頃にこのblogでも紹介したAD DSへのユーザプロビジョニングの方法で、元ネタはフォーラムモデレータのMarkus Vilcinskasさんがポストしたこの記事です。ご本人に翻訳に関する確認をしたところ、快くOKしてくださったので紹介します。

というわけで早速。

■Actice Directoryドメインサービスへユーザをプロビジョニングするにはどうすればよいですか？

ID管理システムの1つの基本的な要件は、外部システムにリソースをプロビジョニングする機能です。
このガイドではForefront Identity Manager(FIM) 2010からActive Directory Domain Services(AD DS)へのユーザプロビジョニングのプロセスの主要な部分を紹介し、読者のシナリオが期待通りに動くかどうかの確認方法、FIMを使用してActive Directoryのユーザを管理するための提案、そして追加の情報ソースのリストを提示します。

・始める前に
このセクションでは、この文書のスコープについて定義します。
一般に、”How Do I"シリーズのガイドは関連するスタートガイドに記載されているFIMでオブジェクトを同期するプロセスに関する基本的な経験を持っている読者をターゲットにしています。

・想定している読者
このガイドは、既にFIMの同期処理のしくみに基本的な理解があり、この特定のシナリオに関するハンズオンや概念的な情報に興味のあるITプロフェッショナル向けに書かれています。

・前提となる知識
このドキュメントは、読者がFIM2010の実行環境へアクセスが可能で、以下のような簡単な同期シナリオを構築した経験があることを想定しています。
・着信同期の入門
・発信同期の入門
このドキュメント内のコンテンツは、これらの入門を拡張することを範囲としています。

・スコープ
このドキュメントで説明するシナリオは、基本的なラボ環境に対応して簡素化されており、コンセプトとテクノロジに理解を与えることにフォーカスされています。
このドキュメントは、読者がFIMを使用してAD DS内のユーザの管理するソリューションを開発することを支援します。

・必要な時間
この文書の中の手順を完了するには90～120分が必要です。
テスト環境の設定は既に完了しているものとし、テスト環境を設定するのに必要な時間は含まれません。

・サポートが必要な場合
このドキュメントの内容に関する質問があったりフィードバックがある場合や議論したい場合は、FIM TechNetフォーラムに気軽に投稿してください。
※訳注）英語です。

・シナリオの説明
架空の会社であるFabrikamは、FIMを使用して企業のAD DSのユーザアカウントを管理することを計画しています。
このプロセスの一環として、FabrikamはAD DSにユーザをプロビジョニングする必要があります。
最初のテストを開始するためにFabrikamはFIMとAD DSで構成される基本的なラボ環境をインストールしました。
このラボ環境上で、FabrikamはFIMポータル上で手動で作成したユーザを用いてシナリオをテストします。
このシナリオの目的は、あらかじめパスワードが定義された有効なユーザをAD DS上へプロビジョニングすることです。

・シナリオの設計
このガイドを使用するには、3つのコンポーネントが必要です。
1. Active Directoryドメインコントローラ
2. FIM Synchronizationサーバ
3. FIM Portalサーバ

次の図は、必要な環境の概要を示します。












すべてのサーバを1台のサーバ上で実行することが可能です。
　注）
　FIMのセットアップに関する情報はFIMインストレーションガイドを参照してください。

・シナリオコンポーネントの一覧
このガイドのシナリオで使用するコンポーネントは下表のとおりです。

組織単位	FIM Objects	ユーザをプロビジョニングする先として使用する組織単位
ユーザアカウント	ADMA	AD DSに接続するのに必要な権限を持つActive Directory上のユーザアカウント
	FIMMA	FIMに接続するのに必要な権限を持つActive Directory上のユーザアカウント
管理エージェントと実行プロファイル	Fabrikam ADMA	AD DSとデータ交換を行うための管理エージェント
	Fabrikam FIMMA	FIMとデータ交換を行うための管理エージェント
同期ルール	AD User Outbound Synchronization Rule	AD DSにユーザをプロビジョニングするための同期ルール
セット	All Contractors	従業員タイプ属性の値が契約社員であるすべてのオブジェクトのための動的メンバシップを持つセット
ワークフロー	AD Provisioning Workflow	FIMユーザをAD発信同期規則に適合するために使用するワークフロー
管理ポリシー	AD Provisioning Management Policy Rule	リソースがAll Contractorsセットのメンバになった時に起動される管理ポリシー
FIMユーザ	Britta Simon	AD DSにプロビジョニングするユーザ

・シナリオのステップ
本ガイドのシナリオは以下のブロックで構成されます。





















・外部システムの設定
このセクションでは、FIMの外部に作成する必要のあるリソースに関する手順を示します。

・組織単位を作成する
プロビジョニングされるサンプルユーザのコンテナとして組織単位が必要です。

ステップ1

AD DS上にFIMObjectsという名前の組織単位を作成します

注）組織単位を作成するための情報については組織単位を作成するを参照してください

・Active Directoryのユーザアカウントを作成する
本ガイドのシナリオのために2つのActive Directoryユーザアカウントを作成する必要があります。
・Adma - Active Directory管理エージェントのためのユーザアカウント
・Fimma - FIMサービス管理エージェントのためのユーザアカウント
両方とも通常のユーザアカウントを作成すれば問題ありません。
各アカウントの固有の要件はこのドキュメントで後述します。

ステップ2

先の説明に基づき、2つのActive Directoryユーザアカウントを作成します

注）ユーザアカウントを作成するための情報についてはユーザアカウントを作成するを参照してください

・FIM Synchronizationサービスの設定
このセクションの設定を行うためにはFIM Synchronizationサービスマネージャを起動する必要があります。

・管理エージェントを作成する
本ガイドのシナリオのために2つの管理エージェントを作成する必要があります。
・Fabrikam ADMA - AD DSのための管理エージェント
・Fabrikam FIMMA - FIMサービスのための管理エージェント

・Fabrikam ADMAを設定する

AD DS用の管理エージェントを設定する際、管理エージェントがAD DSとデータ交換を行う際に利用されるアカウントを決定する必要があります。
一般ユーザを使うべきですが、AD DSからデータをインポートするために、DirSyncコントロールに対して変更を検出する権限を持っている必要があります。
また、AD DSに対してデータのエクスポートするためにはターゲットOUに対して十分な権限を持っている必要があります。
この点に関する詳細情報はADMAアカウントを設定するを参照してください。

AD DSにユーザを作成するにあたり、技術的には対象のオブジェクトのDN属性さえ流し込めれば問題ありませんが、オブジェクトの検出をしやすくするためには、加えて姓、名、表示名を出力する方が良いと言えます。

AD DSではディレクトリサービスにログオンするのにsAMAccountName属性を使うのが一般的です。もしこの属性の値を指定しなかった場合、ディレクトリサービスがランダムな値を生成しますが、それら生成された値はユーザフレンドリではありませんので、AD DSへのエクスポートを行う際の典型的なシナリオではこの属性のユーザフレンドリな値を設定します。

ユーザがAD DSへログオン出来るようにするためには、同じくエクスポートロジックの中でunicodePwd属性にパスワードを設定する必要があります。

注

unicodePwd属性に設定する値がターゲットのAD DSのパスワードポリシーに合致していることを確認する必要があります。

AD DSのアカウントのパスワードを設定する際、同様にアカウントを有効化する必要があります。それを実現するためにuserAccountContorol属性を使用します。

注

userAccountControl属性に関する詳細はActive Directoryのアカウントを有効化／無効化するためにFIMを利用するを参照してください。

下表に必要となるシナリオ固有の設定を示します。

管理エージェント設定ページ	設定
Create Management Agent	Management agent for: Active Directory Domain Service
	Name: Fabrikam ADMA
Connect to Active Directory Forest	Select directory partitions: “DC=Fabrikam,DC=com”
	Containersをクリックし、Select Containersダイアログを表示し、FIMObjects OUのみが選択されていることを確認する
Select Object Types	既に選択されているObject typesに加えてuserを選択する
Select Attributes	Show Allをクリックする
	以下の属性を選択する 　　displayName 　　givenName 　　sn 　　sAMAccountName 　　unicodePwd 　　userAccountControl

ステップ3

前述の説明に従い管理エージェントを作成する

注）詳しくはヘルプの中の以下のトピックスを参照してください 　　・管理エージェントを作成する 　　・Active Directoryフォレストに接続する 　　・Active Directory管理エージェントを使用する 　　・ディレクトリパーティションを設定する

重要）ExpectedRulesList属性に設定するための着信同期規則が存在している必要があります

・Fabrikam FIMMAを設定する

FIM Service用の管理エージェントを設定する際、管理エージェントがFIM Serviceとデータ交換行う際に利用されるアカウントを決定する必要があります。
一般ユーザを使うべきですが、FIMをインストールする際に利用したアカウントと同一のアカウントである必要があります。
Windows PowerShellを使用したFIM管理エージェントのアカウント設定のクイックテストにはFIMのセットアップ時に使用したアカウントの検出と確認を行うためのスクリプトが含まれています。

下表はシナリオ固有の設定を行う上で最も重要な点を示します。

管理エージェント設定ページ	設定
Create Management Agent	Management agent for: FIM Service Management Agent
	Name: Fabrikam FIMMA
Connect to Database	以下の設定を行う・Server：localhost・Database：FIMService・FIM Service base address：http://localhost:5725管理エージェント用に作成したアカウントを設定する
Select Object Types	既に選択されているObject typesに加えてPersonを選択する
Configure Object Type Mappings	既に選択されているObject type mappingに加えてData Source Object TypesのPersonとMetaverse Object Typesのpersonをマッピングする
Configure Attribute Flow	既に存在する属性フローに加えて以下の属性フローを設定する
	Object Type: Person		Object Type: person
	Account Name	→	accountName	Direct
	DisplayName	→	displayName	Direct
	ExpectedRulesList	→	expectedRulesList	Direct
	FirstName	→	firstName	Direct
	LastName	→	lastName	Direct

ステップ4

前述の説明に従い管理エージェントを作成する

注）詳しくはヘルプの中の以下のトピックスを参照してください 　　・管理エージェントを作成する 　　・Active Directoryフォレストに接続する 　　・Active Directory管理エージェントを使用する 　　・ディレクトリパーティションを設定する

重要）ExpectedRulesList属性に設定するための着信同期規則が存在している必要があります

※訳注）ステップ3と内容が同じなのは原文のコピー＆ペーストによるミスだと思われます。


・実行プロファイルを作成する

本ガイド内のシナリオのために必要な実行プロファイルは下記の通りです。

管理エージェント	実行プロファイル
Fabrikam ADMA	1.Full Import
	2.Full Synchronization
	3.Delta Import
	4.Delta Synchronization
	5.Export
Fabrikam FIMMA	1.Full Import
	2.Full Synchronization
	3.Delta Import
	4.Delta Synchronization
	5.Export

ステップ4

前述の説明に従い各管理エージェントの実行プロファイルを作成する

注）詳しくはFIMヘルプの中の管理エージェント実行プロファイルを作成する、を参照してください

重要）provisioning設定が有効になっていることを確認してください。スクリプトを使って確認するにはWindows PowerShellを使ってprovisioningを有効にするを参照してください。

とりあえず前半部分でした。
次回は続きを載せたいと思います。

早わかり！クレイムベースのアイデンティティ＆アクセス管理

先日マイクロソフトのPatterns&PracticesチームからリリースされたA Guide to Claims-based Identity and Access Controlを読み進めているのですが、ある意味シンプルなんだけどある意味とっつきにくい「クレームベースのアイデンティティ＆アクセス管理」をとてもわかりやすく説明した例があったので紹介します。

以前Tech Fieldersコラムにフェデレーションの話を書いた時は入国審査を例にクレームベースのセキュリティについて説明しましたが、この今回紹介する例の方がより正確でシンプルで良いと思いました。

舞台は同じく空港なのですが、以下のようなメタファを用いています。

用語	メタファ
セキュリティトークン	搭乗券
クレーム	名前、便名、座席ランク
STS（セキュリティトークンサービス）	チケットカウンター
RP（アプリケーション）	搭乗カウンター

これらを使って見事に認証、トークンの発行、トークンの確認とクレームによる認可を表現しています。

（１）利用者がチケットカウンター（STS）で認証される
　　　→パスポートの顔写真と本人の顔の一致をもって「認証」する
（２）チケットカウンターが搭乗券（セキュリティトークン）を発行する
　　　→搭乗券の中には利用者の名前、便名、座席ランク（トークン）が書かれている
　　　→チケットカウンターが発行したことを証明するために磁気テープで署名されている
（３）利用者が搭乗券（セキュリティトークン）を搭乗カウンター（RP）に提示する
　　　→搭乗カウンターは提示された搭乗券が磁気テープ（署名）を見て正しいものかを確認する（信頼された発行元かどうかの確認）
　　　→搭乗券の中の便名、座席ランクを見て利用者を案内（認可）する


私はこの例はかなりしっくりきました。
みなさんはいかがでしょうか？

[FIM2010]FIM MAとポータルのスキーマのマッピング（ユーザ）

ちなみに通算100ポスト目です。ぼちぼちペースですがそれなりに継続出来ているのは皆様のおかげです。本当に感謝しております。

さて本題ですが、FIM2010もリリースされ、色々と試してみようという方も増えてきたのかな？とも思うので、実際に設定をする上で必要なんだけど現状あんまり整理されていない情報ということで、FIM MAのユーザオブジェクトのどの属性がFIM Serviceポータルのユーザの属性と紐付いているのか？をまとめてみました。

これをベースにマッピングをしたら、後はMIIS/ILMと同様にMetaverseや他のMAとの属性フロー／同期規則を作ってやれば思った通りの属性でマッピングできると思います。

FIM Service MA		FIM Service Web
属性名称	形式	属性名称	表示区分	備考
AccountName	string	アカウント名	標準表示
AD_UserCannotChangePassword	boolean	ADユーザーはパスワードを変更できません	詳細表示（拡張属性）	※Web上はチェックボックス（ON→true、OFF→値なし）
Address	string	アドレス	標準表示
Assistant	reference	アシスタント	標準表示
AuthNLockoutRegistrationID	reference	ロックアウトゲート登録データID	詳細表示（拡張属性）
AuthNWFLockedOut	reference	AuthNワークフローロックアウト	詳細表示（拡張属性）
AuthNWDRegistered	reference	AuthNワークフロー登録済み	詳細表示（拡張属性）
City	string	市区町村	標準表示
Company	string	会社名	詳細表示（拡張属性）
CostCenter	string	コストセンター（原価部門）ID	標準表示
CostCenterName	string	コストセンター（原価部門）名	標準表示
Country	string	国/地域	標準表示	※Web上はコンボボックス（日本→JP）
Department	string	部署	標準表示
Description	string	説明	詳細表示（共通属性）
DetectedRulesList	reference	検出された規則一覧	詳細表示（共通属性）
DisplayName	string	表示名	標準表示
Domain	string	ドメイン	標準表示
Email	string	電子メール	詳細表示（拡張属性）
EmployeeEndDate	string	雇用終了日	標準表示	YYYY-MM-DDTHH:MM:SS.XXX
EnployeeID	string	社員ID	標準表示
EmployeeStartDate	string	雇用開始日	標準表示	YYYY-MM-DDTHH:MM:SS.XXX
EmployeeType	string	従業員タイプ	標準表示	※Web上はコンボボックス（フルタイム従業員→Full Time Employee）
ExpectedRulesList	reference	予期される規則一覧	詳細表示（共通属性）
ExpirationTime	string	有効期限	詳細表示（共通属性）
FirstName	string	名	標準表示
FreezeCount	number	フリーズの数	詳細表示（拡張属性）
FreezeLevel	string	フリーズレベル	詳細表示（拡張属性）
IsRASEnabled	boolean	RASアクセス許可	標準表示	※Web上はセレクトボタン（許可→true、拒否→false、RASポリシーに基づく制御→値なし）
JobTitle	string	役職	標準表示
LastName	string	姓	標準表示
LoginName	string	ログイン名	詳細表示（拡張属性）	※ドメイン名\エイリアス
MailNickName	string	電子メールエイリアス	標準表示	※ドメイン名なし（＠の左部分）
Manager	reference	管理者	標準表示
MiddleName	string	ミドルネーム	標準表示
MobilePhone	string	携帯電話	標準表示
ObjectID	reference	リソースID※自動付与	詳細表示（共通属性）
ObjectType	string	リソースの種類※自動付与	詳細表示（共通属性）
OfficeFax	string	FAX	標準表示
OfficeLocation	string	事業所	標準表示
OfficePhone	string	電話（会社）	標準表示
Photo	binary	写真	標準表示
PostalCode	string	郵便番号	標準表示
ProxyAddressCollection	string	プロキシアドレスの集合	詳細表示（拡張属性）
TimeZone	reference	タイムゾーン	標準表示

色々と気になるニュースなどなど

RSAカンファレンスもありましたし、色々と気になるニュースや記事が色々と

・Claims-based Identity and Access Control Guideのリリース

　http://msdn.microsoft.com/en-us/library/ff423674.aspx

　しばらく前から気になる記事ではありましたが、このたび正式にリリースされたようです。

　今読んでいるCloud Security and Privacyが読み終わったらじっくり読みたいと思います。

・Windows Identity Foundation Developer Workshopの開催

　http://blogs.msdn.com/vbertocci/archive/2010/03/04/coming-to-a-city-near-you-windows-identity-foundation-developer-workshops.aspx

　残念ながら日本では開催されませんが、3月の終わり～6月の頭にかけて6カ国で開催されます。

　Azure連携も含めWIF三昧なセッションやラボが繰り広げられるようです。

・The Experts Conference 2010の開催

　http://www.tec2010.com/

　毎年開催されているディレクトリ、アイデンティティ関連のカンファレンスです。今年は4月の終わりにロサンゼルスで開催されます。

　さすがに今年はAD FS2.0、FIM2010関連のセッションがてんこ盛りです。

・その他気になる情報

　AD FS2.0／OpenID連携を使ってOpenIDでSharePoint2010へアクセス

　https://blogs.pointbridge.com/Blogs/nielsen_travis/Pages/Post.aspx?_ID=34

　上記とも関連しますが、WIF SDKとDotNet OpenIDを使ってOpenIDとWS-Federationのクレーム変換を行うカスタムSTSの作り方

　http://blogs.southworks.net/mwoloski/2009/07/14/openid-ws-fed-protocol-transition-sts/

なかなか目を通しきれませんが、どれも興味深い情報ばかりなのでがんばってウォッチしていきます。

Forefront Identity Manager 2010 リリース

【画像を追加しました！】

毎年セキュリティ系ベンダの目玉発表が目白押しのRSAカンファレンス2010（現在サンフランシスコで開催中）でマイクロソフトからはForefront Identity Manager 2010のリリースおよび先日買収したU-ProveのCTPが発表になりました。

【ポータル】／Release Candidateの文字が消えてます

【Synchronization Service】／Release Candidateの文字が消えてます

製品ページ
http://www.microsoft.com/forefront/identitymanager/en/us/default.aspx

評価版ダウンロード
http://technet.microsoft.com/ja-jp/evalcenter/cc872861.aspx


当初の予定から1年遅れでしたが、ようやくリリースにこぎつけた、という感じでしょうか。

思えばILM2007もRSAカンファレンス2007で発表されていました。ちょうどその年はサンフランシスコでカンファレンスに参加していて、マイクロソフトのブースで色々と話を聞いたのを思い出します。

↓その時にもらったプレビュー版

↓その時にもらったTシャツ

なにはともあれ早速触ってみたいと思います。

リリース直前！FIM2010関連のWebcast

リリースを目前に控えたForefront Identity Manager 2010ですが、リリースを控えていよいよ盛り上がってきました。

ということで、TechNetのWebcastが3月～4月で4回開催されます。

いずれも日本時間では夜中なので非常にしんどいですが・・・

◆3月9日（日本時間3月10日AM3:00～4:00）

－TechNet Webcast: Forefront Identity Manager 2010: Technical Overview and Deployment (Level 300)

－内容（とりあえずは概要ですね）

Microsoft Forefront Identity Manager 2010 is released, and we take you on a tour around the product in this webcast. We provide a technical overview of Forefront Identity Manager 2010 to give you an overall understanding of the product and its capabilities. We also cover the deployment basics for different scenarios, so you can learn how to effectively deploy and configure Forefront Identity Manager for common scenarios.

◆3月18日（日本時間3月19日AM2:00～3:00）

－TechNet Webcast: Forefront Identity Manager 2010: Monitoring and Troubleshooting FIM in Production (Level 300)

－内容（トラブルシューティング。こういうのが出てくるといよいよリリース、という感じです）

Microsoft Forefront Identity Manager (FIM) 2010 includes rich features across multiple platforms. Troubleshooting FIM requires broad domain knowledge of technologies such as Active Directory, Microsoft SharePoint, Microsoft Exchange Server, SQL, Windows Communication Foundation, Windows Workflow Foundation, and Microsoft Identity Lifecycle Manager (ILM) 2007. In this webcast, we walk you through how to manage FIM in a production environment by showing common troubleshooting approaches, migrating configuration, and common resolutions. The webcast is appropriate for IT professionals who plan to configure or administer FIM for customers.

◆3月30日（日本時間3月31日AM2:00～3:00）

－TechNet Webcast: Forefront Identity Manager 2010: Deploying FIM (Level 300)

－内容（構築関連。キャパシティプランニングなど有用な情報となりそうです）

Microsoft Forefront Identity Manager (FIM) 2010 is a powerful platform that can satisfy many customer requirements for identity and access management. In this webcast, we cover Forefront Identity Manager capacity planning, project planning, and best practice configurations from the product team. We provide best practices for deploying FIM, share FIM deployment experiences from Microsoft Technology Adoption Program (TAP) customers and Microsoft IT, and address common questions like capacity planning.

◆4月5日（日本時間4月6日AM2:00～3:00）

－TechNet Webcast: Forefront Identity Manager 2010: Extending FIM (Level 300)

－内容（SDKなどを使ったFIMの拡張）

Most customers have requirements that cannot be solved by configuring Microsoft Forefront Identity Manager (FIM) 2010 alone. For these customers, it is necessary to extend the FIM platform with custom activities, portals, schema, Resource Control Display Configurations (RCDCs), and management agents. In this webcast, we present the FIM software development kit (SDK) road map so you can best choose which extensibility point to use. We cover best practices of creating, testing, and deploying those extensions for your customers using real-world examples from Technology Adoption Program (TAP) customers and Microsoft IT. About half of the webcast is devoted to the workflow host and writing custom workflow activities. This webcast is appropriate for IT professionals who are already familiar with FIM.

ずべて日本時間では深夜、かつ英語という厳しい条件ですが、早期導入などの結果に基づくキャパシティ情報や拡張に関する話など、今後FIMの展開をする上では必須となりそうな情報が満載のようですので、がんばって聴きたいと思います。

参加してきました「Tech Fielders の集い 特別編 － おかげさまで Active Directory 10周年 セミナー 」

今週はTechDaysもありましたし、本日のAD10周年イベントもあり盛りだくさんでした。

細かい情報はあとからTechFieldersのサイトに載ると思うので、印象に残った点だけ軽く振り返ってみますが、twitterのハッシュタグ#ad10thを見ていて感じたのは、「フェデレーション／ADFS」と「PowerShell」に対する反応の多さが印象的でした。

PowerShellはともかく、これまでフェデレーションって何に使うの？という反応ばかりでしたが、やはりここにきてクラウド連携と関連してみなさんの興味も急上昇、、という感じなのだと思います。

※安納さんのblogでもご紹介いただきましたが、フェデレーションについてTechFieldersのサイトにコラムを書いているので、ご興味があれば見てやってください。

さて、各セッションについてもざっと流してみます。

■Active Directory 10年の歩み／MCS待鳥さん、柿沼さん

・設計の移り変わり

　ADを取り巻く環境（NW、HWスペックや価格）の変化に伴いサイト構成（分散配置から集中配置へ）やDCのサイジング（OSの64bit化に伴う保持オブジェクト数の増加など）が変わってきた、というお話。

・ADの使いこなし例

　3つの例を挙げていました。

　１．Excelで簡単アカウント管理＆監査

　　　VBA+ADSIでオブジェクトの管理台帳を！という使い方です。昔私も作りました。ID管理製品を入れるほどの規模ではない企業の場合これで十分なんだと思います。

　２．パスワード変更情報を取り出す

　　　PCNSを使ってDCへのパスワード変更をフックする例です。意外とみなさんPasswordChangeNotify()関数をご存知ないようで、twitterのTLには感嘆の声が上がっていました。そう言えば以前パスワードフック関連のポストをしたのですが、いまだにアクセス数が上位です。

　３．見えないサーバで個人情報管理

　　　IPSecを使って簡易的な検疫をしましょう、というお話。簡単に実装できるのでやってみてもよいかもしれません。

■Active Directory 提案のツボ／SE山崎さん

Windows Server使い倒し塾でおなじみの山崎さんのセッションです。既に今日の資料がポストされているので、詳しくはそちらを見てください。

山崎さんもやはりADの今後、というところではADFS2.0とAzure連携というお話をしておられました。

■Active Directory／Group Policyよくある質問／サポートチーム北川さん

ある意味、今回のセミナの目玉の一つだったのではないでしょうか？

普段は切羽詰まった状態でメールや電話でしかお話できない製品サポートチームのリアルな話でした。

よくある障害の事例として、

　１．DCへアクセスできないケース

　　　名前解決ができない

　　　ネットワーク上へアクセスできない

　　　NATしている（SMBがNAT非対応）

　２．sysvolへSMB通信が失敗するケース

　　　DFS異常など

　３．低速リンクの検出により一部のポリシーがあたらないケース

　　　ICMPで検出しているので、ICMPがブロックされていると低速リンクとみなされる

が紹介されたり、一部のDCの破損が起きた場合の復旧手順などが紹介されました。

こちらもしばらくしたらblogに本日の情報をアップしてくださるということなので、細かくはそちらに期待です。

■Active Directoryトラブル解決のツボ／ADSIサポートチーム渡部さん

こちらも上記と同じく濃いセッションです。

いつもお世話になっているADSI/ILMサポートチームの「お父さん」こと渡部さんのセッションです。

こちらは製品というよりもADSIやWMIなどの開発がらみも含めた微妙な領域のサポート部隊なので、プログラミングに依存する問題、環境・構成に依存する問題の切り分け～解決までのアプローチについて紹介していました。ある意味もっとも専門性が要求される部隊なのかも知れません。

細かいアプローチについてはblogへの掲載を期待するとして、紹介されていた事例は以下の通りでした。

　１．ADSIで大量のオブジェクトを操作するとエラーがでるケース

　　　→リソース（ポート）の枯渇の可能性を疑う（netstatで確認）

　２．ADsOpenObject(OpenDsObject)が特定のDCに対して失敗する

　　　→名前解決の可能性が高い

　　　→DSQueryで対象のDCのオブジェクト参照を試す

　　　→直接IPアドレスを指定する

　３．ASP.NETアプリケーションがADを参照しようとすると認証エラーになる

　　　→NTLM認証はダブルホップ認証ができないので、KerberosでWindows統合認証を構成する必要がある。（ダブルホップ：ブラウザ→IIS→DCという2段階で認証が行われる構成）

■パネルディスカッション／MVPを含む5人の濃い方々・・

話が盛りだくさんでまとめきれませんが、一言で言うと「ここに歴史あり」という感じでしょうか？

NT5.0と言われていた時代からかかわってこられた方々ばかりで、Active Directoryの成長を実際に支えてこられた方々の生の話でしたので、とても面白かったです。

特に印象に残ったのは、

・Active Directoryは10年間基本設計が変わっていないという点が素晴らしい

・今後認証基盤だけではなくアイデンティティ情報のレポジトリとしても活用されていくのではないか？

という2点でした。

既に登壇されたMVP国井さんがblogに本日の様子をアップしているのでそちらも合わせてご覧ください。

■Active Directoryを広めよう！／プロダクトマネージャ岡本さん

製品マーケティングの視点でActive Directoryを紹介していました。

国内の企業の規模別のActive Directory導入率など、普段は見られない貴重なデータを見ることができ、とても参考になりました。

できれば今後はActive Directoryの各コンポーネント別（DS、RMS、CS、LDS、FS）でも集計が取れると面白いかと思ったりしました。

また、今後の各種イベントの情報や、6月26日に出版される新しい書籍「Active Directory ID管理ガイド」の紹介もありました。（以前出ていたActive Directory ID自動管理ガイドの改定版？）

■そして懇親会！

イベント自体すごい人数が参加していましたので、懇親会もかなりの人数が参加されていたのではないでしょうか？

目玉はこのケーキでした。

他にもこんなお土産をいただきました。

限定の帯付きの「ひと目でわかるActive Directory（2008R2対応）」

限定200個のメダル

まぁ何にせよ大盛況でしたし、とても役に立ちました。

関係者の皆さんは大変だったと思います。本当にお疲れさまでした！